Tutto quello che serve sapere sulla sicurezza dei dati e i backup in tempo di… guerra

Erano belli i tempi in cui parlavamo di backup paragonandolo alla pizzeria da Ciro sotto casa. Qui e qui trovate gli articoli cui faccio riferimento. In breve: in caso di sbadataggine e disastro nel forno di casa, la cena era (quasi sempre) assicurata da Ciro. Un buon backup, alla giusta distanza operativa dal server in cui i dati venivano creati.

Il nuovo ordine mondiale delle cose ci costringe oggi a riprendere in mano quelle considerazioni e rivederle tenendo conto del classico, indesiderato, worst case. A Ciro, infatti, non basta più un ottimo sistema antincendio: oggi potrebbe essere bombardato e noi rimarremmo a bocca asciutta.

Ovviamente mi riferisco agli attacchi subiti in Bahrain e negli Emirati Arabi da AWS – Amazon Web Services – da parte dei droni iraniani.

Vediamo quindi quali sono le implicazioni e cosa cambia per tutti noi. Cena a parte.  

I datacenter sono infrastrutture critiche

I datacenter sono ormai strutture essenziali per la vita delle persone e per l’economia dei paesi. Banche, servizi di pagamento, logistica, comunicazione, sistemi aziendali: tutto funziona grazie a questi maxi-contenitori di dati.

Se, fin qui, si era pensato che bastasse proteggerne gli spazi e la continuità operativa da incidenti, calamità naturali o, al massimo, attacchi informatici, ora si aggiunge uno scenario in più di cui tenere conto: la guerra fisica contro il datacenter stesso, che può essere attaccato proprio come altre infrastrutture vitali (acquedotti, centrali elettriche, ponti).

Implicazioni tecniche e organizzative: il disaster recovery, o meglio Geo-Political Recovery

Ricordate i 300 chilometri necessari tra un sito operativo e l’altro per ottenere la certificazione di sicurezza dei sistemi informatici e un buon piano di disaster recovery? Ecco, potrebbero non essere più sufficienti.

In effetti tra il centro AWS in Bahrain e quello negli Emirati la distanza sarebbe anche rispettata, eppure Amazon ha consigliato ai suoi clienti una migrazione di backup in una regione fuori dall’area di crisi.

L’imprevedibilità della situazione rende improvvisamente necessario rivedere il protocollo di sicurezza secondo una logica di “disaster recovery geopolitico”.

Facciamo un esempio pratico: noi di Momit siamo operativi in Datacenter a Riga (Lettonia), che purtroppo in questo momento è sconsigliata per la vicinanza a Ucraina e Russia. I disaster recovery possono però andare negli altri siti che sono: Milano e Roma, Ginevra e Zurigo (Svizzera), Stoccolma (Svezia), Oslo (Norvegia), Copenaghen (Danimarca). E dal 2028 avremo anche Madrid (Spagna). Possiamo dire che fin qui l’Europa sta garantendo una buona dose di sicurezza operativa.

Implicazioni economiche: dati e AI = trasformazione economica

È ormai evidente a chiunque stia seguendo gli scenari mondiali che dominare la tecnologia AI (e le materie prime che servono per farla funzionare) significa posizionarsi tra le potenze economiche del mondo.

Si parla di investimenti miliardari, di interesse anche dei governi. Al tavolo, quindi, c’è la possibilità di dover difendere ben più di qualche matassa di cavi e armadi server.

Implicazioni nella difesa: finiremo per militarizzare i datacenter?

Più che altro finiremo a doverli difendere, come succede per le altre infrastrutture già catalogate come “critiche”.

In pratica questo potrebbe voler dire usare tecnologie anti-droni, più semplici e meno costose, per arrivare fino a sistemi di intercettazione da terra, in difesa di dati e datacenter.

Certamente non più un tavolo di discussione commerciale, ma legato alla sicurezza nazionale.

La guerra ibrida e i cyber attacchi ai sistemi AI  

Aggiungiamo allo scenario di guerra fisica, quello di guerra ibrida. Senza quelle bombe che istintivamente ci fanno più paura, questo è un tipo di guerra letteralmente senza quartiere e geografia. È come se Ciro mettesse in forno pizze che daranno fuoco alle altre pizze – sistemi di AI che nascono e lavorano per compromettere l’AI stessa e le infrastrutture che gestisce. AI contro AI, cyber security contro cyber criminalità: la partita si gioca usando gli stessi modelli. La regolamentazione dell’AI è un primo passo necessario, ma non certo definitivo.

Il caso Anthropic Mythos

Pare fantascienza eppure Anthropic, la società che ha sviluppato Claude AI, ha rivelato la scelta di non rendere disponibile al grande pubblico Mythos, l’ultimo aggiornamento. Le ragioni sono legate alla sicurezza nazionale, delle persone e dell’economia: il modello sarebbe infatti troppo bravo a identificare e sfruttare le vulnerabilità dei software.
In fase di test ha rilevato difetti critici in tutti i sistemi operativi e browser web che ha scandagliato e ha hackerato con successo il 73% dei casi che gli sono stati sottoposti.

Anthropic ha quindi deciso di rendere disponibile il modello solo ad un piccolo gruppo di organizzazioni per uso difensivo: possono usare Mythos per trovare i bug nelle proprie reti, prima che le pizze brucino nel forno. Se volete saperne di più, qui trovate tutto sul progetto Glasswing.

Questa storia ci lascia un filo di speranza e un grande timore: da un lato Anthropic sta lavorando per proteggerci, ma cosa succederà quando qualcuno meno etico di Anthropic riuscirà a creare Mythos?

Palantir e la deterrenza

La misura di quanto l’AI sia oggi un asset di influenza mondiale ci è data dal manifesto di Palantir, pubblicato dall’azienda stessa su X.
Il punto numero 12 dice: “L’era di deterrenza atomica sta finendo e una nuova era di deterrenza basata sull’intelligenza artificiale sta per iniziare”.

Questo è il conflitto parallelo, ibrido, sul quale tutti noi esperti di cyber-resilienza siamo chiamati a ragionare e trovare una soluzione, che probabilmente, come ogni cosa dell’informatica, risiede nella ricerca continua. Mai che si possa mangiare una pizza in pace!

Ma tutto questo riguarda davvero le aziende “normali”?

Come spesso capita, la risposta è “nì!”.

La maggior parte delle aziende europee (voi, con cui noi lavoriamo ogni giorno) è al sicuro e, vogliamo essere ottimisti, lo sarà anche nell’immediato futuro.

Giusto per chi preferisce avere tutto sotto controllo, la checklist è questa:

1. Sapere dove sono i dati fisicamente.

2. Avere un piano di disaster recovery in area sicura.

3. Sapere chi gestisce l’infrastruttura e a chi rivolgersi.

E mentre scriviamo, immaginiamo Ciro che sta aprendo una catena di franchising in aree sicure e imparando a controllare la lievitazione degli impasti con strumenti di intelligenza artificiale in locale. Ma questa è un’altra storia e ve la raccontiamo tra qualche settimana.