Data la natura sempre più estesa delle minacce informatiche al giorno d’oggi – che superano i confini internazionali, si insinuano nei servizi digitali aziendali fino a raggiungere le catene di approvvigionamen e nonché le infrastrutture pubbliche e private – il modello tradizionale di un’unica autorità centrale incaricata di gestire le difese informatiche non risulta più del tutto adeguato.
Entra in scena il nuovo modello di difesa informatica che negli ultimi anni sta prendendo piede tra i governi, le agenzie e le istituzioni europee: un comando centralizzato che guida un’azione decentralizzata .
«Nessuna singola autorità può avere una visione d’insieme o il controllo su ogni nodo di questo vasto ecosistema digitale», ha affermato Raymond Bierens, presidente della Fondazione Connect2Trust con sede nei Paesi Bassi, in un’intervista esclusiva concessa a Focal Point.
La fondazione condivide informazioni sulle minacce con i centri SecOps di grandi organizzazioni del settore pubblico in tutta l’UE. Le loro collaborazioni, insieme ad altre, riflettono la crescente consapevolezza che il settore informatico richieda non solo strumenti migliori, ma anche un modello operativo più intelligente e più flessibile.
Questo nuovo modello rappresenta essenzialmente una versione più raffinata del concetto di comando e controllo (C2), ovvero l’insieme dei processi e dei sistemi standard che i vertici militari utilizzano per prendere decisioni (comando) e sui quali gli altri fanno affidamento per attuarle (controllo). La soluzione pragmatica che sta emergendo consiste in un approccio in cui l’agilità, la collaborazione e la resilienza prevalgono su una gerarchia rigida – ispirato al modo in cui la difesa militare sta cambiando, e favorito dal fatto che molti ex militari operano ora nel settore della sicurezza informatica.
Perché passare a un modello di comando e controllo (almeno in parte) decentralizzato?
Per comprendere i vantaggi della decentralizzazione, è utile fare un passo indietro – ma proprio un , un’enorme – fino al passaggio storico dai modelli centralizzati a quelli decentralizzati nell’arte della guerra.
«Nessuna singola autorità può avere visibilità o controllo su ogni nodo di questo vasto ecosistema digitale.»Raymond Bierens, presidente della Fondazione Connect2Trust
«Se guardiamo all’epoca napoleonica, il comando era fortemente centralizzato», ha dichiarato Dan Snape, ex ufficiale della Royal Air Force e comandante della difesa informatica presso il Ministero della Difesa del Regno Unito, al Focal Point di . «Ai soldati non era consentito pensare con la propria testa; dovevano obbedire agli ordini di un ufficiale che indicava loro con precisione cosa fare e quando farlo.»
Con il passare dei secoli e l’evoluzione delle forme di guerra, dalle guerre mondiali ai conflitti contemporanei, si è affermato il passaggio da un comando centralizzato a un’esecuzione decentralizzata. «I soldati erano addestrati e autorizzati a valutare autonomamente la situazione e ad agire nel rispetto di regole di ingaggio predefinite d », ha proseguito Snape. «Si trattava di una forma di delega di autorità per l’uso della forza militare.»
Snape, attualmente amministratore delegato della società di consulenza in materia di sicurezza informatica Kaze, con sede a Londra, individua i vantaggi che i team di sicurezza possono trarre dall’adozione di un quadro di riferimento analogo.
«Lento significa fluido, fluido significa veloce»
Nel contesto della sicurezza informatica, la decentralizzazione del processo decisionale operativo e dell’esecuzione può garantire agilità e rapidità, se attuata correttamente.
«. Se riuscite a formare team maturi e altamente performanti, questi si sentiranno abbastanza sicuri da accettare l’autonomia che viene loro offerta.»Dan Snape, ex comandante della difesa informatica presso il Ministero della Difesa del Regno Unito e attualmente amministratore delegato di Kaze
«Se si riesce a creare team maturi e altamente performanti, questi si sentiranno sufficientemente sicuri da accettare l’autonomia che viene loro offerta», ha affermato Snape. «I processi, la tecnologia e i dati costituiscono i sistemi d’arma a disposizione di questi team. La rapidità deriva da un processo decisionale e da un’esecuzione mirati. «Può sembrare strano, ma “lento è sinonimo di preciso, e preciso è sinonimo di veloce”», ha aggiunto, citando un motto delle unità delle Forze Speciali dell’esercito che sottolinea l’ importanza di azioni ponderate e ben collaudate.
Un processo fluido, secondo la terminologia della difesa informatica C2 , significa che le informazioni provenienti dalle entità locali vengono raccolte e analizzate in un centro SecOps centrale e immediatamente trasmesse a tutte le altre entità locali, consentendo una reazione tempestiva alle minacce.
Detto questo, il decentramento presenta anche delle sfide specifiche e potrebbe persino portare alla creazione di punti ciechi a livello operativo.
«Il fatto che due dipartimenti effettuino entrambi valutazioni dei rischi non significa che i loro risultati siano comparabili», ha affermato Bierens. «È necessaria l’interoperabilità sia all’interno che tra i vari livelli gerarchici per garantire il raggiungimento della prontezza operativa collettiva.»
Anche i fattori culturali continuano a rappresentare un ostacolo significativo alla creazione di team maturi e altamente performanti. Molte agenzie civili non possiedono quella mentalità orientata alla missione che è profondamente radicata nelle istituzioni della difesa. «A queste sfide si aggiunge il fatto che alcuni continuano a ritenere che la sicurezza informatica sia… un problema che riguarda qualcun altro», ha affermato Dan Jones, ex responsabile del team per la sicurezza informatica presso il Ministero della Difesa del Regno Unito e attualmente consulente senior per la sicurezza presso Tanium (che pubblica questa rivista). “. Colmare tale divario richiede formazione continua e leadership.”
Nonostante tali sfide, i recenti avvenimenti geopolitici e l’ e aumento delle minacce da parte degli Stati-nazione stanno incoraggiando (se non addirittura costringendo) le organizzazioni sia del settore pubblico che di quello privato ad avvalersi delle linee guida e delle migliori pratiche delle rispettive forze armate nazionali.
In che modo un approccio ibrido potenzia i vantaggi del comando e controllo decentralizzati (pur mantenendo una struttura centrale)
Un modello ibrido di comando e controllo consente alle amministrazioni pubbliche di gestire a livello centrale le funzioni fondamentali – quali la condivisione delle informazioni di intelligence, i rapporti con i fornitori e gli appalti tecnologici di grande entità – preservando al contempo la flessibilità delle squadre di intervento locali. «Non è necessario che sia centralizzato dall’alto verso il basso», ha affermato Snape. «Occorre, innanzitutto, dedicare il tempo necessario a definire tale minaccia e a valutare le proprie capacità. Solo allora sarete in grado di trovare un equilibrio tra la supervisione strategica centralizzata e la rapidità operativa che deriva da un’esecuzione decentralizzata.”
«[In molte imprese del settore civile], le difficoltà sono aggravate dal persistere, in alcuni ambienti, dell’idea che la sicurezza informatica sia… un problema che riguarda qualcun altro.»Dan Jones, consulente senior per la sicurezza, Tanium
«La collaborazione è fondamentale», ha affermato Bierens, riferendosi alla condivisione di informazioni da parte di Connect2Trust che consente ai responsabili della sicurezza informatica (CISO) dell’ , , e ai loro centri SecOps di collaborare su base volontaria in un ambiente affidabile. Una cosa è disporre di normative europee, ma un’altra è attuarle nei diversi paesi. Ad esempio, la direttiva NIS2 relativa alla protezione dei dati ( ), un insieme di norme dell’Unione Europea che impone alle grandi organizzazioni di migliorare il proprio livello di sicurezza, è stata recepita in 27 diverse leggi nazionali, il che potrebbe non rappresentare il modo più efficiente di operare.
Il successo dipende da una dottrina condivisa, da incentivi allineati e da una consapevolezza comune.
«Abbiamo tratto un insegnamento dagli [Stati Uniti]» «L’idea del generale Stanley McChrystal relativa al “Team of Teams”,» disse Snape. Il generale, ora in pensione, ha sviluppato questo concetto mentre era al comando delle forze statunitensi in Iraq: rendendosi conto che le tradizionali strutture gerarchiche non erano in grado di tenere il passo con la rapidità e l’adattabilità delle reti terroristiche decentralizzate, ha abbattuto i compartimenti stagni e ha promosso una cultura improntata alla consapevolezza condivisa e all’autonomia operativa tra le varie unità. «Partendo dallo stesso principio, abbiamo creato piccoli team dotati di piena autonomia, che conoscono la propria missione, condividono gli stessi strumenti e le stesse linee guida e dispongono dell’autonomia necessaria per agire rapidamente», ha affermato Snape.
Questo tipo di collaborazione è presente tra diversi enti governativi, ma vi sono esempi anche nel settore privato, poiché un numero crescente di attori malintenzionati persegue i propri interessi economici e geopolitici nel cyberspazio. Un esempio calzante: le multinazionali Allianz SE, BASF SE, Bayer AG e Volkswagen AG hanno unito le forze in Germania nel 2015 , dando vita a un’organizzazione di sicurezza informatica (, DCSO), la Deutsche Cyber-Sicherheitsorganisation (Organizzazione tedesca per la sicurezza informatica), al fine di contrastare la criminalità informatica organizzata e lo spionaggio industriale controllato dallo Stato.
Gli esperti prevedono un aumento di tali iniziative di collaborazione, soprattutto alla luce del fatto che i malintenzionati sfruttano la potenza dell’intelligenza artificiale per sferrare attacchi informatici sempre più rapidi e incessanti.
Come nel caso dell’intelligenza artificiale, non sono solo i difensori ad adattarsi: recenti varianti di malware quali TransferLoader e Skitnet dimostrano come i criminali informatici stiano utilizzando strategie decentralizzate di comando e controllo per aumentare la propria resilienza ed eludere il rilevamento. TransferLoader utilizza il sistema decentralizzato InterPlanetary File System (IPFS) per garantire il funzionamento anche nel caso in cui il proprio server principale venisse messo fuori uso, mentre Skitnet impiega una comunicazione basata sul protocollo DNS, all’interno di una struttura modulare, per mantenere l’anonimato. Una serie di attacchi ransomware di tipo “ ” ai danni del settore della vendita al dettaglio del Regno Unito, verificatisi lo scorso maggio, ha messo in luce l’utilizzo di tattiche decentralizzate volte a diffondersi nei sistemi in modo rapido e imprevedibile.
Definizione di ruoli, responsabilità e poteri
In un modello decentralizzato (o federato) di difesa informatica, uno degli aspetti più complessi è l’attribuzione delle competenze. «Se si impongono troppe regole», ha ammonito Jones, «si rischia di soffocare lo spirito di iniziativa». L’esperienza europea, invece, propende per strutture flessibili, con coalizioni di paesi che condividono gli stessi obiettivi, sostenute dalla fiducia e dal reciproco vantaggio.
«Abbiamo creato piccoli team autonomi che conoscono la propria missione, condividono gli stessi strumenti e le stesse linee guida e dispongono dell’autonomia necessaria per agire rapidamente.»Snape
«I progetti di maggior successo spesso nascono dal basso», ha aggiunto Bierens. «Basta individuare coloro che hanno il coraggio di condividere i propri successi e le proprie difficoltà, affinché gli altri possano imparare ed evitare di reinventare la ruota.»
Il principale ostacolo al progresso è una crescente attenzione alla conformità e ai controlli. «Le ricerche dimostrano che la gestione dei rischi digitali è molto diversa dalla gestione della conformità », ha affermato Bierens, «poiché la prima consente un modello federato, mentre la seconda elimina ogni senso di responsabilità a livello tattico e operativo». Un approccio pragmatico del tipo «procedere fino all’arresto» – diffuso negli ambienti della difesa – può rivelarsi sorprendentemente efficace nel campo della sicurezza informatica.
Il ruolo dell’intelligenza artificiale e dell’automazione
Come nel caso di tante altre operazioni, l’intelligenza artificiale ( ) e l’automazione consentiranno ai centri di comando e controllo decentralizzati di operare su larga scala. Snape intravede un futuro in cui l’intelligenza artificiale ( ) rivoluzionerà gli strumenti di sicurezza informatica, svolgendo in particolare tre ruoli chiave: potenziare le operazioni dei centri operativi di sicurezza (SOC) , accelerare il processo decisionale a livello dirigenziale e ottimizzare gli appalti. «Se l’intelligenza artificiale è in grado di sintetizzare gli incidenti, simulare le opzioni e raccomandare le azioni da intraprendere, si riducono drasticamente i tempi decisionali», ha affermato. «È l’unico modo per stare al passo con avversari che non rispettano le stesse regole etiche che rispettiamo noi.»
«: ogni azienda opera a livello transfrontaliero, proprio come gran parte di Internet stesso.» Le minacce hanno carattere transnazionale. Eppure continuiamo a reagire ricorrendo a leggi e istituzioni nazionali.”Bierens
In sostanza, l’intelligenza artificiale non elimina la necessità di una supervisione umana; richiede piuttosto un maggiore impegno da parte della leadership. I responsabili delle decisioni strategiche devono possedere competenze tecniche sufficienti per comprendere i modelli ibridi di comando e controllo e impiegare efficacemente le risorse disponibili.
Un contesto europeo di rilevanza globale
Questi sviluppi nell’UE hanno ripercussioni a livello globale. In un mondo interconnesso, la resilienza informatica dipende dall’allineamento tra il settore pubblico e quello privato, da una governance centralizzata e dall’iniziativa a livello locale. Come ha osservato Bierens, «Ogni azienda opera a livello transfrontaliero, proprio come gran parte di Internet stesso». Le minacce hanno carattere transnazionale. Eppure continuiamo a reagire ricorrendo a leggi e istituzioni nazionali.”
La “Strategic Defence Review” (Rivedere la difesa strategica) del Regno Unito, recentemente pubblicata , costituisce uno dei segnali più evidenti finora che tale approccio non sia solo teoria, ma stia diventando una dottrina.
La presente Revisione strategica della difesa 2025 ribadisce l’importanza di un comando centralizzato con un’esecuzione decentralizzata, in particolare attraverso la creazione del Comando per la sicurezza informatica ed elettromagnetica dell’ . Questo modello considera il panorama digitale come un ecosistema sfocato e interdipendente che richiede una stretta collaborazione non solo all’interno della pubblica amministrazione, ma anche con il settore privato, abbracciando gli ambiti della tecnologia, delle operazioni e delle risorse umane.
L’SDR riconosce inoltre il cambiamento intervenuto nella portata e nella complessità delle minacce, nonché l’importanza di strategie federate in materia di sicurezza informatica. Il continuo investimento del Regno Unito in questo modello ibrido costituisce una chiara conferma della sua efficacia nell’ambito della difesa digitale moderna.
Fino ad allora, ciò che conta è il progresso, non la perfezione. «Non aspetti il modello perfetto», consigliò Snape. “Pensate in grande, iniziate in piccolo, agite rapidamente per creare valore e instaurare un rapporto di fiducia. «L’azione è l’unico vero metro di misura del successo.»
