Oggi ci troviamo a dover ammettere, in maniera realista e inequivocabile, che il nostro futuro si giocherà prevalentemente con un nuovo concetto di intelligence. La crisi attuale ci impone una riflessione senza precedenti e ci restituisce proprio questa immagine. La capacità di prevenire ogni crisi, se pur ventilata, gestita o altro, si è rivelata un disastro. Per due ragioni.
Le due ragioni del fallimento
La prima è che le infrastrutture critiche hanno dimostrato, al di là dei proclami, la loro vera natura. Ovvero hanno dimostrato, quasi fosse un corpo estraneo alla nostra società, la necessaria interdipendenza di certi fenomeni. Eravamo abituati a studiare i blackout e ci siamo ritrovati a gestire la salute delle persone. Questa interdipendenza si è fortemente ampliata dal fatto che i vettori si sono dimostrati più importanti degli stessi untori. Ovvero il numero dei passaggi e dei link nei pass è stato molto più alto del singolo untore, basta vedere il famoso tasso di contagiosità.
Con il Covid-19 un infetto riuscirebbe a trasmettere a “n” casi la malattia grazie proprio all’effetto di questa interconnessione, che fino a ieri sarebbe dovuta essere il primo motore dello sviluppo.
La seconda, su questa scia, è che ci siamo trovati impreparati sul ribaltamento di quelle pratiche che da necessarie sono divenute liberamente interpretabili. Addirittura, in un paese in cui parlano tutti di sicurezza e digitalizzazione, attiviamo delle contromisure (vedi la scuola) di emergenza e contenimento e non di contrasto. La differenza c’è ed è forte. Con azioni pianificate ma di contesto si utilizzano protocolli comuni e non lasciti speranzosi ad autonomie locali che continuano a diramare dubbi in maniera localizzata senza ancora rendersi conto che siamo in emergenza globale. Penso alle interpretazioni dei piani di crisis management, alle strettoie delle leggi dei security manager, alla business continuity, alla capacità di resilienza che ci avrebbero dovuto aiutare, invece così non è stato. Questa crisi non ha nulla a che vedere con il passato. È simmetrica, asimmetrica, costante e continua. Tutto insieme. Quindi in assenza di protocollo rigido non saremo capaci di prevenire né di combattere questa vera e drammatica situazione.
In questa seconda ragione c’è stata anche la consacrazione del fatto che ciò che veramente si dovrà prendere in considerazione in futuro non sono più solo i processi critici, ma la totalità dei processi e la loro interdipendenza in cui non solo le cose e le infrastrutture IT, come ci impone anche il Golden Power, sono importanti, ma anche le risorse umane e i contatti conseguenti. Vanno ridisegnati i legami sociali, le loro possibili relazioni e i contesti variabili anche in base a elementi da indossare (vedi mascherine e guanti). Bisogna, in maniera esponenziale, fare un’effettiva valutazione, seria e globale, della comprensione del mondo, quello globalizzato che conosciamo, e capire che non basta più conoscere i fenomeni in maniera separata, ma come le parti sono collegate e interagiscono fortemente tra loro. Dovremmo puntare a trasportare quel modello proprio del Web e farlo tornare tipicamente umano. Monitorare la serie innumerevole di criticità legate anche alle persone e alla loro socialità.
Assistiamo a quella che oggi possiamo chiamare rete orientata, dove i link sociali hanno determinati passaggi che vanno da a verso b ma non necessariamente da b tornano verso a. L’intelligence del futuro dovrà farsi carico proprio di questo: non più e non solo del carattere distintivo di certi comportamenti, ma valutarne la loro imprevedibilità. Si parlava di intelligence del futuro come comprensione dei dati, come studio dell’informatizzazione delle fonti, oggi invece (e insieme a quelle pratiche) diventano e tornano a essere importanti le reti interconnesse e sociali che ci danno la dimostrazione che possono sfuggire facilmente a strutture matematiche.
Prendiamo la struttura ad albero propria della matematica. All’interno di questa esistono delle reti che non sono solo percorso tra coppie di hub, nodi, link ma hanno senso nelle loro interazioni (pensiamo alle persone che viaggiano in aereo tra nazioni e continenti, diventano dei veri e propri vettori). Monitorare la diffusione delle informazioni ma anche delle relazioni umane e degli spostamenti di tali informazioni diventa importante. Va spostato il baricentro che, seppur includendo tutte le dinamiche dei problemi conosciuti (da IT, attacchi cyber, marine e terrorismo) deve fare da motore a quelle analisi dei contesti che diventano dei diagrammi di controllo nel tempo (anche ogni settimana o ogni giorno) in cui si instauri un processo che sia chiaramente esposto a numerose biforcazioni. Se è vero che l’intelligence sta portando, attraverso i suoi reparti del DIS, AISE e AISI un nuovo approccio al problema, altrettanto vero è che il fenomeno sociale e di infrastruttura umana si stava perdendo in una sorta di umanesimo digitale in cui spesso ci si dimentica che gli esseri umani erano e sono il principale link e input a determinati processi.
Quando il Copasir chiede informazioni sulla app Immuni o sulle fake news, vuole riconoscere questi elementi umani e il modo in cui si manifestano nelle cose, negli oggetti, nelle reti web, nel design delle cose. La tecnologia è più statica della mente umana. Lo abbiamo visto anche negli attacchi terroristici in un recente passato. Bisogna pertanto rendersi conto che, come una partita a scacchi, l’elemento imprevedibile sfocia in un campo ampio e pieno di sorprese. Benché si conoscano tutte le mosse, c’è sempre qualche sorpresa nelle scelte umane che può far saltare il banco subito. Serve ad esempio uno studio appropriato del distanziamento umano, dei rapporti sociali dei prossimi anni, della comprensione logica del rapporto uomo-mondo, insomma quella che definirei in primis una nuova filosofia delle relazioni. Ovvero la capacità logica del pensiero di unire l’elemento digitale con quello umano e capirne gli approdi o le derive attraverso i contatti sociali.
La security by design
Pensiamo alla security by design: quante persone hanno compreso che il vero pericolo non sta nella digitalizzazione ma nella connessione oggetto-uomo-mondo? La distanza che separa l’uomo dalle cose sarà azzerata e la possibilità che in questo flusso si possano avere “n” pericoli è altissima. Su questa linea si deve pensare a una nuova topologia, una matematica degli schemi e delle interazioni in cui elementi logici del pensiero (induttivi e deduttivi) di tale filosofia si compenetri con quella che, per il futuro, possiamo oggi chiamare senza dubbio intelligence predittiva. Al pari dell’intelligence economica che è nata per rispondere sempre più alle dinamiche di concorrenza sleale da parte di aziende di altri paesi, come la protezione degli asset da parte del già citato Golden Power e del perimetro cibernetico, l’intelligence predittiva dovrà essere alimentata dalla capacità di conoscere e limitare, sulla base della filosofa delle relazioni, come già accade nei sistemi informativi, eventi dannosi per la nostra salute e società. Mappare le abitudini delle possibili interazioni e le esposizioni come strumento di lavoro. Pensiamo alla mappatura fisiologica e sociale delle opportunità che possiamo avere oggi. Alla possibilità di analizzare i dati, interpretarli e, almeno in parte, prevenirli per preservare una sorta di equilibrio sociale. Poi applichiamo tutto questo a quella che nella scienza si chiama l’exaptation (vedi Stephen J.Gould e Elisabeth S. Vrba). Ovvero analisi delle relazioni, poi logica e computazionale dei fenomeni che già sono presenti in storia ma che possono essere utili per fare altre azioni più gravi. Possiamo mutuare questa teoria dal biofisico statunitense Stuart Kauffman. Quest’ultimo parla di fenomeni sociali come agglomerati di tipicità, evidenze e possibilità, definiti agency. Le agency rappresentano il misto di storicità degli accadimenti e possibili novità da cui deve uscire la capacità di prevenire grandi crisi attraverso (anche se in minima percentuale) l’analisi dei processi agenti. Cioè cercare, in tutti i fenomeni sociali, cosa potrebbe rappresentare un pericolo o un inizio di crisi. Anche pochi dettagli. Bisognerà creare ad alto livello una risposta a una minaccia che si manifesta anche in piccoli accadimenti. Questo dobbiamo finalmente imparare dalla complessità e dalle infrastrutture critiche.
Il perimetro cibernetico
Questi dati sono facilmente reperibili con una nuova visione della Humint (Human Intelligence) e della Osint (Open Source Intelligence): in cui tutto ciò che viene condensato da analisi a monte (qui utile la business continuity o piani di emergenze) poi va ampliato e costruito come per incrociarlo con la vita stessa dell’individuo. Ipotizzare scenari e prevedere possibili rischi. Pensiamo allo studio delle file ai supermercati o delle folle oggi, o da come ripartirà la formazione, come saranno i nostri figli nel futuro. Ci darebbe tanto materiale per capire anche come si riorganizzerà il mondo, nel bene e nel male, nel terrorismo o in un nuovo virus. Da questo stilare un piano, che non dovrà essere solo gestione della crisi o continuità operativa, dovrà uscire una strada da seguire per prevenire una crisi, anche se remota o giudicata impossibile. Un ultimo esempio può essere desunto dal perimetro cibernetico: se bisogna aggiornare e monitorare con cadenza annuale una mappa delle reti, infrastrutture e sistemi informativi, dovremmo farlo anche per le risorse umane che gestiscono tali reti. Bisognerà creare una mappa al pari degli elenchi dei servizi IT, in cui si descrivono visite, gestione delle informazioni, gradi di riservatezza e altro.
Queste mappe, come quelle che si dovranno mandare al Csirt (Computer security incident response team), devono poi essere inoltrate al Copasir e al Dis (Dipartimento per l’Informazione e la Sicurezza) in modo da verificare se in quelle relazioni vi siano elementi degni di nota sia che per prevenire crisi, per lo spionaggio industriale, per agire contro il terrorismo e per la prevenzione di infiltrazioni mafiose e terroristiche. Non bisogna creare nuovi elementi per fare questo, li abbiamo già: la Business Impact Analysis e le schede e i riferimenti stringenti della legge 19011 e 27001. Non possiamo fuggire oggi più che mai da questa responsabilità.
