«Cybersecurity: più dialogo tra ricerca e imprese»

«Non sono una tecnica», premette. «Però ho ben chiara la ricchezza intellettuale e tecnica che il mondo della ricerca e dell’università producono, e quale valore potremmo ricavare se riuscissimo a mettere a terra tutte queste capacità e competenze in un settore ormai fondamentale come quello delle tecnologie digitali più evolute». È una visione positiva ed evolutiva quella che la professoressa Giovanna Iannantuoni, rettrice dell'Università degli Studi di Milano-Bicocca, porta in questa intervista che anticipa alcuni degli spunti che l’accademica porterà il 19 maggio in occasione del suo intervento nella sessione di apertura dell’edizione 2022 di Banche e Sicurezza, l’evento annuale organizzato da ABI, in collaborazione con ABI Lab, CERTFin e OSSIF per conoscere ed esplorare le frontiere della sicurezza fisica e digitale nei settori bancario, finanziario e assicurativo (iscriviti qui: https://banchesicurezza.abieventi.it/register).

È assolutamente vero che quando si parla di cybersecurity non si parla solamente di sicurezza informatica. La cybersecurity è un campo molto ampio, che abbraccia ad esempio temi economici, psicologici, e sociali. Economici, perché ormai gli attacchi cyber sono diventati un vero business, con un “fatturato” di tutto rispetto; psicologici, perché nello sferrare gli attacchi i malintenzionati fanno leva sui comportamenti delle persone; e infine sociali, perché tali comportamenti hanno conseguenze non solo sui singoli individui ma anche e soprattutto sul nostro rapportarsi con gli altri. Non dimentichiamoci infine che gli attacchi possono essere diretti non solo alle singole persone, ma – soprattutto – alle imprese, agli enti pubblici, alle istituzioni, per non parlare delle infrastrutture critiche; ne abbiamo evidenza ogni giorno, guardando le notizie diffuse dai mezzi di comunicazione. I temi della cybersecurity, e la protezione dagli attacchi, devono pertanto essere considerati da tutti un elemento imprescindibile del nostro vissuto. E lo stesso vale per le aziende, per gli enti pubblici, e per le istituzioni. Purtroppo devo dire che, da quello che vedo, non tutti hanno consapevolezza di ciò; molto spesso la cybersecurity viene vista come un qualcosa di cui si occupano i tecnici informatici, senza che noi ne siamo minimamente coinvolti. Uno dei principi cardine della sicurezza informatica è che una catena è forte quanto il suo anello più debole; e nel caso dei sistemi informatici, l’anello debole sono i comportamenti delle persone. Aumentare la consapevolezza e diffondere le buone pratiche di comportamento deve quindi essere uno degli obiettivi primari da perseguire.

Il mondo della ricerca è molto attivo in tutte le discipline, e quello della cybersecurity non fa eccezione. Come ben sanno gli esperti, vengono pubblicati quotidianamente moltissimi studi – dagli argomenti più tecnici a quelli di impatto economico e sociale – su riviste specializzate e in atti di conferenze internazionali. La comunità degli scienziati interessati a questi temi è in costante crescita, e anche i progetti e le collaborazioni internazionali testimoniano una vitalità del settore e una volontà da parte dei ricercatori di collaborare e di confrontarsi. Molto spesso, però, tutti questi studi vengono svolti da esperti per esperti, e di conseguenza vivono e si sviluppano all’interno della comunità accademica e di ricerca. Non dico che manchino le occasioni di confronto con le aziende del settore, che sono spesso interessate ad applicare ai propri prodotti e servizi i risultati degli studi accademici (si pensi all’importanza crescente delle tecniche di Intelligenza Artificiale nella Cybersecurity, tanto per fare un esempio), ma queste attività di trasferimento tecnologico vanno sicuramente incoraggiate e incentivate, in modo tale che la ricerca abbia un impatto reale nelle attività economiche del Paese. Allo stesso modo, va incentivato il trasferimento tecnologico verso la Pubblica Amministrazione e le istituzioni; è un passaggio necessario, e chi non lo fa rischia di restare indietro. Il sistema Paese funziona se tutti i suoi ingranaggi girano alla perfezione e contribuiscono agli obiettivi di crescita comuni.

Come ho detto poco fa, è assolutamente necessario che la ricerca non si barrichi in una torre d’avorio, ma che si confronti con i problemi reali posti dalle aziende e dalle istituzioni. Altrimenti rischia di occuparsi di problemi sempre più astratti, specialistici, e fini a se stessi. Fino ad ora le occasioni di interazione tra il mondo della ricerca e quello dell’innovazione è stato principalmente lasciato all’iniziativa personale dei singoli gruppi di ricerca, o delle singole Università o centri di ricerca, partecipando a bandi specifici. Da qualche anno però sia il mondo della ricerca che le istituzioni si stanno organizzando: due iniziative in questa direzione sono il Laboratorio Nazionale di Cybersecurity del CINI (Consorzio Interuniversitario Nazionale per l’Informatica), e l’Agenzia per la Cybersicurezza Nazionale (ACN). Con il PNRR, si presenta ora una opportunità che potrebbe dare un’ulteriore spinta all’integrazione tra i due mondi. I progetti di ricerca presentati in questo ambito prevedono infatti fin dall’inizio dei partenariati pubblico-privati, che vedono la partecipazione sia di Università ed enti di ricerca, sia di aziende; inoltre, è nella natura stessa del PNRR che i progetti sviluppati non debbano concludersi dopo tre anni, ma che al contrario diventino autonomi e si auto-alimentino nel tempo. Al di là dei risultati scientifici e delle applicazioni pratiche, questo significa costruire un tessuto formato da collaborazioni stabili e continue tra il mondo della ricerca e le aziende.

Certo, dietro ogni tecnologia e ogni risultato scientifico ci sono le persone, i ricercatori, che mettono tutta la loro conoscenza – ma soprattutto la loro passione – nel lavoro che svolgono. Che molto spesso non viene neanche percepito come “lavoro”, visto che coincide con i propri interessi culturali. In tutto ciò, l’Università ha un ruolo fondamentale, nel fornire una formazione di alto livello, che consenta di muoversi in un mondo altamente tecnologico che cambia in maniera molto rapida. Sono convinta del fatto che la formazione fornita dall’Università debba avere un duplice aspetto. Da un lato, deve fornire delle solide conoscenze e competenze di base, perché senza queste è impossibile capire e occuparsi dei problemi avanzati di fronte ai quali ci pone il mondo attuale. D’altra parte, queste conoscenze devono essere calate all’interno del contesto dei problemi che si andranno ad affrontare nel corso della propria carriera; occorre quindi prevedere dei momenti in cui gli studenti si confrontano con tali problemi, e ci lavorano insieme ad altre persone. Ciò può avvenire solamente facendo fare agli studenti esperienze di vita aziendale, e di collaborazione all’interno di un team. Questo è tanto più vero in particolare per le fasi di formazione più avanzate, come i master e i dottorati di ricerca. Da questo punto di vista l’Università di Milano-Bicocca è molto attiva: sia l’alta formazione, di cui i master fanno parte, sia le borse di dottorato industriale, sono in costante crescita.

Dal punto di vista dell’alta formazione, è ormai ampiamente riconosciuto che il nostro Paese forma delle eccellenze che sono apprezzate in tutto il mondo. I nostri ricercatori sono tra i più bravi, anche se purtroppo molto spesso devono emigrare per poter esprimere al meglio il proprio potenziale. Dal punto di vista del tessuto aziendale, ricordiamo che l’Italia è tra i Paesi più industrializzati del mondo. Inoltre la compagine di aziende è molto particolare, in quanto sono presenti molte aziende piccole ma ad alto contenuto tecnologico. L’unione di questi due aspetti è un mix particolare, che si può compiere solamente nel nostro Paese; dobbiamo allora agevolare la collaborazione tra i due mondi, ed essere pronti a raccoglierne i frutti.