Crowdstrike: tre inquietanti lezioni su quanto è fragile la nostra società

Crowdstrike: tre inquietanti lezioni su quanto è fragile la nostra società

Il caso del blocco mondiale di server Microsoft dovuto al bug in un aggiornamento del sistema di sicurezza Falcon di Crowdstrike ha prodotto oggi una paralisi di rango globale. Transazioni bancarie bloccate dal Regno Unito a Israele, servizi di broadcasting e televisione fermi in Australia, compagnie aeree a terra e aeroporti in tilt dalla Spagna agli Usa, da Singapore alla Germania. Una tempesta perfetta dal costo incalcolabile che, lo ricordiamo, non è stata dovuta a un attacco ostile, ma solo a un errore di sistema. Ci sono grandi e importanti lezioni che si dovrebbero cogliere da questi fatti. Ne sottolineiamo  almeno tre.

La prima lezione: le nostre reti digitali sono incredibilmente fragili (e complicate)

Il primo punto ha a che fare con l’assenza di robustezza di sistemi come quelli digitali a cui deleghiamo buona parte della nostra attività quotidiana. Ci potremmo rivolgere alle categorie della filosofia e della scienza per cogliere la sottile distinzione che emerge nella definizione dei nostri sistemi a trazione digitale: più che reti complesse, infatti, in cui la caduta di un elemento non consente comunque il tracollo dell’ordine complessivo, le nostre reti tecnologiche appaiono complicate, esattamente come apparivano i sistemi sanitari di fronte allo choc del Covid.

Le reti tecnologiche appaiono impossibilitate, complici il sovra-utilizzo e la necessità di velocità e prestazioni elevate, a gestire più crisi contemporaneamente. Storia quotidiana di una società abituata a credere che tutto funzionerà nella norma, sempre, senza i famigerati “cigni neri”. E, dunque, a pensare raramente a come governare la complessità prevenendo le crisi prima che si verifichino.

La seconda lezione: là fuori ci sono hacker che stanno prendendo appunti...

In secondo luogo, sul fronte securitario il fattore da prendere in considerazione è chiaro. Qualcuno, là fuori, sta prendendo appunti. La società della tecnologia è soggetta a iatrogenesi, per citare un termine medico: le soluzioni ai problemi di ieri possono, in prospettiva, aprire la strada a quelli di oggi. Abbiamo sopperito alle necessità di rapidità comunicativa, abbattimento dei costi di trasporto di merci e informazioni e globalizzazione della società sviluppando un’architettura tecnologica colossale? Benissimo, ma ne abbiamo trascurato la necessità principale, la sua sicurezza.

Il caso di oggi ricorda molto l’incastro della nave portacontainer Evergiven nel canale di Suez a marzo 2021: fu un incidente che mostrò la fragilità delle rotte marittime sull’asse Europa-Asia e il costo miliardario per l’Occidente di un blocco di quelle arterie fondamentali per gli scambi. Ebbene, tre anni dopo gli Houthi dello Yemen hanno bloccato con i loro attacchi proprio quel tratto di mare fondamentale, danneggiando il commercio mondiale. Cosa significa? Che un attacco hacker a tutto campo potrebbe in prospettiva infliggere danni molto mirati alle nostre società.

Già oggi abbiamo visto voli a terra in tutto il mondo, pagamenti respinti, servizi ospedalieri nelle grandi città come Londra incapaci di riconoscere i titolari dei dati sanitari, comunicazioni interrotte. Un attacco capace di parassitare la vulnerabilità tecnologica creerebbe danni ridondanti.

Terza lezione: un disservizio su una singola società può avere ricadute globali

Infine, notiamo che esistono settori ormai non più prescindibili nella loro strutturazione da regole di progettazione security-by-design in termini non solo infrastrutturali e materiali, ma anche di trasmissione digitale. Ormai, ad esempio, un’infrastruttura ferroviaria non può più essere vista unicamente in relazione alla robustezza del percorso e del tracciato ma anche giudicata come sicura solo al raggiungimento di precisi standard tecnologici. L'avvocato Stefano Mele, partner dello studio Gianni&Origoni, ha ricordato parlando con "Formiche" che uno choc come quello indotto dal blocco di Crowdstrike sui servizi mediati da Microsoft "ci deve ricordare quanto siamo interconnessi attraverso i servizi informatici, tanto che un disservizio su una singola società che fornisce i propri servizi in tutto il mondo ha ricadute globali sulle capacità di altri soggetti di erogare i loro servizi".

Il rischio e l'imprevisto come parte della nostra società

Dalla logistica alla finanza, poi, è bene capire che il cloud dati e le infrastrutture di trasmissione dati che mobilitano settori critici per la sicurezza economica e la prosperità delle nazioni devono essere sviluppati nella loro definizione tecnologica anche tenendo conto della sicurezza e della continuità dell’erogazione di questi servizi al verificarsi di choc. Sarebbe da capire, insomma, quanto i sistemi di cybersicurezza Crowdstrike fossero preponderanti nei servizi Microsoft andati in down oggi nelle principali organizzazioni e quanto l’affido esclusivo alla danneggiata azienda fondata da Bill Gates abbia contribuito a lasciare molte realtà scoperte di fronte allo choc.

Viviamo in un mondo più complesso, più rischioso e più soggetto a sfide, in cui le moderne società avanzate devono fare i conti con la gestione del rischio. La pandemia, la guerra, la crisi ambientale, gli choc informatici, i tracolli economici: tutto non può essere visto, al momento del verificarsi di piccoli, grandi o immani imprevisti, come un’emergenza da trattare fuori dalle categorie dell’ordinario.

Il rischio e l’imprevisto sono una parte della nostra società. A maggior ragione in questi tempi di guerre ibride e senza limiti, di fagocitante velocità degli scambi economici e di rivalità tra sistemi-Paese, settori industriali, paradigmi economici e grandi potenze. Ulrich Beck, grande sociologo tedesco, chiamava la nostra in un omonimo saggio "La società del rischio", in cui previsione e programmazione permettono di anticipare problemi strategici, catastrofi e, in prospettiva, panico sociale.

L'avvertimento odierno del bug Crowdstrike dovrà esserci di lezione per permetterci di costruire ciò che, per fare un esempio, sul citato caso del Mar Rosso, ove differenziare le rotte e gli approcci avrebbe contribuito a generare maggior resilienza all'attacco Houthi, non si è voluto fare. Sull'architettura IT non possiamo demandare alla fideistica speranza che tutto andrà bene i nostri sistemi economici e sociali. Il venerdì nero può essere, se ne capiremo la lezione, un'utile campanella d'allarme. O il primo passo di un allarme inascoltato. A noi la scelta.