Negoziare tratti sul controllo delle armi informatiche: una sfida per il sistema internazionale

A cura del Dott. Pierpaolo Piras, studioso di Geopolitica e componente del Comitato per lo Sviluppo di Mondo Internazionale APS

Negoziare i trattati sul controllo degli armamenti informatici sarebbe estremamente difficile, perché non sarebbero controllabili e verificabili nei suoi elementi strutturali, costruttivi e funzionali. Le preoccupazioni per il danno alla propria reputazione di un paese e al relativo soft power possono anche provocare spiacevoli restrizioni commerciali non di certo desiderate.

Infatti, certi tabù si sviluppano nel tempo e finiscono per aumentare i costi del loro utilizzo quando non addirittura il possesso stesso di un'arma di questo tipo capace di infliggere danni enormi. Si può prendere, ad esempio, la Convenzione internazionale sulle armi biologiche, entrata pienamente in vigore nel 1975. Per cui qualsiasi paese che desideri sviluppare armi biologiche deve farlo segretamente e illegalmente, e deve affrontare il rischio reale di una diffusa condanna internazionale se le prove delle sue attività trapelano – come prima o poi accade - come ha potuto scoprire il leader iracheno Saddam Hussein o libico come Gheddafi.

È difficile immaginare l'emergere di un simile tabù generale contro l'uso di armi informatiche.

In primo luogo, è difficile determinare e definire se una particolare linea di codificazione informatica costituisce un'arma o meno.

Un altro tabù più probabile è quello che vieterebbe l'uso di armi informatiche contro obiettivi particolari, come gli ospedali o altri sistemi clinico-sanitari.

Tali divieti avrebbero il vantaggio di sfruttare la proibizione, già esistente, contro l'utilizzo di armi convenzionali sui civili.

Durante la pandemia di COVID-19, l’indignazione pubblica contro gli attacchi informatici ransomware agli ospedali civili ha contribuito a rafforzare quel divieto e ha suggerito come potrebbe essere applicato ad altre aree nel regno del cyberspazio.

Qualcosa di simile potrebbe evolversi se gli hacker dovessero causare un aumento degli incidenti mortali ipoteticamente legati all'uso dei veicoli elettrici.

Pressione tra pari

Alcuni studiosi hanno sostenuto che un po’ tutte le norme hanno un loro ciclo di validità naturale. Dopo si attenuano fino a scomparire. Spesso iniziano con individui in veste di imprenditori illuminati, organizzazioni, gruppi sociali oppure di commissioni ufficiali che godono in ogni caso di un'influenza smisurata sull'opinione pubblica.

Tuttavia, dopo un certo periodo di gestazione, alcune norme raggiungono un punto di svolta allorquando l’ accettazione comune si traduce in una credenza diffusa e i vari leader sociali e/o politici scoprono che pagherebbero un prezzo elettoralmente troppo elevato qualora lo rifiutassero.

Le norme iniziali possono derivare dal cambiamento degli atteggiamenti sociali, oppure possono essere importate. Si può prendere, ad esempio, la diffusione della preoccupazione per i diritti umani universali dopo la fine della II guerra mondiale nel 1945.

I paesi occidentali presero questa iniziativa nella promozione della Dichiarazione Universale dei Diritti Umani (1948), ma molti altri stati si sono sentiti obbligati a firmare a causa dell'opinione pubblica e successivamente si sono trovati limitati da pressioni esterne e dalla preoccupazione per la bontà della loro reputazione.

Ci si potrebbe aspettare che tali vincoli siano più forti nelle democrazie che negli stati autoritari. Ma il processo di Helsinki, una serie di incontri tra l'Unione Sovietica e i paesi occidentali nei primi anni 1970, ha incluso con successo l’affermazione e la tutela dei diritti umani nelle discussioni sulle questioni politiche ed economiche durante la Guerra Fredda.

Cosa comporta il cambiamento economico?

Esso può anche favorire la domanda di nuove norme che potrebbero promuovere l'efficienza e la crescita sociale. Le norme contro la pirateria e la schiavitù raccolsero sostegno quando queste pratiche erano economicamente in declino. Una dinamica simile è all'opera oggi nel cyber-regno.

Le aziende che si trovano svantaggiate da leggi nazionali contrastanti in materia di privacy e tutela dei dati potrebbero spingere i governi a sviluppare standard e norme condivise.

Anche l'industria delle cyber-assicurazioni potrebbe fare pressione sulle autorità per la tutela e difesa della tecnologia incorporata nella miriade di sofisticati dispositivi domestici (termostati, frigoriferi, sistemi di allarme domestico) che ora sono online: il cosiddetto “Internet of Things”.

Man mano che sempre più dispositivi si connettono a Internet, diventeranno presto bersagli di attacchi informatici e l'impatto sulla vita quotidiana dei cittadini potrà aumentare e promuovere la domanda di norme nazionali e internazionali.

La preoccupazione pubblica aumenterà solo se l'hacking diventerà più di un semplice fastidio e inizierà a costare caro in vite umane.

Qualora le vittime aumentassero, la norma della Silicon Valley di "costruire rapidamente e rattoppare più tardi" può gradualmente lasciare il posto a norme e leggi sulla responsabilità che pongono maggiore enfasi sulla sicurezza in tempi rapidi.

Le regole informatiche sono davvero fatte per essere infrante ?

Anche con il supporto del consenso internazionale sulla necessità di avere una normativa, concordare dove tracciare linee rosse e cosa fare quando vengono attraversate è una questione più complessa da affrontare. E la domanda diventa più importante, anche se gli stati autoritari sottoscrivono convenzioni normative, quanto è probabile che vi aderiscano?

Nel 2015, il presidente cinese Xi Jinping e il presidente degli Stati Uniti Barack Obama hanno concordato di non utilizzare lo spionaggio informatico per l’ottenimento di un vantaggio commerciale, ma le società di sicurezza private hanno riferito che la Cina ha aderito a questo impegno solo per un anno o giù di lì prima di tornare alla sua vecchia abitudine di hackerare i dati aziendali e federali degli Stati Uniti, sebbene ciò sia accaduto nel contesto del peggioramento delle relazioni economiche segnato dall'aumento delle guerre tariffarie.

Questo significa che l'accordo è fallito?

Piuttosto che semplificare l’argomento facendone una domanda basata su di un sì o un no, i critici sostengono che l'attenzione (e qualsiasi conseguente avvertimento contro tali azioni) dovrebbe essere rivolta sulla quantità dei danni arrecati, non sulle linee precise che sono state violate o sulle modalità con le quali sono state effettuate le violazioni.

Ci sono altre volte in cui gli Stati Uniti dovranno tracciare linee di principio e difenderle. Bisogna riconoscere che si continuerà a effettuare intrusioni nel ciberspazio per scopi che vengono ritenuti legittimi. E si dovranno dichiarare con precisione le norme e i limiti che Washington sosterrà e chiamare in causa i paesi che li violano.

Quando la Cina o la Russia attraversano una linea, gli Stati Uniti dovranno a questo punto rispondere con ritorsioni graduate e mirate.

Ciò potrebbe comportare sanzioni pubbliche ma anche azioni private, come ad esempio il congelamento dei conti bancari di alcuni oligarchi russi o il rilascio di informazioni imbarazzanti su di loro.

Le pratiche del “Cyber Command” degli Stati Uniti di difendere l'impegno in avanti e persistente possono essere utili qui, anche se sarebbero meglio accompagnate da un processo di comunicazione silenziosa.

Il Cyberspazio

I trattati riguardanti il cyberspazio possono essere impraticabili, ma potrebbe essere possibile stabilire limiti a determinati tipi di comportamento e negoziare regole approssimative lungo questo percorso riformatore del settore.

Durante la Guerra Fredda, le norme informali governavano il trattamento delle spie di ciascuna parte; e così l'espulsione, piuttosto che l'esecuzione, divenne la norma.

Nel 1972, l'Unione Sovietica e gli Stati Uniti negoziarono l'accordo sugli incidenti in mare per limitare il comportamento navale che avrebbe potuto portare a un'escalation.

Oggi, Cina, Russia e Stati Uniti potrebbero negoziare I limiti da porre al loro comportamento per quanto concerne l'estensione e le varie tipologie di cyber-spionaggio che svolgono, così come hanno deliberato Xi Jinping e Obama nel 2015.

Oppure potrebbero accettare di porre limiti ai propri interventi nei reciproci processi politici interni. Sebbene tali impegni mancherebbero del linguaggio preciso e condiviso presente nei trattati formali, i tre paesi potrebbero elaborare dichiarazioni unilaterali in modo indipendente sulle aree di autocontrollo e stabilire un processo consultivo per contenere o meglio evitare qualunque conflitto.

L’ideologia fa la differenza

Le differenze ideologiche potrebbero rendere difficile un accordo dettagliato, ma differenze ideologiche ancora maggiori in passato non hanno ostacolato accordi internazionali che hanno contribuito a evitare l'escalation durante la guerra fredda.

La prudenza a volte può essere più importante dell'ideologia.

Quest’ultimo sembra essere stato l'approccio assunto dall'amministrazione Biden in un vertice di giugno 2024 con il presidente russo Vladimir Putin a Ginevra, dove il cyberspazio ha svolto un ruolo più importante nell'agenda locale rispetto alla discussione sulle armi nucleari.

Secondo i resoconti della stampa più accreditata, il presidente degli Stati Uniti, Joe Biden, ha consegnato a Putin un elenco di 16 aree di infrastrutture critiche, tra cui prodotti chimici, comunicazioni, energia, servizi finanziari, assistenza sanitaria e tecnologia dell'informazione, che dovrebbero essere, nelle parole di Biden, "off limits” per essere attaccate.

Dopo il vertice, Biden ha rivelato di aver chiesto a Putin come si sentirebbe se gli oleodotti russi fossero stati eliminati dal ransomware. "Gli ho fatto notare che abbiamo una significativa capacità informatica, e lui lo sa", ha riferito Biden nella conferenza stampa finale. "Non sa esattamente di cosa si tratta, ma è significativo. E se in realtà violano queste norme di base, risponderemo anche noi con il cyber-attack. E lui lo sa". Finora, tuttavia, non è chiaro fino a che punto le parole di Biden siano state efficaci concretamente.

Nel regno cibernetico, gli attori non statali fungono da proxy statali a vari livelli e le regole dovrebbero richiedere la loro identificazione e limitazione in azioni specifiche. E poiché le regole non saranno mai perfette, esse devono essere accompagnate da un processo consultivo continuo che stabilisca un protocollo per l'avviso e la negoziazione del problema.

È improbabile che un tale processo virtuoso, accompagnato a forti minacce deterrenti, fermi completamente l'interferenza ransomware cinese e russa, ma se si riesce a ridurre la sua frequenza e/o intensità, si potrebbe migliorare notevolmente la difesa della democrazia statunitense contro tali attacchi informatici.

Cambiamento del comportamento

Nel cyberspazio, la stessa modalità potrebbe non andare bene per tutti. Ci possono essere alcune norme relative al coordinamento interstatale del quale possono fa parte anche stati autoritari oltre che democratici.

Più che ad un Internet libero e aperto, si può pensare a norme organizzate in un insieme di cerchi concentrici con ciò che gli europei chiamano la "geometria variabile" degli obblighi.

I gruppi delle democrazie possono stabilire uno standard più elevato per se stessi concordando norme relative per la tutela della privacy, la sorveglianza verso le intrusioni e la libertà di espressione. Applicandole piuttosto attraverso l’elaborazione di accordi commerciali speciali che darebbero la loro preferenza a quelli che soddisfano maggiormente gli standard più elevati. Tali accordi potrebbero rimanere disponibili ad altri Stati, purché questi ultimi siano disposti e in grado di soddisfare gli standard più elevati e richiesti.

La diplomazia tra le democrazie su questi temi non sarà di facile esercizio, ma sarà una parte importante della strategia dell’intero Occidente.

Se gli alleati e i partner degli Stati Uniti sostengono le norme informatiche, è probabile che siano più disposti a sostenere l'imposizione di costi anche elevati ai trasgressori, migliorando così sostanzialmente la credibilità, la gravità (attraverso l'imposizione multilaterale dei costi) e la sostenibilità delle minacce statunitensi di imporre costi in risposta alle violazioni di chiunque.

L'amministrazione Biden sta lottando con i fatti che il dominio del cyberspazio ha creato nuove importanti opportunità e vulnerabilità nella politica mondiale.

La riorganizzazione e la reingegnerizzazione in patria devono essere al centro della strategia risultante, ma hanno anche bisogno di una forte componente internazionale basata sulla deterrenza, sull’iniziativa e sulla diplomazia.

La componente diplomatica deve includere alleanze tra democrazie, sviluppo di capacità nei paesi in via di sviluppo e miglioramento delle istituzioni internazionali.

Tale strategia deve includere anche lo sviluppo di norme con l'obiettivo a lungo termine di proteggere la vecchia democrazia americana dalle nuove offese dell'era di Internet.

Forse siamo alla fine dell’anarchia nel cyber-mondo.

Riproduzione Riservata ®