L’Organizzazione delle Nazione Unite, l’8 agosto 2024, ha approvato la bozza del Trattato globale sulla criminalità informatica. La bozza, in discussione dal 2021, dovrà essere ora approvata dall’Assemblea Generale per poi essere ratificata dai singoli Stati.

La convenzione ha l’obiettivo di “Rafforzare la cooperazione internazionale per il contrasto di alcuni reati commessi mediante sistemi tecnologici dell’informazione e della comunicazione e per la condivisione delle prove in formato elettronico di reati gravi” mediante gli strumenti tipici della cooperazione internazionale in materia penale e dell’armonizzazione delle legislazioni.

Il tema è quantomai attuale.

Rapporto sulla sicurezza informatica Clusit 2024

Secondo i dati riportati nel Rapporto 2024 sulla sicurezza ICT in Italia (elaborato da Clusit, Associazione Italiana per la Sicurezza Informatica), si sono registrati, nel 2023, 2.779 incidenti gravi analizzati a livello globale.

Il 2023 restituisce una fotografia nettamente peggiorativa rispetto ai dodici mesi precedenti, continuando a descrivere una curva degli attacchi in inesorabile crescita, che registra un +12% sul 2022.

Mensilmente, è stata rilevata una media di 232 attacchi, con un picco massimo di 270 nel mese di aprile 2023, che rappresenta anche il valore massimo misurato negli anni. Nell’81% dei casi la gravità degli attacchi è elevata o critica, secondo la scala di “severity” utilizzata dai ricercatori di Clusit che si basa sulla tipologia di attacco e sugli impatti.

In questo contesto, il nostro Paese appare sempre più nel mirino dei cyber criminali: lo scorso anno in Italia è andato a segno l’11% degli attacchi gravi globali mappati dal Clusit (era il 7,6% nel 2022), per un totale di 310 attacchi, dato che marca una crescita del 65% rispetto al 2022.

Oltre la metà degli attacchi – il 56% – ha avuto conseguenze di gravità critica o elevata. Con uno sguardo agli ultimi cinque anni, emerge inoltre che oltre il 47% degli attacchi totali censiti in Italia dal 2019 si è verificato nel 2023.

I contenuti della Convenzione e le criticità

In tale contesto, la Convenzione ONU definisce all’art. 1, le finalità della convenzione. L’art. 1 (Dichiarazione d’intenti) così dice:

«Gli scopi della presente Convenzione sono:

(a) Promuovere e rafforzare le misure per prevenire e combattere la criminalità informatica in modo più efficiente ed efficace;

(b) Promuovere, facilitare e rafforzare la cooperazione internazionale nella prevenzione e nella lotta alla criminalità informatica;

(c) Promuovere, facilitare e sostenere l’assistenza tecnica e il rafforzamento delle capacità per prevenire e combattere la criminalità informatica, in particolare a beneficio dei paesi in via di sviluppo.»

Le norme successive prevedono l’obbligo di introdurre specifiche fattispecie penali negli ordinamenti, buona parte dei quali sono già presenti nel sistema penale italiano. Peraltro si chiede di estendere la responsabilità di tali reati anche alle persone giuridiche (e in Italia il riferimento è alla L. 231/2001 per le aziende private).

Gli Stati dovranno, altresì, implementare idonee misure a tutela della sicurezza, segretezza ed integrità dei dati presenti sul proprio territorio.

Oltretutto, andrà assicurata la memorizzazione in tempo reale dei dati di traffico, l’intercettazione del traffico telematico, nonché il freezing, il sequestro e la confisca dei proventi da reato.

In tal senso diviene sempre di più impellente, anche per tutta la P.A., adottare misure di sicurezza specifica dei propri sistemi digitali su cui sono conservati i dati personali trattati per l’esercizio dei poteri propri degli Enti.

Benché siano passati ormai quasi sette anni dal 2017, sono ancora numerosissimi gli enti, soprattutto locali, che non hanno adottato misure minime di sicurezza secondo i parametri indicati da Agid e che garantirebbero una riduzione degli attacchi informatici anche dell’80%.

L’adozione della convenzione ONU, benché comunque criticata in relazione alla genericità di alcune norme che potrebbe portare, come contropartita, ad un aumento della sorveglianza, soprattutto nei paesi in via di sviluppo, è un importante accordo di coordinamento nel tentativo di bloccare i reati informatici e gli attacchi che, in relazione ad attacchi mossi da diversi paesi a livello globale impattano sulla riservatezza dei dati, sui diritti e sull’economia.