Il quantum non è più fantascienza: perché la PA deve prepararsi oggi

Domenico Raguseo, Head of Cybersecurity del Gruppo Exprivia, approfondisce un tema quanto mai attuale e di grande interesse, ovvero il quantum computing e lo declina nell’ambito della PA, la Pubblica Amministrazione, settore che, come spiega l’esperto, deve già prepararsi oggi, perché la transizione verso la crittografia post-quantum non rappresenta soltanto un’evoluzione tecnologica, ma una priorità strategica per governi, imprese e gestori di infrastrutture critiche.

Buona lettura!

IL QUANTUM NON È PIÙ FANTASCIENZA: PERCHÉ LA PA DEVE PREPARARSI OGGI  

di Domenico Raguseo

Per decenni il calcolo quantistico è stato raccontato come una tecnologia capace di trasformare l’impossibile in realtà. Nell’immaginario collettivo ha evocato computer in grado di risolvere problemi irraggiungibili, comunicazioni praticamente inviolabili e persino scenari che sembravano appartenere più alla fantascienza che ai laboratori di ricerca.
La realtà forse è meno spettacolare, ma molto più significativa. Il quantum cambierà invece il modo in cui elaboriamo le informazioni, progettiamo nuovi materiali, sviluppiamo farmaci, ottimizziamo sistemi complessi e proteggiamo i dati digitali.
Ed è proprio quest’ultimo aspetto a rappresentare una delle sfide più importanti dei prossimi anni.

La transizione verso la crittografia post-quantum: una priorità strategica per governi, imprese e gestori di infrastrutture critiche

La capacità dei futuri computer quantistici di affrontare problemi oggi irrisolvibili dai sistemi tradizionali potrebbe infatti mettere in discussione alcuni degli algoritmi crittografici su cui si basa gran parte della sicurezza digitale moderna.

Per questo motivo la transizione verso la crittografia post-quantum non rappresenta soltanto un’evoluzione tecnologica, ma una priorità strategica per governi, imprese e gestori di infrastrutture critiche.

Secondo Dante Altomare, Vice President & Head of Public Sector di  Exprivia , “tra tutti gli attori coinvolti, la PA italiana occupa una posizione particolarmente delicata. Custodisce infatti alcune delle informazioni più sensibili del Paese: identità digitali, dati sanitari, fascicoli giudiziari, informazioni fiscali e previdenziali, oltre ai sistemi che garantiscono il funzionamento di numerosi servizi essenziali”.

La domanda, quindi, non è più quando arriverà il quantum. La vera domanda è se il nostro patrimonio digitale sarà pronto quando quella tecnologia diventerà pienamente operativa.
Una consapevolezza che cresce.

Quantum: nuova dimensione della sicurezza informatica e la sfida è organizzativa 

Continua Altomare, “rispetto a pochi anni fa, la Pubblica Amministrazione è certamente più consapevole della sfida. Si tratta di un passaggio fondamentale perché riconosce come il quantum non rappresenti soltanto un’opportunità scientifica e industriale, ma anche una nuova dimensione della sicurezza informatica”.
La sfida, tuttavia, non è principalmente tecnologica. È soprattutto organizzativa.

Il rischio è già iniziato 

Molti dati custoditi dalla Pubblica Amministrazione dovranno rimanere riservati non per pochi anni, ma per decenni. Informazioni sanitarie, documentazione giudiziaria, identità digitali e dati fiscali conservano infatti il loro valore molto a lungo. Questo rende concreto uno scenario ormai noto agli esperti di cybersecurity: “harvest now, decrypt later“.
L’idea è semplice. Un attaccante può intercettare oggi dati perfettamente cifrati e conservarli per molti anni, aspettando che l’evoluzione del calcolo quantistico renda possibile decifrarli in futuro.

Secondo l’Osservatorio Exprivia Cybersecurity, il quantum computing rappresenta uno dei fattori destinati a modificare profondamente lo scenario della sicurezza informatica, proprio per il potenziale impatto sulla protezione dei dati cifrati e sulle future capacità degli attaccanti.
In altre parole, il problema non nascerà quando arriveranno i computer quantistici sufficientemente potenti. Potrebbe essere già iniziato oggi.

La prima attività che ogni amministrazione dovrebbe avviare è quella che gli specialisti definiscono crypto inventory.

La crypto inventory 

In pratica significa censire tutti i punti nei quali vengono utilizzati algoritmi crittografici: applicazioni, certificati digitali, VPN, moduli hardware di sicurezza (HSM), smart card, sistemi di firma digitale, infrastrutture PKI, dispositivi IoT e componenti legacy. Può sembrare un’operazione banale, ma in molte organizzazioni questa visibilità semplicemente non esiste.

Senza sapere dove viene utilizzata la crittografia diventa impossibile pianificare qualsiasi migrazione.

La crypto-agility 

Il secondo principio da introdurre è quello della crypto-agility.
L’obiettivo non consiste soltanto nel sostituire gli algoritmi oggi più diffusi con quelli resistenti agli attacchi quantistici. Occorre progettare sistemi in grado di aggiornare facilmente gli algoritmi crittografici senza dover riprogettare intere applicazioni.

È un cambio di paradigma che riguarda soprattutto i nuovi progetti. Ogni servizio digitale realizzato oggi senza questa flessibilità rischia infatti di trasformarsi nel debito tecnologico di domani.

Non tutto deve cambiare subito.  La transizione verso la crittografia post-quantum infatti non potrà avvenire contemporaneamente su tutti i sistemi.

Stabilire priorità basate sul rischio 

Sarà necessario stabilire priorità basate sul rischio.
Dovrebbero essere affrontati per primi gli ambiti nei quali i dati devono rimanere protetti per molti anni:

• sanità,
• giustizia,
• identità digitale,
• archivi documentali,
• sistemi di comunicazione istituzionale e
• infrastrutture critiche.

In questi casi il valore delle informazioni supera ampiamente il tempo necessario affinché il quantum diventi una realtà operativa. In questo contesto le competenze saranno decisive.

Esiste poi un’altra sfida, spesso sottovalutata. La migrazione post-quantum non potrà essere delegata interamente ai fornitori tecnologici.

Le amministrazioni dovranno sviluppare competenze interne per comprendere i nuovi standard, valutare le soluzioni disponibili, aggiornare i capitolati di gara e verificare che prodotti e servizi rispettino realmente i futuri requisiti di sicurezza. La capacità di acquistare tecnologia sarà importante quanto quella di comprenderla.

Quantum: necessaria una trasformazione pluriennale dell’intero ecosistema digitale della PA   

Il passaggio decisivo sarà ora trasformare gli indirizzi strategici in un programma operativo. La migrazione alla crittografia post-quantum non sarà un semplice aggiornamento software. Richiederà una trasformazione pluriennale dell’intero ecosistema digitale della Pubblica Amministrazione, coinvolgendo infrastrutture, applicazioni, processi organizzativi e competenze.

Chi inizierà questo percorso con sufficiente anticipo potrà distribuire nel tempo costi, investimenti e complessità. Chi aspetterà che l’emergenza diventi realtà rischierà invece di affrontare una transizione molto più onerosa, con tempi ridotti e margini di manovra limitati.

Come spesso accade nella cybersecurity, il momento migliore per prepararsi è molto prima che la minaccia diventi evidente. Il quantum appartiene ancora al futuro, ma le decisioni necessarie per affrontarlo appartengono già al presente.