Sicurezza e Deception
Generalmente il concetto di sicurezza viene oggi declinato sulla base dell'equivalenza tra pattugliamento-sorveglianza-presidio di un perimetro, controllo e sicurezza. Questa idea è strategicamente passiva – reattiva rispetto all'azione di chi mette in atto un'aggressione contro il nostro perimetro di sicurezza – e sostanzialmente fallace. Se infatti la minaccia si trovasse già all’interno del perimetro di sicurezza, o se vi avesse accesso perché ha aggirato o ingannato le procedure di controllo, il sistema di controllo (sensori, pattuglie, allarmi, videosorveglianza) si troverebbe d’un tratto a essere orientato nella direzione sbagliata o ad essere incapace di riconoscere la minaccia perché questa dispone di regolare (o falsificata) autorizzazione all’ingresso. Oltre a ciò, è opportuno ricordare che esiste una relazione inversa tra la complessità delle procedure di emergenza e sicurezza, incorporate e sostenute da altrettanto complessi apparati tecnologici, e la capacità di adattarsi rapidamente ed elaborare in tempi ridotti strategie e procedure di risposta a un attacco che non assume alcuna delle forme, delle tipologie, delle localizzazioni e delle modalità di esecuzione previste e anticipate nei protocolli di sicurezza. In altre parole, la sorveglianza-protezione di un perimetro di sicurezza, per quanto variamente inteso, prevede l’elaborazione di procedure e protocolli che vengono sempre giudicati tanto più affidabili quanto più sono dettagliati e uniformemente adottati, ovvero rigidi, standardizzati, prevedibili e statici. Per un aggressore preparato e competente, questo vuol dire semplicemente che sono vulnerabili. A ogni buon conto, chi presidia resta in attesa dell’azione del nemico e quanto più le misure di protezione gli appaiono formidabili e affidabili, tanto meno sarà indotto a cercare di anticipare le mosse del nemico, anche perché l’obiettivo presidiato è solo uno dei tanti possibili obiettivi.
L’iniziativa, in tali condizioni, resta inevitabilmente nelle mani dell’avversario. Un’adeguata ricognizione dell’obiettivo, il monitoraggio delle procedure di sicurezza, ad esempio creando falsi allarmi o realizzando attacchi “dimostrativi” su porzioni del perimetro difensivo, un’attenta intelligence che consenta di rintracciare falle nel sistema di sicurezza e la possibilità di infiltrare sotto-sistemi meno protetti – le società di pulizie sono un classico – tutto ciò, e molto altro, può consentire al nemico di pianificare un’operazione che sempre, direttamente o indirettamente, sfrutterà l’effetto sorpresa. Una volta che l’operazione sia scattata, il tempo comincia a scorrere contro il difensore. Mentre l’attaccante cerca di seguire una tabella di esecuzione prestabilita, verosimilmente mascherata al nemico da adeguate misure di inganno, il responsabile della sicurezza dell’installazione dovrà identificare la vera natura e portata dell’attacco per poter avviare le corrette procedure di sicurezza. La pressione cui è sottoposto chi sovrintende alle operazioni di emergenza può essere incrementata ed esasperata dalle misure di inganno adottate dall’attaccante. Più spesso e più verosimilmente, l’avvio delle procedure di sicurezza sarà automatico e conforme ai protocolli, ovvero seguirà esattamente la linea d’azione esaminata e prevista dal nemico. In questo senso, il difensore farà affidamento sulla possibilità che qualcosa, nel piano del nemico, vada storto. Al di là delle procedure e dei sistemi di sicurezza, dunque, il difensore si affiderà soprattutto alla probabilità che il nemico non riesca ad attuare il proprio piano nei modi e nei tempi previsti, o che non abbia raccolto ed analizzato le informazioni sull’installazione-obiettivo in modo completo e adeguato. In ultima analisi, pertanto, il difensore si affida alla speranza che egli abbia potuto o saputo conservare rispetto al nemico un margine di asimmetria di conoscenza tale da non rendere il sistema di sicurezza completamente inefficace.
Quest’ultima considerazione ci conduce, per logica conseguenza, alla possibilità di formulare un’idea differente di sicurezza. Superare la convinzione che la sorveglianza garantisca il controllo e questo automaticamente produca sicurezza è solo il primo passo per arrivare ad un concetto di sicurezza più articolato, più complesso, significativamente più adatto a soddisfare le esigenze del controllo in una società in cui diritti umani, libertà politica, economica e di espressione sono valori da rispettare senza condizionamenti espliciti e grossolane limitazioni.
Se resta condivisibile l’idea che la sicurezza nasca dal controllo, questo non può essere garantito dalla semplice sorveglianza, ma dalla conoscenza e comprensione dei fenomeni che si svolgono nel contesto spaziale e temporale nel quale si vuole costruire un dispositivo di sicurezza. Raccogliere dati e informazioni sui fenomeni che attraversano la nostra area di sicurezza, che vi sostano, che vi mutano di caratteristiche e di struttura organizzativa produce una superiorità di conoscenza. L’approccio che si suggerisce di sviluppare non riguarda solo concetti già evidenziati, ad esempio, nella dottrina del Network Centric Warfare, quali la cosiddetta information dominance, ma più ampiamente una diversa consapevolezza delle potenzialità inespresse anche negli strumenti tecnologici e nelle strutture organizzative esistenti e già disponibili. Gli strumenti che la tecnologia offre e le possibilità di gestione efficiente delle risorse che la standardizzazione di protocolli e procedure consentono possono essere davvero efficaci se concepiti, sviluppati e costantemente aggiornati nel quadro di un’idea di sicurezza che faccia della conoscenza e dell’uso non burocratico ma consapevole e intelligente di tale conoscenza un vero strumento di controllo della realtà. L'aspetto pratico e operativo di tale controllo è la capacità di manipolazione che viene data dalla dimestichezza con la deception e con la sua declinazione operativa: gli stratagemmi. Tuttavia, senza un'adeguata conoscenza e una solida analisi dei fenomeni sui quali si vuole intervenire, l'impiego della deception non è soltanto poco vantaggioso, ma potenzialmente controproducente.
(All rights reserved, Daniele Zotti 2009)
