Il 5G è un test per i limiti della sicurezza informatica in Svizzera

In febbraio il governo svizzero ha concesso l'uso di frequenze radio per la rete 5G a tre operatori: Salt, Sunrise e Swisscom. Keystone / Boris Roessler

Mentre sempre più governi si preoccupano dei rischi connessi ai fornitori stranieri di reti 5G, gli occhi sono puntati sulla Svizzera, fra i primi paesi ad adottare la nuova tecnologia. Gli svizzeri avranno la mano pesante nei confronti di fornitori stranieri come Huawei o lasceranno che sia il mercato a decidere?

In uno scenario cupo, ma non così lontano, un hacker attacca un’antenna 5G e invia segnali dannosi a milioni di dispositivi collegati. In questo modo riesce a mandare in tilt il sistema di trasporti e la rete energetica, portando al collasso un’intera città. Il problema si diffonde rapidamente nelle reti di altri paesi, causando un attacco su larga scala a Internet.

Questo scenario mostra che i possibili vantaggi della connettività totale vanno di pari passo con molti pericoli. La valutazione dei rischi per la sicurezza delle reti 5G dell’Unione europeaCollegamento esterno, pubblicata la scorsa settimana, lo ha ribadito, affermando che la dipendenza dei servizi critici dalle reti 5G significa che una perturbazione di ampia portata può avere conseguenze particolarmente gravi.

“Qualsiasi cambiamento tecnologico comporta opportunità e rischi”, afferma Florian Egloff, ricercatore presso il centro di studi sulla sicurezza del politecnico federale ETH di Zurigo.

Poiché nessuna azienda svizzera ha i mezzi per fornire l’infrastruttura necessaria per una rete 5G, Egloff afferma che il paese deve affidarsi “a fornitori di tecnologia stranieri se desidera adottare la tecnologia 5G”.

Il caso Huawei

Nel caso di 5G, il fornitore straniero in grado di produrre tutti gli elementi della rete in quantità sufficiente e a prezzi accettabili è il gigante cinese delle telecomunicazioni HuaweiCollegamento esterno.

La posizione di quasi monopolio dell’azienda ha suscitato timori di spionaggio informatico da parte del governo cinese e ha indotto i governi a prendere misure che vanno dai divieti assoluti da parte di Stati Uniti e Australia alle proposte di nuovi protocolli di sicurezza da parte dell’Unione EuropeaCollegamento esterno.

I segnali di allarme sono arrivati anche in SvizzeraCollegamento esterno. Nei primi mesi dell’anno la questione dei rischi legati alla collaborazione con Huawei è stata oggetto di vari interventi parlamentari. D’altro canto la Svizzera ha installato centinaia di antenne 5GCollegamento esterno, diventando così uno dei pionieri mondiali della nuova rete.

Tutti e tre i principali operatori di telecomunicazione svizzeri – Salt, Sunrise e Swisscom – sono autorizzati a coprire il paese con antenne 5G e tutti e tre dispongono di apparecchiature Huawei nella loro rete fissa e mobile. Sunrise ha inoltre incaricato Huawei di fornire la tecnologia necessaria alla rete 5G.

Il governo svizzero afferma di prendere sul serio le preoccupazioni in materia di sicurezza. Ma riconosce anche di avere le mani legate. Un portavoce dell’Ufficio delle comunicazioni (UFCOM) ha dichiarato a swissinfo.ch che “secondo le basi giuridiche esistenti, la Confederazione non ha la possibilità di influenzare l’acquisizione di fornitori di apparecchi da parte dei gestori di rete”.

Che cos’è il 5G?

5G è la prossima generazione di tecnologia mobile senza fili, che fornisce una maggiore velocità di trasmissione dati, una minore latenza (migliore reattività) e la possibilità di connettersi contemporaneamente a più dispositivi. 5G dovrebbe diventare quello che alcuni hanno chiamato il sistema nervoso digitale della società.

Questo dovrebbe aiutare a far progredire la robotica e l’automazione, la realtà virtuale e aumentata, l’intelligenza artificiale e l’apprendimento automatico – collegando i dispositivi in modalità mai viste prima. Per ulteriori informazioni su come la Svizzera sta sviluppando 5G vedi quiCollegamento esterno.

Chi è responsabile?

Chi è responsabile di garantire che la tecnologia sia sicura? Mentre la sicurezza nazionale è di competenza dello Stato, la legislazione non sempre sta al passo con i rapidi cambiamenti tecnologici.

Il progetto di revisione della legge svizzera sulle telecomunicazioniCollegamento esterno, approvato dal parlamento in primavera ma non ancora entrato in vigore, contiene ad esempio un articolo specifico sulla sicurezza informatica che impone alle imprese di combattere qualsiasi manipolazione non autorizzata dei loro apparecchi di telecomunicazione.

Tuttavia, né tale legislazione né l’ultima revisione della legge sulla protezione dei datiCollegamento esterno menziona potenziali minacce derivanti da contratti con fornitori stranieri di software o hardware.

“La legge federale sulle telecomunicazioni è stata elaborata in una fase in cui il tema dei fornitori stranieri non era all’ordine del giorno”, afferma Florian Roth, avvocato specializzato in diritto delle telecomunicazioni presso la Walder Wyss di Zurigo.

Esiste anche una serie di direttive di sicurezza non vincolantiCollegamento esterno che risalgono al 2009.

Il passaggio alla tecnologia #5GCollegamento esterno non smette di far discutere. Il Consiglio comunale di #MesoccoCollegamento esterno ha dato incarico al Municipio di indire una moratoria sulla posa di nuove antenne. Scoprite di cosa si tratta nel nuovo video. https://t.co/6R2V0DJsRmCollegamento esterno

— Nouvo RSI (@NouvoIT) October 15, 2019Collegamento esterno

Anche la strategia di sicurezza informaticaCollegamento esterno riveduta della Svizzera rimane piuttosto vaga, lasciando agli attori privati il compito di mettere in atto misure che, secondo Roth, non vengono specificate.

Roth osserva che l’approccio è tipico dell’autorità di regolamentazione svizzera. “È molto pragmatico. L’autorità di regolamentazione delega spesso agli attori del mercato il compito di specificare quali misure sono adeguate”.

In questo modo la responsabilità dell’integrità della rete è in gran parte nelle mani delle aziende di telecomunicazione.

Attualmente non esistono norme vincolanti per queste aziende per quanto riguarda l’utilizzo di hardware di fornitori stranieri. Inoltre, non hanno l’obbligo giuridico di segnalare una violazione della sicurezza, a meno che non provochi gravi perturbazioni al servizio o alla rete. La situazione può cambiare con la revisione della legge svizzera sulla protezione dei dati, ma non è chiaro quando entrerà in vigore.

Sia Swisscom che Sunrise hanno dichiarato a swissinfo.ch di effettuare valutazioni dei rischi dei fornitori e di monitorare e segnalare regolarmente le minacce alla Confederazione. Sunrise ha inoltre fatto sapere che Huawei fornisce e gestisce i sistemi, ma i dati rimangono di proprietà di Sunrise.

Anche Swisscom, che appartiene alla Confederazione, ha dichiarato di avere clausole di uscita in tutti i contratti e con tutti i fornitori. Anche le collaborazioni hanno dei limiti temporali, che di norma vengono verificati e ripresi dopo 5-10 anni.

L’azienda pubblica regolarmente anche un rapporto sulla sicurezza informaticaCollegamento esterno.

Il problema delle backdoor

Tuttavia, secondo alcuni esperti di sicurezza informatica, queste misure potrebbero non essere sufficienti. Un grande punto di domanda riguarda le cosiddette “backdoor”, o punti di accesso remoto nascosti che possono essere sfruttati per ottenere il controllo di un dispositivo.

Il rapporto dell’UE afferma che, poiché le reti 5G saranno in gran parte basate su software, le principali falle di sicurezza potrebbero rendere più facile per gli attori inserire intenzionalmente backdoor nei prodotti e renderli più difficili da individuare.

Stando all’interpretazione dell’articolo sulla sicurezza informatica contenuto nella revisione della legge sulle telecomunicazioni fornita dal messaggio del Consiglio federaleCollegamento esterno, il governo non chiede ai fornitori di telecomunicazioni di controllare l’accesso fisico e le backdoor nell’hardware e nel software.

Un portavoce dell’UFCOM ha dichiarato a swissinfo.ch che questo dipende soprattutto da motivi di fattibilità, poiché un controllo fisico “spesso non è possibile per le imprese di telecomunicazione, poiché il computer del cliente si trova a casa o altrove”.

Sunrise ha detto a swissinfo.ch che “dalle prime accuse dei politici americani contro Huawei, non sono mai state rilevate irregolarità nelle apparecchiature o nei software Huawei, né sono state fornite prove conclusive a sostegno delle accuse contro Huawei”. L’azienda non intende rinunciare alle forniture di Huawei.

Tattiche diverse contro i rischi

La realtà della dipendenza da fornitori stranieri per le infrastrutture 5G ha portato molti paesi ad adottare misure precauzionali. Mentre gli Stati Uniti e l’Australia hanno inserito Huawei in una lista nera, l’UE sta adottando altre tatticheCollegamento esterno per scongiurare i rischi, senza stigmatizzare specifici fornitori.

Il Regno UnitoCollegamento esterno ha invitato gli operatori a collaborare con i fornitori per le prove di sicurezza e maggiori controlli su alcuni fornitori ad alto rischio. La FranciaCollegamento esterno sta discutendo una proposta che richiederebbe agli operatori di telecomunicazioni di chiedere l’autorizzazione formale del primo ministro per i loro progetti di rete 5G.

Alcuni operatori individuali sono stati anche più cauti nel firmare contratti con Huawei. Il fornitore di telecomunicazioni norvegese Telia ha appena annunciatoCollegamento esterno di aver preferito Ericsson a Huawei per il suo lancio della rete 5G. Il governo si è affrettato a far sapere di non aver ordinato all’azienda di rifiutare Huawei.

Huawei ha ripetutamente dichiarato che avrebbe preferito chiudere piuttosto che fare spionaggio per conto del governo cinese, offrendo “accordi anti-spionaggio” a diversi governi, tra cui recentemente la PoloniaCollegamento esterno.

Aspetta e spera

Per ora, il governo svizzero sembra avere un approccio attendista e osservare prima di tutto ciò che accade nell’UE. L’autorità di regolamentazione deve inoltre ponderare la protezione della privacy personale e la competitività sul mercato quando valuta l’opportunità di emanare regole più severe su come il settore gestisce la sicurezza informatica, afferma Roth.

C’è anche la questione delle relazioni con la Cina, uno dei più importanti partner commerciali della Svizzera. Nel complesso, Egloff del Politecnico federale di Zurigo ritiene tuttavia che il governo svizzero prenda sul serio le questioni relative alla catena di approvvigionamento. 

L’ultimo rapporto sulla sicurezza informaticaCollegamento esterno pubblicato in aprile rileva che nel Paese è in corso una discussione generale su come uscire “dalla dipendenza dai due giganti tecnologici di fatto, USA e Cina”. Il governo ha inoltre annunciato la creazione di un centro di competenza sulla sicurezza informatica.

Ma le sfide sono immense sia dal punto di vista strategico che tecnico. Da una ricercaCollegamento esterno del centro di studi sulla sicurezza del Politecnico federale di Zurigo emerge che permangono tuttora ambiguità sui dettagli delle relazioni con l’economia privata e sulla mancanza di incentivi per le imprese a impegnarsi in questioni di sicurezza nazionale.

La domanda, dice Egloff, è: “A partire da che punto lo Stato dovrebbe incaricare, investire o assistere le aziende nella difesa delle loro infrastrutture?”

Traduzione dall’inglese: Andrea Tognina