Intervista a Genséric Cantournet che sarà ad Asis Europe

Genséric Cantournet parla con Media Duemila  di sicurezza prima della conferenza  dal rischio alla resilienza organizzata da Asis Europe che si terrà a Milano dal 29 al 31 marzo. Asis Europe è di uno dei più importanti incontri a livello internazionali sul tema della sicurezza, sempre più al centro delle preoccupazioni anche delle aziende del nostro settore.

“Come una chiara d’uovo montata a neve s’espande sui media e negli ambienti politici e culturali più diversi il dibattito sulla cybersecurity. Un chiacchiericcio inconsistente proprio come l’albume montato. Si autocertificano esperti, anche loro montati dal nulla o quasi.
Per vederci chiaro, abbiamo incontrato un esperto “vero” e ben solido: Genséric Cantournet, Chief Security Officer in Rai, ovvero in un’azienda dove la cybersecurity e la salvaguardia dalle minacce provenienti dalla Rete è in testa all’agenda strategica.
Il suo curriculum parte da lontano, dal conflitto in Kosovo, 27enne insignito di un’altissima onorificenza militare del suo Paese, la Francia; anche in Italia Cantournet ha conquistato qualcosa sul campo: non un nastrino rosa e grigio, discretissimo, che un’attenta osservatrice gli identifica al bavero della giacca, bensì ruoli di prestigio. In Telecom Italia, è stato quando scoppiò l’affaire della sicurezza. Adesso è alla Direzione Security della Rai. In Rai, Cantournet è arrivato nel dicembre 2015 e due mesi dopo è stato catapultato nella trincea di Sanremo, rivelandosi una vera e propria eminenza grigia della perfetta riuscita del Festival sotto il profilo della sicurezza; un direttore d’orchestra anche lui, che si è interfacciato con le Forze dell’Ordine italiane, uscite anche loro vittoriose dalla prova: migliaia di spettatori in sala, oltre 5.500 addetti ai lavori, e poi… il pianoforte di Elton John.
Potrebbe definirsi quasi il proverbiale naso di Cleopatra, quello che cambiò il corso della storia. Il fatidico pianoforte avrebbe potuto cambiare (in peggio) la sorte del Festival. “Mai avrei pensato che sarebbe stato più complicato trasferire il pianoforte di Elton John da Nizza che organizzare l’atterraggio dell’Air Force One di Obama a Parigi”, ha confessato l’alto dirigente Rai a bocce ferme.
Al suo attivo, Cantournet ha anche una serie di contratti d’insegnamento presso Università italiane (Cattolica di Milano, Napoli 2) e dunque unisce la pratica alla grammatica.

Quale è il trend della cybersicurezza del futuro?
Occorre tenere presenti tre aspetti fondamentali: il primo è che il mondo cyber non si limita al mondo vero digitalizzato, ma è anche un mondo a sé stante, parallelo. Basti pensare che la Legge della Gravità universale, pur essendo qualificata, appunto, universale, dunque omnicomprensiva, non esiste nell’universo cyber.
Questo fattore, per chi è nativo digitale, diventa una componente del proprio modo di essere, mentre chi è un parvenu del digital non riuscirà mai ad avere tale forma mentis. Più si va avanti e crescono le generazioni che non hanno conosciuto il mondo pre-web, più avviene questa metabolizzazione.
Inoltre, si è sempre più cyber esposti, ma, di pari passo, si sviluppano sempre più contromosse. Intanto, ai giorni nostri, nel mondo, si allarga a macchia d’olio un inutile allarmismo. Inutile perché siamo di fronte a una fase evolutiva, che presenta due feno- meni correlati, come quando un essere umano cresce: per irrobustirsi passa attraverso la patologia della febbre. Dunque… attacco e difesa… febbre e irrobustimento.
Il secondo aspetto, dunque, è quello dell’evoluzione sia quantitativa, sia anche qualitativa: l’innovazione si registra nelle minacce ma anche nei servizi; ogni innovazione è bifronte, giacché rappresenta un’opportunità sia una vulnerabilità. A lungo termine, i due elementi si autocompensano, ognuno nella sua specificità; mentre nel breve termine sono tipiche certe frizioni.
Infine, il terzo elemento: così come non vale la legge universale di gravità, non hanno valore neanche certi principi universali di strategia. Non incide, ad esempio, il parametro del tempo.
Pensiamo alla strategia classica: lì il fattore tempo gioca a favore di chi si difende; chi attacca non ha tempo e cerca di portare a casa il risultato velocemente. Nel mondo digitale, invece, si rovescia la situazione: più tempo sei esposto agli attacchi, maggiormente sei a rischio. Subisci attacchi su attacchi finché non vengono “bucate” le difese, in un effetto saturante; l’evoluzione tecnologica continua, poi, porta gli attacchi ad essere sempre più sofisticati, in un climax ascendente in quantità e qualità. Se non si hanno chiari gli scenari con i quali ci si confronta non si può neanche partire.

Quale è il cyber-attacco più ampio ed estremo di cui è venuto a cono- scenza?
Quello che verrà… domani! E non è una boutade: abbiamo appena detto che i cyberattacchi sono caratterizzati dall’instancabile massività unita alla crescente sofisticatezza.
Vi è ormai un’inflazione dell’espressione “conflitti asimmetrici”. Si pesca nell’ovvio: è lapalissiano che, in caso di conflitto, si concentrino in massa le forze in direzione delle brecce. E ciò apparentemente sarebbe la ragione per cui si parla di “conflitto asimmetrico”: guardando la situazione senza i paraocchi, però, ci si accorge che è un conflitto tout court, senza qualifiche pleonastiche.
L’universo cyber accentua tale caratteristica, consentendo di concentrare un’enorme quantità di risorse, in un lasso di tempo incredibilmente breve, avvalendosi di una capacità di produrre queste risorse quasi infinitamente.
Continuiamo a ragionare utilizzando parametri ormai obsoleti; dobbiamo entrare nell’ordine delle idee che le risorse per aggredire sono continuamente riproducibili, per cui vi è un susseguirsi degli attacchi in successione che rende impossibile fissare in un arco di tempo definito l’effetto degli attacchi stessi.

Dovremo diventare tutti soggetti attivi di cybersecurity?
Senza ombra di dubbio. Dovremo imparare che, al di là di porte e serrature fisiche che hanno il compito di proteggerci, dovremo avere anche porte e serrature digitali, anch’esse a scopo protettivo. D’altronde, il mondo digitale è pervasivo, non distingue se operi da casa tua o sul posto di lavoro.
È ormai insufficiente voler ragionare in modo unicamente cartesiano. Occorrerà diffondere un›educazione alla cybersecurity nello stesso modo in cui vengono insegnati, nell’infanzia, i fondamentali per qualsiasi tipo di azione.
Faccio un esempio semplicissimo: attraversare la strada. Ebbene, i genitori che ci insegnano a farlo, ci danno tre elementi che ci aiutano a introiettare per tutta la vita il modo più o meno esatto di agire correttamente (salvo pirati della strada…): la valutazione del rischio; la formazione (insegnandoci ad attraversare tenendoci per mano nei primi ten- tativi); il tutto ripetuto finché non diventa un nostro comportamento abituale, che si integra in noi.
Non è ovvio né istintivo che un aborigeno catapultato sulla Roma – Fiumicino, possa salvarsi la vita… così è anche nella cybersecurity.
C’è bisogno di chi ci metta a conoscenza dei rischi che corriamo; che ci insegni a tutelarci e, finalmente, ecco che diventa parte del nostro modo di essere la procedura necessaria per metterci al sicuro.
Nella sua missione di servizio pubblico, la Rai svolgerà anche un ruolo di tutoraggio contro il digital divide, fattore di rischio della cybersecurity individuale.

Finisce qui l’intervista: i molti impegni richiamano altrove Genséric Cantournet. Solo in ascensore mi fulmina una suggestione: 1661 anni dopo il Sacco di Roma del “primo” Genserico, re dei Vandali, questo suo omonimo tutela il grande asset cultural strategico che è la Rai contro i Vandali digitali”.