Dopo i domini su terra, mare, aria e spazio, nel XXI secolo la comunità internazionale ha iniziato a confrontarsi con un nuovo elemento di warfare, lo spazio cibernetico, che influenza la società in tutti i suoi ambiti, da quello economico-finanziario a quello militare-istituzionale. Il cyber-space ha, certamente, collaborato all’evoluzione delle ICT (Information and Communication Technology) ed al progresso globale. Le caratteristiche intrinseche di questo spazio virtuale implicano, però, diverse criticità. Esiste il reale pericolo di un attacco informatico alle vulnerabilità di un Paese come, ad esempio, le infrastrutture critiche. Negli ultimi anni si è assistito, infatti, ad attacchi contro siti governativi di Estonia e Georgia e contro i siti nucleari in Iran. In quest’ultimo caso è stato utilizzato il virus Stuxnet, una delle armi informatiche più potenti.

Visto il rapido incremento di attacchi cibernetici avvenuti negli ultimi anni, gli esperti si sono posti il problema di valutare una possibile convenzione internazionale per il controllo sulle armi cibernetiche e sulla condotta nello spazio cyber. Esistono trattati che limitano le armi NBC (nucleari, biologiche e chimiche), ma non vi è ancora un controllo per le armi cibernetiche. Negli anni sono state formulate diverse proposte con l’intento di creare una qualche forma di cooperazione, la comunità internazionale verso l’adozione di un valido trattato per le cyber-weapons.

Un primo passo di cooperazione tra Stati, che regola questo quinto dominio di warfare, è la Convention on Cybercrime, entrata in vigore nel luglio 2004. Si tratta di un accordo regionale del Consiglio d’Europa che affronta il rapido aumento di attacchi e minacce cibernetiche, ma è rivolto, più che altro, al controllo della criminalità informatica.

Altre  proposte riguardanti prettamente il controllo delle armi cibernetiche, si possono ritrovare nel lavoro della Prima Commissione dell’Assemblea Generale delle Nazioni Unite che si occupa di disarmo e sicurezza internazionale. Fin dalla prima proposta di trattato per il controllo delle armi cibernetiche, la scena è stata dominata dalle posizioni americane e russe. Dal 1998 ad oggi, la Russia ha presentato ogni anno la bozza di proposta “Developments in the field of information and telecommunications in the context of security”, sostenendo la necessità di un accordo internazionale per il controllo delle armi nel campo dell’Information Warfare. Questo progetto è stato adottato per la prima volta con la Risoluzione 53/70 il 4 Gennaio 1999 (www.un.org/ga/search/view_doc.asp?symbol=A/RES/53/70). La Russia sollecitava l’adozione di un trattato internazionale appositamente creato per le armi cibernetiche, mentre gli Stati Uniti, più che essere favorevoli ad una reale cooperazione, preferivano applicare allo spazio cibernetico le stesse leggi applicate alle kinetic weapons.

Esistono diverse opinioni favorevoli in merito alla proposta di un trattato per il controllo sulle armi cibernetiche, giudizi basati sugli stessi possibili vantaggi che le convenzioni internazionali, approvate in passato, hanno avuto per le armi NBC. Le Convenzioni NBC, infatti, hanno ridotto la probabilità di un attacco, ne hanno accresciuto la prevedibilità e, di conseguenza, ne hanno limitato il timore. In ambito cyber un accordo tra Stati porterebbe, in linea teorica, ad una riduzione delle minacce di attacchi cibernetici, e comporterebbe una diminuzione del numero di incidenti a livello informatico. Verrebbero a stabilirsi, inoltre, delle regole di condotta per definire i comportamenti leciti ed evitare quelli illeciti. L’osservazione degli studiosi a favore di un accordo sulle armi cyber è rivolta alle caratteristiche che hanno portato al successo della Convenzione sulle armi chimiche (CWC): l’universalità, la volontà politica e l’assistenza alle vulnerabilità. Per gli esperti, un sistema di maggiore regolamentazione e di limitazioni rafforzerebbe la fiducia e la sicurezza internazionale, riducendo le tensioni e i timori di attacchi informatici state-sponsored.

Altri studiosi, per contro, non ritengono questa la soluzione migliore, date le peculiarità dello spazio cibernetico stesso. E’ difficile, infatti, vietare o verificare qualcosa in un ambiente ampio e senza confini delimitati come il cyber-space. La complessità risiederebbe nell’applicazione dell’accordo (enforceability) e nello stabilire sufficienti regole di condotta per tutti gli Stati. Si dovrebbero proibire la produzione, la distribuzione e il possesso di armi cibernetiche, come avviene per il controllo NBC.

Il monitoraggio e la verifica sul rispetto delle regole, tuttavia, sarebbero difficili, date le veloci trasformazioni di tecnologie, metodi e strumenti in questo campo. Virus, worm, programmi DoS, exploits, trojan horse e altre armi informatiche sono sempre in evoluzione e sono sviluppate in maniera continua. L’aspetto di stealthiness, quel grado di clandestinità e anonimato che l’ambiente cyber regala a chi attacca, inoltre, rende quasi impossibile risalire al colpevole, alla motivazione o all’attribuzione di una responsabilità. L’anonimato dello spazio cibernetico fa cadere un requisito fondamentale per un trattato che mira al controllo delle armi: non può garantire il risultato tramite un’efficace sistema di verifica. Si parla, infatti, di non-compliance e molti Paesi non firmerebbero un accordo in assenza di un regime di ispezioni che possa dare credibilità alle limitazioni. Sebbene vi siano alcuni vantaggi e analogie con la CWC, i limiti per una Cyber-Weapons Convention sono più convincenti.

La sicurezza cibernetica, ovviamente, ha assunto un’importanza significativa nell’interesse nazionale. Le minacce informatiche creano un reale rischio alla sicurezza di tutti gli Stati ed essi, di conseguenza, hanno il timore che, tramite errori di percezione o di calcolo, azioni maligne possano comportare danni alle proprie infrastrutture o innescare dei conflitti militari. Questa situazione ha instaurato, negli anni, un clima di tensione e di pressione nel raggiungere accordi multilaterali con l’intento di regolare lo spazio cibernetico e rendere più sicura la rete. Di fronte alle vulnerabilità di sistemi e networks IT, e al timore di una reale minaccia, diversi Paesi stanno sviluppando strategie nazionali di sicurezza informatica e stanno avviando discussioni nei forum internazionali per affrontare, a livello globale, la problematica della cyber-security, secondo la definizione americana, o dell’information security, secondo quella russa. E proprio tra questi due Paesi, come si è visto, non vi è una convergenza di approccio: i primi, infatti, propongono gruppi di law enforcement, mantenendo la rete informatica aperta e uno spazio informatico senza confini, mentre i secondi sollecitano per un trattato di limitazione delle armi cibernetiche e un regime di controllo sul Web.

Tra le diverse proposte avanzate alla Commissione sul disarmo e la sicurezza internazionale delle Nazioni Unite, nel 2010 il Gruppo di esperti nazionali dell’ONU (il GGE) ha raggiunto un consenso tra i suoi membri, indicando raccomandazioni per ridurre il rischio di conflitto, vista la reale minaccia alla pace e alla stabilità internazionale. Il GGE ha voluto spingere gli Stati nella discussione di norme e regole sull’uso dello spazio cibernetico, caldeggiando le cosiddette transparency and confidence-building measures (TCBM).

Riferite alla cyber-security, le TCBM sono misure che permettono di ridurre la probabilità di un conflitto che potrebbe essere innescato per mancanza di comprensione e di fiducia nelle attività cibernetiche tra Stati. Come detto, le caratteristiche e i limiti stessi del cyber-space determinano insicurezza; si pensi, ad esempio, al problema dell’attribuzione di responsabilità per un attacco, alla mancanza di confini del cyberspazio e alla possibilità che attori non statuali inviino un attacco per via cibernetica. Tali raccomandazioni hanno l’obiettivo di migliorare la sicurezza nella comunità internazionale, e già da tempo le Nazioni Unite promuovono le TCBM come meccanismo per rafforzare la stabilità in questo settore.

La strada da seguire, nel prossimo futuro, potrebbe essere quella diplomatica, tramite lo sviluppo di una cyber-diplomacy all’interno di forum internazionali, dialoghi e negoziazioni multilaterali e bilaterali, in particolare, tra i leader informatici, Stati Uniti e Russia.

Questi sono anni cruciali per confrontarsi con la sfida emergente rappresentata dal cyber-space e gli Stati dovrebbero convogliare le loro forze nel miglioramento e nell’approfondimento di modalità che possano accrescere la sicurezza internazionale. La via da percorrere, dunque, è la ricerca di misure che rafforzino e stabiliscano fiducia e trasparenza (TCBM), unite allo sviluppo di alcune aree di cooperazione quali, ad esempio, partnership con il settore privato, accordi regionali in ambito OSCE, o all’interno del partenariato NATO-Russia. Le Conferenze di Londra (novembre 2011), di Budapest (ottobre 2012) e Seoul (ottobre 2013) sono state tappe essenziali per impostare discussioni in ambito di cyber-security e, in un futuro, trovare un trattato condiviso dall’intera comunità internazionale.