“La mia Theory of Victory è semplice”. Così il generale Alexus Grynkewich, comandante supremo alleato in Europa, ha presentato al Warsaw Security Forum lo schema con cui la Nato intende rispondere a un’eventuale aggressione russa. Lo schema prevede tre fasi: bloccare l’attacco iniziale, logorarne la spinta e infine spezzare le forze nemiche, negando a Mosca la possibilità di conquistare e mantenere territorio alleato. Ma è davvero così semplice? Quanto c’è di nuovo in questa impostazione, l’Alleanza ha le capacità per sostenerla e quale peso avrebbero l’assenza degli Stati Uniti o la tenuta politica dei 32 alleati? Per trovare una risposta a queste domande, Formiche.net si è rivolta ad Andrea Gilli, docente di Studi Strategici presso l’Università di St Andrews, che ha accettato di rispondere alle nostre domande.

La Theory of Victory esposta da Grynkewich sembra scostarsi ulteriormente dalla logica del “tripwire”, a favore di una vera e propria deterrence by denial, volta a difendere il territorio nella sua integrità. È la scelta giusta?

Va ricordato che la deterrence by denial è sempre stata la teoria della deterrenza della Nato, più che una sua theory of victory, più o meno da quando è stata abbandonata la Massive Retaliation di Eisenhower. Il tripwire rispondeva a un’esigenza precisa, quella di evitare un rischio di escalation senza esporre troppe truppe al fuoco avversario, e avere comunque un meccanismo che funzionasse. Se si guardano la Nato Command Structure e la Nato Force Structure, non cambia nulla. Grynkewich non dice che bisognerebbe fare di più. Espone, in modo più o meno chiaro, qualcosa che c’era già. La vera domanda è se questa sia una theory of victory o semplicemente un approccio operativo. Una theory of victory dovrebbe spiegare anche come l’avversario modifica le proprie percezioni e le proprie azioni in base a ciò che facciamo noi. Nel discorso di Grynkewich questo elemento manca.

Ad oggi l’Alleanza dispone delle capacità necessarie (potenza di fuoco, ISR, difesa aerea, attacco a lungo raggio, scorte di munizioni) per tradurre in pratica la struttura indicata dalla Theory of Victory? E le avrebbe anche senza gli Stati Uniti, in particolare negli abilitatori su cui oggi l’Europa dipende da Washington, (intelligence satellitare, rifornimento in volo, Sead, ecc.)?

Grynkewich sostiene, in sostanza, che la Nato è pronta. Resta da verificare se disponga davvero di tutte le capacità necessarie, per esempio in termini di scorte di munizioni o di guerra elettronica. Probabilmente oggi questa theory of victory è applicabile. Bisogna però capire per quanto tempo e con quale intensità, visti questi limiti. Sul piano convenzionale e su quello nucleare l’Alleanza è certamente forte, ma lo è grazie al ruolo degli Stati Uniti. Senza Washington sarebbe molto difficile, proprio per gli abilitatori che citi. A cambiare non sarebbe necessariamente l’esito finale, ma il livello di attrito da sopportare.

Considerando le prossime tornate elettorali, da cui potrebbero uscire vincitrici forze politiche poco favorevoli alla coesione dell’Alleanza, il fatto che 32 nazioni si uniscano per organizzare questo sistema di difesa, che Grynkewich presenta come un punto di forza, non potrebbe rivelarsi piuttosto un punto di debolezza?

La Nato funziona per consenso e, con tutte le critiche che possiamo e vogliamo fare alla Nato, è comunque un framework politico-diplomatico che alla fine ha funzionato, nel senso che si riesce a trovare l’accordo tra queste 32 nazioni che si impegnano. È ovvio che dei cambi di governo possono portare a dei cambiamenti, però ci sono anche 32 alleati. È ovvio che alcuni Paesi pesano più di altri, però il meccanismo è pensato in maniera funzionale. Altro discorso è se tanti Paesi si tirano indietro. Però, se guardiamo alle alternanze di governo che ci sono state in vari Paesi nel corso degli anni, il dissenso spesso è stato su alcune politiche, alcuni atteggiamenti, alcune posizioni. Sul lato militare non c’è nessun Paese che non voglia contribuire alla sicurezza collettiva, almeno finora, e questo ci fa realisticamente pensare che potrebbe continuare ad essere così anche in futuro.

Il Saceur sottolinea la “reattività” di questo approccio, specificando che all’eventuale invasore viene lasciato l’onere dell’escalation. Ma così non gli si lascia anche l’iniziativa, e l’opportunità di trovare un modo per aggirare il sistema difensivo o di manipolarlo a proprio vantaggio? (Sia in modo convenzionale, con uno scenario alla “fronte occidentale 1940”, sia sfruttando operazioni “sotto soglia”).

Il problema di fondo delle risposte militari, come osserva il Saceur, è che non si vuole essere costretti a rispondere in modo sempre più duro, perché questo può provocare un’ulteriore reazione. Serve quindi un approccio che lasci l’avversario con il cerino in mano, costretto a scegliere se incassare il colpo o rilanciare. Grynkewich lo considera un punto di forza perché lascia all’altro il burden of escalation, e la cosa ha senso. D’altro canto, è vero come suggerisci tu che si lascia anche l’iniziativa. Ma la questione non è soltanto relativa a questa theory of victory, ma alla natura stessa della Nato. Essendo un’alleanza difensiva, non vuole, e non può, adottare una postura intrinsecamente più aggressiva che riduca la gamma di scelte dell’avversario. È oggettivamente una criticità, ed è legata alle 32 nazioni di cui parlavamo. Una postura più aggressiva avrebbe forse più senso sul piano militare, ma non sarebbe sostenibile politicamente. Si tratta di un trade-off tra efficacia e consenso, che la Nato risolve in modo non perfetto ma quantomeno accettabile. O almeno, io la vedo così.

Tra l’altro in questa formulazione si può leggere tra le righe una rinuncia al first use nucleare, il beneficio politico c’è, ma il beneficio strategico quanto è pesante?

È giusto sollevare la questione, ma Grynkewich non ne parla, perché il suo discorso resta principalmente sul piano convenzionale. Bisognerebbe guardare alla questione del NC3 americano e capire fino a che punto l’impiego di armi nucleari passi dal Saceur e dal Nuclear Planning Group. Resta quindi una questione aperta di ambiguità, anche sul no first use, e la risposta si trova probabilmente in un documento classificato che la Nato non pubblicherà. Su due piedi direi che la rinuncia non c’è stata, soprattutto con Trump. Il no first use è stato un dibattito più legato agli anni di Obama.

La velocità degli attacchi informatici, l’impiego dell’intelligenza artificiale e la necessità di rafforzare la cooperazione europea stanno trasformando la cybersecurity. Temi al centro di Cybertech Europe 2026, a Roma, dove Andrea Campora, managing director della Divisione cyber & security solutions di Leonardo e presidente della European cyber security organisation (Ecso), ha approfondito con Airpress l’evoluzione delle minacce, le strategie di difesa e le prospettive dell’industria europea.

La velocità con cui evolvono le minacce informatiche sta diventando un fattore sempre più determinante nella cybersecurity. In che modo il fattore tempo è diventato una variabile centrale nel confronto tra attaccanti e difensori e come Leonardo affronta questa sfida?

Il tempo è diventato uno degli elementi che meglio rappresentano il cambiamento della cybersecurity. Da vent’anni raccontiamo il fenomeno attraverso il volume degli attacchi, ma oggi a cambiare è soprattutto la loro natura. Viviamo in una società caratterizzata da sistemi digitali autonomi, capaci di interagire con l’ambiente e prendere decisioni. La cybersecurity non è più un’attività di confronto tra specialisti umani supportati dalla tecnologia, ma tra sistemi intelligenti supervisionati da umani.

Nel 2018, secondo alcune statistiche, tra la pubblicazione di una vulnerabilità nel registro Cve (Common vulnerabilities and exposures) e il suo primo sfruttamento passavano in media oltre due anni. Oggi parliamo di ore, talvolta di minuti. I large language model utilizzati come agenti possono individuare vulnerabilità, correlarne diverse di minore entità e sfruttarle prima ancora che siano conosciute, in alcuni casi con un’efficacia notevolmente superiore rispetto ai migliori sistemi specializzati. È quello che definiamo tempo negativo.

C’è poi la corsa contro il tempo nella risposta, che coinvolge tecnologia, procedure e persone. Leonardo oltre 200 clienti nel mondo. Quando individuiamo una vulnerabilità presso uno di loro, dobbiamo capire rapidamente quali altri utilizzino tecnologie esposte allo stesso rischio, valutarne gli impatti e aggiornare le procedure operative.

Per questo parliamo di un “sistema immunitario” della cybersecurity. Individuata una minaccia, occorre distribuire immediatamente le contromisure ai clienti e alle istituzioni. La cooperazione oggi è indispensabile e non riguarda soltanto le informazioni, ma anche le capacità. Chi rimane fuori da questo sistema di fiducia rischia di non riuscire più a difendersi efficacemente.

L’intelligenza artificiale sta assumendo un ruolo crescente nella cybersecurity, sia nello sviluppo delle minacce sia nelle capacità di difesa. Come sta cambiando concretamente gli strumenti di protezione e quali vantaggi offre nell’individuazione e nella risposta agli attacchi?

L’introduzione dell’intelligenza artificiale è stata progressiva. Nel nostro Global Cybersec Center utilizziamo da molti anni il machine learning per individuare le minacce. Il vero salto di qualità è stato passare dall’impiego dell’IA per singole funzioni, come la rilevazione o l’automazione della risposta, a un approccio multiagente.

Oggi possiamo avere sistemi composti da agenti intelligenti, ciascuno dedicato a una funzione, che interagiscono per rendere più efficace l’intero processo. Collegare queste attività permette agli agenti di analizzare l’ambiente e coordinare le risposte.

Questo cambia anche l’architettura dei sistemi. Non possiamo più affidarci a molteplici prodotti specialistici che operano separatamente. Serve un’unica piattaforma connessa, nella quale le diverse funzioni dialoghino costantemente. È quello che definiamo piattaformizzazione, ormai fondamentale per garantire una difesa efficace.

Lo Zero trust è uno dei modelli sempre più utilizzati per la protezione dei sistemi informatici. Qual è l’approccio di Leonardo e come si inserisce nel più ampio tema della sovranità tecnologica e della sicurezza europea?

In Leonardo adottiamo quello che Forrester definisce un “approccio di sovranità pragmatica”. Non riteniamo necessario reinventare tutto, ma è fondamentale mantenere il controllo sulle capacità e sulle tecnologie dalle quali dipende realmente la nostra sovranità. Per anni abbiamo discusso della sovranità delle infrastrutture in un contesto nel quale queste ospitavano prevalentemente dati passivi e software dal comportamento deterministico. Oggi, con la diffusione degli agenti intelligenti, il governo del dato assume un’importanza ancora maggiore.

Sul fronte dello Zero Trust abbiamo accelerato lo sviluppo tecnologico anche attraverso operazioni societarie, tra cui l’acquisizione della svedese Axiomatics, specializzata nell’autorizzazione, e l’ingresso nel capitale della finlandese SSH, attiva nell’autenticazione e nella sicurezza, di cui Leonardo è diventata il maggiore azionista con il 24,55%.

Lo Zero Trust rappresenta una risposta all’evoluzione delle minacce. Se consideriamo la possibilità di una violazione come un presupposto, dobbiamo abbandonare la fiducia implicita e verificare costantemente identità e dispositivi. Ma anche questo modello deve evolvere. Quando migliaia di agenti possono attaccare contemporaneamente alla velocità delle macchine, lo Zero trust deve utilizzare l’intelligenza artificiale per garantire verifiche altrettanto rapide.

Un altro elemento fondamentale è l’observability, cioè la capacità di valutare i comportamenti. Come possiamo stabilire se un agente con credenziali legittime stia agendo correttamente, soprattutto quando non c’è una persona dietro le sue azioni? Occorre confrontarne il comportamento con criteri e policy prestabiliti.

Se, per esempio, io accedessi nel cuore della notte al file system di un server senza avere responsabilità tecniche che lo giustifichino, il sistema dovrebbe riconoscere un comportamento potenzialmente anomalo. È questa l’evoluzione dello Zero trust in un mondo nel quale, usando una metafora, il nuovo perimetro della sicurezza è l’identità.

Nel contesto di sicurezza attuale, segnato anche dalle tensioni ai confini europei, gli attacchi informatici rappresentano una minaccia sempre più rilevante. Quanto è importante rafforzare il coordinamento tra Paesi, istituzioni e aziende europee per costruire una risposta comune e accrescere la consapevolezza dei rischi cyber?

Riprendo una riflessione dell’ex presidente finlandese Sauli Niinistö, autore di un rapporto sulla preparazione europea in materia di sicurezza e difesa. Le minacce non si fermano ai confini nazionali. La responsabilità della sicurezza appartiene ai singoli Stati, ma questo si concilia difficilmente con la natura transfrontaliera degli attacchi. Condividere le risposte significa renderle più efficaci.

Un esempio riguarda la proposta della Commissione europea di introdurre un single entry point per la segnalazione degli incidenti. Se una multinazionale opera in tutti i 27 Paesi dell’Unione e subisce un attacco, non dovrebbe presentare 27 comunicazioni separate alle rispettive autorità nazionali. Basterebbe un’unica segnalazione, condivisa secondo criteri prestabiliti.

La proposta ha incontrato l’opposizione di diversi Paesi. È un esempio degli ostacoli non soltanto tecnologici, ma anche culturali e organizzativi. Anche come European cyber security organisation (Ecso), che presiedo, abbiamo sostenuto la necessità di superare queste frammentazioni.

C’è poi la competitività industriale. In un mercato globale, la massa critica degli investimenti è determinante. In alcuni comparti tecnologici l’Europa ha perso terreno, mentre nella cybersecurity siamo ancora competitivi. Per mantenere questa posizione servono investimenti condivisi e alleanze europee. Altrimenti, la marginalizzazione diventerà una certezza. La questione sarà soltanto capire in quanti anni.

Guardando all’Italia e all’Europa, quanto siamo realmente preparati a difenderci dagli attacchi informatici? Qual è il livello di protezione raggiunto dalle istituzioni, dalle grandi imprese e dalle aziende più piccole della filiera, considerando anche le conseguenze che un attacco a un’infrastruttura pubblica può avere sull’intero sistema?

La direttiva Nis2 ha rappresentato un importante salto di qualità. Uno dei suoi meriti è aver chiarito ai consigli di amministrazione che la responsabilità della sicurezza informatica non può essere semplicemente delegata, ma rimane in capo agli organi di governo delle imprese. Questo principio, insieme alle altre misure, ha accelerato il cambiamento. Rimane il problema di un’applicazione disomogenea tra i Paesi europei, ma il bilancio è positivo.

Anche l’esperienza di Leonardo dimostra che l’Europa dispone ancora di capacità importanti. Penso al nostro coinvolgimento nel programma Gcap (Global combat air programme) per il caccia di sesta generazione, dove ci occupiamo non soltanto di cybersecurity, ma anche della gestione del dato. Queste esperienze hanno rafforzato la nostra posizione nelle gare europee, presso la Commissione e le altre istituzioni, fino al programma Protected business network della Nato, al quale partecipiamo insieme ad Accenture per accompagnare la trasformazione dell’infrastruttura digitale  per circa 29.000 utenti dell’Alleanza verso il cloud.

La cybersecurity non è soltanto tecnologia. Comprende una componente significativa di servizi e competenze umane, un ambito nel quale l’Europa e le sue università mantengono una posizione di forza. Abbiamo degli svantaggi, ma la competizione è ancora aperta. Sul fronte della protezione, la semplificazione rimane fondamentale.

Resta una preoccupazione legata al nuovo European competitiveness fund, che, a differenza del precedente strumento, non prevede una voce di finanziamento autonoma per la cybersecurity. La sicurezza informatica potrà trovare spazio in programmi più ampi, ma quando viene messa in competizione con altre priorità non è detto che ottenga risorse sufficienti.

Su questo tema abbiamo scritto una lettera aperta alla Commissione europea e contiamo di proseguire il confronto. Non si tratta soltanto di budget, ma della necessità di riconoscere alla protezione cyber una propria autonomia progettuale.