Oggi l'Estonia è classificata tra i pesi massimi globali della sicurezza informatica. Ma 13 anni fa, il paese è stato costretto ad affrettarsi per rispondere a uno dei più devastanti attacchi informatici della storia, eseguito da agenti russi.
Quel giorno dell'aprile 2007, Jonatan Vseviov è stato assegnato all'ambasciata dell'Estonia a Washington, DC, occupandosi degli affari politici del piccolo paese dell'Europa orientale. Ha appreso rapidamente degli attacchi dopo aver perso l'accesso ai siti web.
"Devi ricordare che non è stato solo un attacco informatico", ha detto Vseviov, ora ambasciatore dell'Estonia negli Stati Uniti, riferendosi all'escalation delle tensioni tra Estonia e Russia. Gli attacchi informatici sono stati stimolati dal trasferimento di una statua in bronzo di un soldato russo.
A quel tempo, "abbiamo sentito un sostegno schiacciante dai nostri alleati", ha detto Vseviov, parlando durante una chat di apertura al caminetto a RiskSec 2020 Digital . “Quando sono andato alla Camera dei Rappresentanti o al Senato e ho chiesto sostegno, non c'erano mai state obiezioni, tranne che per un piccolo argomento. Cyber. Era così nuovo, così insolito. Sembrava che stessi parlando di uno scenario di fantascienza. "
È interessante notare che a quel tempo, nel 2007, la sicurezza informatica e questo concetto di società digitale non erano una novità in Estonia. Il paese era probabilmente in vantaggio rispetto alle altre democrazie occidentali in questo senso. All'improvviso, Vseviov e i leader estoni sono stati costretti a istruire il mondo, affrontando il proprio campanello d'allarme.
"Abbiamo preso una decisione consapevole di passare al digitale [negli anni '90], sulla base del fatto che avevamo perso cinque decenni a causa di varie occupazioni", ha ricordato Vseviov. “Dopo aver riconquistato la nostra libertà, non volevamo solo tornare a casa in Europa a ovest, ma volevamo anche recuperare il tempo perduto.
"E poi, all'improvviso, un atto relativamente poco sofisticato travolge il sistema."
Da quell'esperienza sono emerse due lezioni, che hanno tenuto conto della capacità dell'Estonia di avanzare rapidamente oltre una società digitale verso una cultura della sicurezza.
Innanzitutto, "quando si parla di sicurezza informatica, la geografia non ha importanza", considerando che gli attacchi contro l'Estonia sono stati avviati in più paesi, al di fuori dei propri confini. "E lezione numero due, devi davvero passare dall'approccio dell'intero governo [al digitale] a un approccio dell'intera società".
La sfida affrontata dall'Estonia in quel momento non era diversa dalla sfida affrontata dalle aziende di tutti i verticali che cercavano di creare una cultura della sicurezza tra dipendenti e partner. Era solo su una scala più grande.
Vseviov l'ha paragonato all'attuale pandemia.
"Alla fine della giornata, abbiamo bisogno che le persone si lavino le mani e si assicurino che non starnutiscano su altre persone", ha detto. “Cose che potrebbero sembrare meno sofisticate, ma sono altrettanto importanti. Non puoi affrontare niente di tutto questo da solo. "
È interessante notare che, a partire dagli attacchi informatici del 2007, l'Estonia ha accelerato le sue capacità digitali. Oltre a un programma di identificazione nazionale che era già in atto, fornendo a tutti i cittadini una firma digitale, il paese ha trasferito praticamente tutti i servizi pubblici online. L'Estonia è stato anche il primo paese a offrire la residenza elettronica, che consente ai non estoni di creare società e accedere ai servizi estoni. Il programma è rivolto a imprenditori indipendenti dalla posizione, come gli sviluppatori di software. Ha inoltre istituito il visto per nomade digitale, che consente ai lavoratori a distanza di vivere in Estonia e lavorare legalmente per i datori di lavoro registrati all'estero.
Nessuno di questi sforzi avrebbe successo senza un alto livello di fiducia da parte dei cittadini.
“Quella fiducia si costruisce nel tempo. Ovviamente non ci arrivi dall'oggi al domani ”, ha detto Vseviov. "Ma uno degli elementi costitutivi è la trasparenza e il non cercare di ingannare nessuno facendogli pensare che all'improvviso hai creato un sistema digitale sicuro al 100%. Niente è sicuro al 100%. Non pensiamo che i nostri sistemi siano al 100 percento. Eppure, crediamo che siano migliori delle alternative analogiche ".
Vseviov ricorda un incidente di alcuni anni fa, quando una falla di sicurezza ha colpito 300.000 ID digitali che i cittadini utilizzano per tutti i servizi pubblici, dall'accesso ai documenti degli studenti all'ottenimento di una prescrizione in farmacia. La prima decisione presa quando il problema è stato identificato è stata quella di rendere pubblica.
"Si scopre che le persone sono abbastanza abituate al fatto che le cose si rompono su Internet", ha detto Vseviov. “Non c'era panico. Quello che le persone hanno tratto [dall'incidente] è che avevamo una grande preoccupazione, e la prima cosa che il governo ha fatto è stata renderla pubblica. Questo ha finito per costruire la fiducia, non per eroderla. "
Quindi il mondo sta meglio, 13 anni dopo gli attacchi informatici sentiti in tutto il mondo?
“L'Estonia è un piccolo paese. Ciò significa che quando si tratta di forza bruta, potremmo non essere all'altezza dei paesi più grandi sulla scena mondiale ", ha detto Vseviov. “Quello che possiamo fare, e abbiamo fatto nel dominio digitale, è essere i primi a far sapere a tutti che abbiamo scoperto qualcosa di nuovo. Possiamo essere il canarino nella miniera di carbone. Quell'uccello è motivato dal suo stesso desiderio di vivere in un mondo pericoloso. Ma essendo motivato, grida. Questo è il nostro ruolo. È quello che abbiamo fatto nel 2007. Abbiamo iniziato a urlare e urlare sulla sicurezza informatica ".
Il post Canary nella miniera di carbone: l'ambasciatore dell'Estonia sulla creazione di una cultura della sicurezza dopo la guerra cibernetica è apparso per la prima volta su SC Media .