L’indagine aperta per l’ipotesi di accesso abusivo a sistema informatico nei confronti di un tecnico ministeriale del distretto torinese, per come la vedo io, ha già avuto un effetto di rilievo: confermare le lacune nella gestione del sistema finito sotto la lente di Report. Le notizie diffuse nelle scorse ore, infatti, evidenziano che il ministero si è reso conto di quegli accessi solo dopo averne avuto notizia dalla trasmissione televisiva, e non da un alert interno.

Osservatori ed esperti del settore lo hanno evidenziato in tutti i modi: Microsoft ECM non è una cimice o un software-spia (definizioni errate date da alcuni), è uno standard di Endpoint Management, un prodotto regolarmente disponibile sul mercato e utilizzato in tutto il mondo per normalissime e necessarie operazioni di monitoraggio dello stato di un computer, distribuzione di aggiornamenti di sicurezza, installazione di software, supporto tecnico da remoto.

I vertici del Ministero hanno dichiarato che non può essere utilizzato per attività di controllo remoto senza il consenso degli utenti, ma questo non è un impedimento tecnico, poiché è stato riscontrato che notifiche e richieste di consenso agli utenti possono effettivamente essere disattivate. Certo, queste disattivazioni lasciano tracce che possono essere rilevate, ma il punto è proprio questo: vengono effettivamente rilevate?

Stiamo parlando dell’infrastruttura informatica del Ministero della Giustizia, di cui fanno parte i computer di magistrati che trattano dati molto riservati: se fosse attivo un controllo sulla disattivazione di notifiche e richieste di consenso, con l’invio dei relativi alert a figure responsabili della sicurezza dell’infrastruttura, dovrebbero scattare immediatamente le necessarie procedure di verifica, dando prova dell’efficacia della governance del sistema. In questo caso, invece, l’indagine della Procura è scattata in seguito a un esposto del Ministero della Giustizia datato 24 gennaio, dopo la pubblicazione – avvenuta il 21 gennaio da parte di Report – del video in cui il GIP di Alessandria Aldo Tirone spiega di aver consapevolmente fatto effettuare alcune prove con il supporto di tecnici informatici.

Queste evidenze, purtroppo, non trasmettono solo la smentita dell’impossibilità di disattivare notifiche e richieste di consenso all’utente, ma vanno ad un livello più alto, escludendo l’esistenza di un controllo efficace su eventuali disattivazioni non dichiarate. In questo momento, quindi, nell’occhio del ciclone sta finendo chi ha segnalato una seria vulnerabilità organizzativa, mentre l’attenzione dovrebbe puntare ad individuare e affrontare i problemi che l’hanno generata