Rendo la tecnologia
chiara, sicura, utile.

I computer quantistici vengono spesso raccontati come macchine futuristiche capaci di risolvere qualsiasi problema in pochi secondi. La realtà è più complessa, ma una conseguenza della loro evoluzione riguarda già oggi la sicurezza informatica. Buona parte delle comunicazioni digitali è protetta da sistemi crittografici basati su problemi matematici molto difficili per i computer tradizionali. Un computer quantistico sufficientemente potente potrebbe, in futuro, rendere vulnerabili alcuni degli algoritmi attualmente utilizzati. Non significa che domani mattina ogni password verrà decifrata. Significa però che la transizione verso nuovi sistemi deve cominciare con largo anticipo. “Raccogli oggi, decifra domani” Uno degli scenari più discussi è chiamato harvest now, decrypt later: raccogliere oggi informazioni cifrate per provare a decifrarle in futuro, quando sarà disponibile una tecnologia più potente. Il rischio riguarda soprattutto i dati che devono rimanere riservati per molti anni: documenti sanitari, informazioni industriali, archivi pubblici, comunicazioni istituzionali e proprietà intellettuale. Un file protetto nel 2026 potrebbe essere ancora sensibile nel 2036. Per questo motivo la sicurezza non può essere valutata soltanto sulla base delle capacità informatiche disponibili al momento. La crittografia post-quantistica La risposta è rappresentata dalla crittografia post-quantistica, cioè da algoritmi progettati per resistere sia agli attacchi dei computer tradizionali sia a quelli dei futuri sistemi quantistici. Il NIST ha avviato da anni un processo internazionale di selezione e standardizzazione di questi algoritmi. Il passaggio non consiste, però, nel premere un pulsante e sostituire automaticamente tutta la crittografia esistente. Le organizzazioni devono individuare dove vengono utilizzati certificati e algoritmi crittografici, aggiornare applicazioni e dispositivi, verificare la compatibilità dei sistemi e programmare la sostituzione delle tecnologie obsolete. La parola chiave è “agilità” Un’infrastruttura moderna dovrebbe possedere agilità crittografica: la possibilità di sostituire algoritmi e chiavi senza dover ricostruire ogni volta l’intero sistema. Il primo passo è quindi realizzare un inventario. Quali applicazioni utilizzano la crittografia? Dove sono conservate le chiavi? Quanto a lungo devono rimanere riservati i dati? Quali dispositivi non possono essere aggiornati facilmente? Per le piccole organizzazioni non è necessario acquistare oggi un computer quantistico o progettare algoritmi proprietari. È molto più utile scegliere software supportati, applicare gli aggiornamenti e verificare che i fornitori abbiano già una strategia di migrazione. La rivoluzione quantistica potrebbe sembrare lontana, ma le trasformazioni infrastrutturali richiedono anni. Prepararsi in anticipo non è allarmismo: è ciò che distingue una vera strategia di sicurezza da una semplice risposta all’emergenza. Approfondimento: NIST – Post-Quantum Cryptography.

L’intelligenza artificiale è ormai entrata nella vita quotidiana. La utilizziamo per scrivere testi, generare immagini, rispondere ai clienti, analizzare documenti e automatizzare attività ripetitive. Questa diffusione, però, ha reso necessarie regole più chiare per proteggere cittadini, lavoratori e consumatori. Dal 2 agosto 2026 sono diventati applicabili nuovi obblighi di trasparenza previsti dall’AI Act europeo. L’obiettivo non è vietare l’intelligenza artificiale, ma fare in modo che venga utilizzata in maniera riconoscibile, responsabile e proporzionata ai rischi. Sapere quando stiamo parlando con una macchina Uno dei principi fondamentali è molto semplice: una persona deve poter capire quando sta interagendo direttamente con un sistema di intelligenza artificiale. Un chatbot utilizzato per l’assistenza clienti, per esempio, non dovrebbe presentarsi come se fosse un operatore umano. L’utente deve essere informato chiaramente della natura automatizzata del servizio, soprattutto quando potrebbe ragionevolmente credere di parlare con una persona. Lo stesso principio riguarda molti contenuti generati o manipolati artificialmente. Immagini, registrazioni audio, video e testi realistici possono influenzare l’opinione pubblica o danneggiare la reputazione di qualcuno. Diventa quindi importante segnalarne l’origine e, in alcuni casi, applicare marcature leggibili anche dai sistemi informatici. La questione dei deepfake I deepfake rappresentano uno degli aspetti più delicati. Oggi è possibile produrre un video nel quale una persona sembra pronunciare parole mai dette oppure clonare una voce partendo da pochi secondi di registrazione. Queste tecnologie possono avere applicazioni creative e legittime, ma possono essere usate anche per frodi, disinformazione e ricatti. La trasparenza diventa così una prima forma di difesa: chi pubblica determinati contenuti artificiali deve rendere riconoscibile la manipolazione. Cosa devono fare aziende, scuole e professionisti? Non tutte le organizzazioni devono diventare esperte di diritto dell’intelligenza artificiale. Tuttavia, chi utilizza questi strumenti dovrebbe iniziare a porsi alcune domande: Quali applicazioni di IA vengono utilizzate? Quali dati vengono inseriti nei sistemi? Le persone sanno quando stanno interagendo con un automatismo? I contenuti generati artificialmente sono adeguatamente segnalati? È sempre presente un responsabile umano delle decisioni? Anche la formazione del personale diventa essenziale. Utilizzare un sistema di IA senza comprenderne limiti e rischi può produrre errori, violazioni della riservatezza o decisioni discriminatorie. L’AI Act ci ricorda quindi un concetto fondamentale: l’intelligenza artificiale può assistere l’essere umano, ma non deve cancellarne la responsabilità. Innovare significa anche sapere spiegare come e perché utilizziamo una tecnologia. Approfondimento: Linee guida della Commissione europea sugli obblighi di trasparenza.

Per anni ci è stato ripetuto di creare password lunghe, complesse e diverse per ogni servizio. Il consiglio rimane valido, ma non risolve completamente il problema: persino una password perfetta può essere sottratta attraverso una falsa pagina di accesso. È proprio questo il meccanismo alla base di molti attacchi di phishing. La vittima riceve un messaggio apparentemente autentico, apre un collegamento e inserisce le credenziali in un sito costruito per assomigliare a quello originale. Le passkey cercano di eliminare il problema alla radice. Come funziona una passkey Una passkey permette di accedere utilizzando il dispositivo e un metodo di sblocco già conosciuto, come l’impronta digitale, il riconoscimento del volto o il PIN. Dietro questa apparente semplicità viene utilizzata la crittografia. Il servizio conserva una chiave pubblica, mentre la chiave privata rimane protetta sul dispositivo dell’utente. La parte segreta non viene digitata, inviata al sito o comunicata durante l’accesso. Questo rende la passkey resistente al phishing: la credenziale è associata al vero indirizzo del servizio e non può essere riutilizzata su una pagina contraffatta. Sono la stessa cosa dell’autenticazione a due fattori? Non esattamente. I codici ricevuti tramite SMS o generati da un’applicazione aumentano la sicurezza, ma possono comunque essere intercettati o richiesti attraverso un sito fraudolento. Le tecnologie basate sugli standard FIDO e WebAuthn sono progettate per verificare anche l’autenticità del servizio al quale ci stiamo collegando. La CISA statunitense le indica come una delle forme di autenticazione ampiamente disponibili maggiormente resistenti al phishing. Cosa succede se perdiamo il telefono? È una domanda legittima. Le passkey possono essere sincronizzate attraverso l’account protetto del produttore oppure salvate in un gestore compatibile. È comunque importante configurare in anticipo metodi affidabili di recupero e mantenere aggiornati numero di telefono ed e-mail di sicurezza. Per gli account più delicati può essere utile registrare più di un dispositivo o affiancare una chiave fisica di sicurezza. È già il momento di utilizzarle? Sì, soprattutto per la posta elettronica, i servizi cloud e gli account dai quali dipende il recupero delle altre credenziali. Quando un servizio propone “Crea una passkey”, vale la pena attivarla. Le password non spariranno immediatamente: per qualche tempo vivremo in un sistema ibrido. Tuttavia, le passkey segnano un cambio di prospettiva importante. La sicurezza non dipende più soltanto dalla capacità dell’utente di ricordare un segreto, ma viene incorporata direttamente nel processo di autenticazione. Approfondimenti: CISA – autenticazione resistente al phishing.

Fino a poco tempo fa utilizzavamo l’intelligenza artificiale soprattutto per ottenere una risposta: formulavamo una domanda e il sistema produceva un testo, un’immagine oppure un’analisi. La nuova evoluzione è rappresentata dagli agenti di intelligenza artificiale: sistemi capaci non soltanto di rispondere, ma anche di organizzare e svolgere una sequenza di operazioni per raggiungere un obiettivo. Un assistente che utilizza gli strumenti Immaginiamo di chiedere a un assistente digitale di organizzare una riunione. Un normale chatbot potrebbe suggerire un testo per l’invito. Un agente, se autorizzato e collegato agli strumenti necessari, potrebbe invece controllare il calendario, individuare gli orari disponibili, preparare l’ordine del giorno e creare l’appuntamento. In ambito informatico, un agente potrebbe analizzare i messaggi di errore di un server, consultare la documentazione tecnica e proporre una configurazione correttiva. In un’azienda potrebbe classificare le richieste ricevute, aggiornare il gestionale e predisporre una risposta da sottoporre a un operatore. La differenza, dunque, è nell’autonomia operativa: il sistema divide un obiettivo in passaggi, utilizza gli strumenti disponibili e verifica progressivamente il risultato. Opportunità e rischi Gli agenti possono ridurre il tempo dedicato alle attività ripetitive e consentire alle persone di concentrarsi su decisioni, relazioni e creatività. Ma più un sistema può agire, maggiore deve essere il controllo esercitato su di esso. Un agente con accesso alla posta elettronica, ai file aziendali o a un database può causare danni se interpreta male un’istruzione. Potrebbe inviare informazioni al destinatario sbagliato, modificare dati corretti o eseguire un’operazione non prevista. Esiste anche un rischio di sicurezza specifico: un contenuto apparentemente innocuo potrebbe contenere istruzioni studiate per ingannare l’agente e indurlo a compiere azioni non autorizzate. L’autonomia deve avere confini precisi Per utilizzare queste tecnologie in modo responsabile occorre applicare alcune regole: concedere soltanto i permessi strettamente necessari; richiedere una conferma umana prima delle operazioni importanti; registrare le azioni compiute dal sistema; separare gli ambienti di prova da quelli operativi; verificare periodicamente risultati, errori e comportamenti anomali. L’errore più grande sarebbe affidare a un agente poteri illimitati soltanto perché sembra competente durante una conversazione. La capacità di comunicare in modo convincente non garantisce che ogni decisione sia corretta. Gli agenti intelligenti rappresentano una trasformazione importante: il software non è più soltanto uno strumento da comandare passo dopo passo, ma può diventare un collaboratore operativo. Il vero tema dei prossimi anni non sarà stabilire se usarli, ma decidere quali responsabilità delegare e quali mantenere saldamente nelle mani delle persone. Per approfondire la gestione dei rischi: NIST AI Resource Center.