Quando si parla di primo trattato globale contro il cybercrime è facile pensare che da qui in avanti sarà tutto più semplice. In realtà il quadro è un po’ più sottile. La Convenzione nasce per dare agli Stati membri un linguaggio comune sui reati digitali e su come collaborare quando un attacco attraversa più Paesi: accesso abusivo ai sistemi, intercettazione illegale, diffusione di malware, furto di identità, frodi online e così via. L’obiettivo è evitare indagini che si fermano al primo confine perché le norme non si parlano fra loro.
Il passo avanti c’è: più chiarezza sui reati tipici del cyberspazio e un perimetro condiviso per scambiarsi prove elettroniche. Ma il trattato è molto più forte sul cybercrime “classico” che sulle zone grigie. Il punto più critico riguarda infatti il ruolo degli Stati. Se campagne di spionaggio o di sabotaggio digitale partono da infrastrutture controllate o tollerate da governi, la Convenzione offre pochi appigli per discutere responsabilità e limiti. Il rischio è che il problema venga affrontato solo nella versione “criminalità comune”, lasciando fuori una parte importante di ciò che rende il cyberspazio instabile.
Un primo nodo riguarda il modo in cui il trattato guarda al cyberspazio. La Convenzione nasce con una forte impostazione penale: individua reati, definisce obblighi di incriminazione, dettaglia gli strumenti di cooperazione giudiziaria. È utile per dare una base comune alle indagini, ma resta molto legata all’idea che il problema sia “solo” perseguire singoli soggetti e gruppi criminali. In un contesto dove infrastrutture critiche, servizi digitali e piattaforme globali sono coinvolti ogni giorno, questo approccio rischia di essere troppo stretto: non affronta davvero la dimensione sistemica degli attacchi né il fatto che, spesso, il bersaglio non è solo una vittima isolata ma l’affidabilità complessiva di interi pezzi di società digitale.
Un altro elemento delicato è il rapporto tra obblighi di cooperazione e risorse disponibili. La Convenzione spinge verso un coinvolgimento più marcato di provider, operatori di servizi essenziali e gestori di infrastrutture digitali nelle richieste di dati e supporto alle indagini. In astratto è comprensibile, ma nella pratica significa che organizzazioni molto diverse tra loro, con livelli di maturità di sicurezza altrettanto diversi, dovranno reggere un carico aggiuntivo di adempimenti tecnici e legali. Senza investimenti adeguati e linee guida chiare, c’è il rischio che la capacità di rispondere in modo corretto e sicuro a queste richieste diventi l’ennesimo punto di frizione tra chi ha strutture e competenze e chi si trova esposto con strumenti minimi.
C’è anche il tema dei poteri di accesso ai dati. Il testo richiama la tutela dei diritti umani e delle libertà fondamentali, ma la tensione rimane: da un lato si vuole rendere più rapida la cooperazione e la raccolta di informazioni, dall’altro bisogna evitare che strumenti pensati per contrastare il cybercrime diventino un canale per allargare in modo poco controllato le possibilità di sorveglianza. Molto dipenderà da come gli Stati incorporeranno queste norme nelle legislazioni interne e da quanto saranno trasparenti i meccanismi di controllo.
Per chi si occupa di sicurezza e infrastrutture digitali, la Convenzione è soprattutto un segnale: il contesto si sposta sempre di più dal solo piano tecnico a quello in cui norme internazionali, obblighi di cooperazione e tutela dei diritti si intrecciano. Log, tempi di conservazione, modalità di risposta alle richieste delle autorità e ruolo dei fornitori digitali saranno influenzati da questo quadro, con più responsabilità per chi gestisce dati e servizi, ma senza che venga meno la parte difficile del lavoro quotidiano.
www.ictsecuritymagazine.com/articoli/la-convenzione-onu-sul-cybercrime/