CyberwarSicurezza

Kaspersky vs DHS USA, questioni politiche in salsa informatica

Nel 1998 inizia la sua esperienza nel mondo IT in Mondadori e partecipa alla nascita di Web Marketing Tools di cui coordina la redazione. Redattore esperto di software per PC Magazine, e caporedattore di ComputerIdea, segue da circa 20 anni l'evoluzione del mondo hardware, software e dei servizi IT in un confronto continuo con le aziende leader del settore

Il veto ai prodotti Kaspersky negli uffici governativi Usa ha sollevato un polverone. La sicurezza è al centro delle motivazioni, ma senza spiegazioni sembra un provvedimento basato semplicemente sul criterio “meglio non usarlo, perché comunque è russo”

Il 13 di settembre, il DHS americano (Department Homeland Security) ha diffuso una direttiva in sostanza mettendo al bando l’utilizzo di prodotti, servizi e soluzioni in via diretta e indiretta di Kaspersky Lab. I dipartimenti e le agenzie, secondo la direttiva (Binding Operational Directive) richiama all’identificazione delle presenza dei prodotti Kaspersky nell’arco di massimo trenta giorni, richiede la stesura dei piani di rimozione nell’arco dei successivi 60 giorni ed entro i 90 giorni dal 13 di settembre richiede l’implementazione dei piani di rimozione di tutto dai sistemi informativi.

La motivazione riguarda i rischi cui sarebbero esposte le informazioni protette dai sistemi di Kaspersky, perchè i sistemi antivirus di Kaspersky secondo il DHS consentirebbero elevati privilegi sui computer su cui il software è installato. Il dipartimento esprime inoltre preoccupazione riguardo i legami tra l’intelligence Russa e alcuni dirigenti dell’azienda… Infine la direttiva si conclude con la possibilità offerta a Kaspersky di replica con le giustificazioni del caso per consentire di mitigare il provvedimento.

E’ arrivata la risposta ufficiale del vendor, ovviamente, da un lato si esprime l’amarezza per i relativi provvedimenti, dall’altro si ringrazia per la possibilità di offrire le relative informazioni a documentazione dell’infondatezza delle accuse espresse. Kaspersky spiega come le accuse siano “sono basate su false affermazioni e supposizioni errate, tra cui le dichiarazioni riguardanti regolamentazioni e policy russe con effetti sull’azienda. Kaspersky Lab ha sempre ammesso di fornire prodotti e servizi appropriati a governi di tutto il mondo per proteggere queste organizzazioni dalle cyber minacce, ma non ha legami amorali o affiliazioni con alcun governo, incluso quello russo”.

Eugene Kaspersky, Ceo e fondatore di Kaspersky Lab
Eugene Kaspersky, Ceo e fondatore di Kaspersky Lab

Soprattutto Kaspersky spiega come le leggi russe – citate dal DHS per spiegare come sia facoltà dell’intelligence Russa esigere la massima collaborazione per intercettare le comunicazioni che transitano sulle proprie reti – non possano applicarsi alla realtà di sicurezza ma siano applicazioni alle aziende che operano nel settore delle telecomunicazioni e di Internet e come le informazioni ricevute dall’azienda e il relativo traffico siano crittografate.

Interessante la dichiarazione dello statement di Kaspersky: “Kaspersky Lab non ha mai aiutato e mai aiuterà alcun governo al mondo in attività di cyber spionaggio o cyber attacco ed è sconcertante che un’azienda privata possa essere considerata colpevole fino a prova contraria a causa di questioni geopolitiche. L’azienda attende con impazienza di poter collaborare con il DHS, in quanto crediamo fortemente che un’approfondita analisi dell’azienda confermerà che queste accuse sono infondate” .

La questione, come si può ben comprendere è squisitamente di carattere politico. Lo è perché prodotti e servizi Kaspersky non sono stati imposti alle agenzie governative da nessuno, ed evidentemente saranno stati scelti con rigore tra varie possibilità, vorremmo pensare soprattutto per la loro efficacia. Che Kaspersky fosse un’azienda russa, insomma, non è una novità che si scopre il 13 di settembre. Resta però aperta una questione. La lettera è assolutamente vaga – verissimo – probabilmente nessuno potrebbe mai rescindere un contratto sulla base di questioni o deduzioni vaghe.

Allo stesso tempo, il DHS potrebbe essere in possesso di prove molto più circostanziate, a loro volta segreto di ufficio per non fare trapelare cosa i servizi Usa sappiano e cosa non sappiano. Fatto sta che se così fosse verrebbe meno l’affidabilità e la credibilità di Kaspersky non solo negli Usa, ma ovunque. E allora forse sarebbe davvero importante dire chiare le cose, e non basarsi esclusivamente su supposizioni.

Se i dati quando sono protetti dal vendor fossero davvero esposti anche solo perché i rapporti tra dirigenti Kaspersky e servizi russi sono molto stretti, andrebbe spiegato il perché, e il per come, e il quando, e il chi. Altrimenti si instillano solo dubbi, si fanno danni, e davvero si torna a un clima di protezionismo vecchio stampo. In questo Eugene Kaspersky ha ragione: Allora potremmo immaginare che per qualsiasi Paese sarebbe normale escludere Microsoft, Oracle, SAP, Hitachi, semplicemente sulla base di speculazioni…”. Si sa, negli Usa per ragioni di sicurezza si può fare quasi qualsiasi cosa senza dovere dare molte spiegazioni a nessuno, ma a questo punto, proprio per le stesse ragioni, sarebbe interessante che il DHS circostanziasse. Sulla base di “preoccupazioni” non documentate il danno, comunque, e non solo di immagine, è evidente a tutti.