Il tempo stringe: il 30 settembre 2025 scadrà una delle protezioni più vitali della cybersicurezza americana, a meno che il Congresso non intervenga. Il Cybersecurity Information Sharing Act del 2015 (CISA 2015) è diventato in silenzio la spina dorsale della difesa cibernetica della nostra nazione. Senza imporre nuove regolamentazioni, ha reso possibile la condivisione rapida di informazioni sulle minacce tra governo e imprese, prevenendo innumerevoli attacchi negli ultimi dieci anni. Le sue tutele hanno permesso di lanciare avvisi di minacce a migliaia di organizzazioni solo quest’anno. La sua possibile scadenza rischia di scatenare un’ondata di attacchi informatici che travolgerà le piccole e medie imprese (PMI), pilastro fondamentale della nostra economia.
Avendo lavorato da entrambe le parti—prima guidando le partnership pubblico-private all’FBI e ora facilitando la collaborazione nel settore—ho visto con i miei occhi come il CISA 2015 abbia trasformato il panorama della nostra cybersicurezza. La legge garantisce protezioni legali cruciali che incoraggiano le aziende a condividere indicatori di minaccia con il governo e tra loro, offrendo al contempo tutele antitrust per la collaborazione tra industrie. Senza queste garanzie, la solida condivisione di informazioni che ha reso le reti americane più sicure semplicemente cesserebbe.
La crisi delle PMI che incombe
Le conseguenze della fine del CISA 2015 ricadrebbero soprattutto sulle piccole e medie imprese americane. Secondo i dati dello Cyber Claims Study 2024 di NetDiligence, il ransomware è costato alle PMI una media di 432.000 dollari per attacco. Queste imprese non dispongono di riserve sufficienti per resistere a lunghi periodi di inattività: molte possono sopravvivere al massimo tre o quattro settimane di interruzione operativa prima di rischiare la chiusura definitiva.
Le analisi di settore mostrano che le PMI rappresentano il 98% delle richieste di risarcimento assicurativo legate al cybercrime, per un totale di 1,9 miliardi di dollari di perdite, a conferma della loro estrema vulnerabilità. La scadenza del CISA 2015 indebolirebbe drasticamente il sistema di allerta precoce che ha aiutato le aziende a stare un passo avanti rispetto alle minacce emergenti. Senza la capacità del governo di condividere informazioni robuste sui nuovi metodi di attacco, le PMI diventerebbero bersagli facili per i cybercriminali, che prendono di mira proprio le organizzazioni incapaci di permettersi giorni o settimane di inattività.
Sanità: quando la cybersicurezza è questione di vita o di morte
La posta in gioco è particolarmente alta nel settore sanitario, dove gli attacchi ransomware non minacciano solo i profitti, ma anche vite umane. Secondo gli esperti della School of Public Health dell’Università del Minnesota, tra il 2016 e il 2021 gli attacchi ransomware hanno causato la morte di 42-67 pazienti Medicare. Un trend allarmante: gli attori malevoli colpiscono deliberatamente gli ospedali, consapevoli che questi pagheranno rapidamente pur di non mettere a rischio i pazienti.
Se la condivisione di informazioni si deteriora dopo la scadenza del CISA 2015, ospedali e altre infrastrutture critiche rischieranno di perdere avvisi fondamentali sulle nuove varianti di ransomware e altri metodi d’attacco. Quando i sistemi di un ospedale sono sotto minaccia, la rapidità della condivisione delle informazioni è vitale. In emergenza, ogni minuto conta, e i ritardi possono essere fatali.
Effetti a catena sull’economia
Le ripercussioni economiche vanno ben oltre le singole imprese. Le PMI costituiscono il 99% delle aziende negli Stati Uniti e impiegano quasi la metà della forza lavoro del settore privato. Secondo la Camera di Commercio degli Stati Uniti, sono responsabili del 43,5% del PIL nazionale: il loro fallimento diffuso provocherebbe effetti devastanti a catena su tutta l’economia.
Ancora più preoccupante, la leadership tecnologica americana dipende proprio dalla condivisione di intelligence sulle minacce resa possibile dal CISA 2015. Le nostre aziende di cybersicurezza guidano il mondo perché hanno accesso a dati completi che consentono loro di sviluppare prodotti e servizi superiori.
Altri paesi hanno modellato i propri sistemi di condivisione delle informazioni sulla cybersicurezza ispirandosi al nostro, riconoscendo che l’approccio americano offre un vantaggio competitivo. Se lasciamo crollare questo quadro normativo, non renderemo vulnerabili solo le singole aziende: comprometteremo le basi stesse della leadership americana nella cybersicurezza, che altre nazioni cercano di emulare.
La strada da seguire: una riautorizzazione “pulita” ora
C’è un accordo bipartisan sul fatto che il CISA 2015 debba essere riautorizzato: esperti di tutto lo spettro politico ne riconoscono l’importanza vitale. La segretaria alla Sicurezza Interna, Kristi Noem, ha chiesto con urgenza la riautorizzazione, sottolineando che le partnership pubblico-private si sono rafforzate proprio grazie alle linee guida di condivisione delle informazioni stabilite dal CISA 2015.
La via più semplice è una riautorizzazione lineare e diretta, mentre il Congresso lavora a eventuali miglioramenti tecnici. La struttura di base ha dimostrato il suo valore in dieci anni di attività, evitando miliardi di perdite e creando una cultura in cui la condivisione di informazioni è la regola e non l’eccezione.
Oltre la politica: una questione di sicurezza nazionale
In un’epoca di divisioni politiche, la cybersicurezza resta uno dei pochi ambiti in cui gli americani di ogni orientamento trovano un terreno comune. Dobbiamo difenderci da attacchi continui: dagli attori cinesi che sfruttano vulnerabilità di SharePoint per diffondere ransomware, ai gruppi iraniani che lo usano come arma politica, fino a centinaia di bande criminali che operano in ogni momento.
La soluzione non è più regolamentazione o eccesso di potere governativo, ma l’approccio collaborativo che il CISA 2015 ha reso possibile. Come dicevo alle aziende quando lavoravo all’FBI: “non possiamo aiutarti se non sentiamo da altri, e non possiamo aiutare altri se non sentiamo da te”. Questo principio di mutuo aiuto e difesa condivisa ha reso l’America più forte, e non possiamo permetterci di abbandonarlo ora.
Il Congresso deve agire prima del 30 settembre. Se permettiamo il collasso del nostro sistema di condivisione delle informazioni sulla cybersicurezza, ne risulteranno la rovina delle piccole imprese, la messa in pericolo dei malati e l’indebolimento della posizione degli Stati Uniti come leader globale nella cybersicurezza. È tempo di agire adesso, prima che gli attacchi che potevano essere prevenuti diventino i disastri che non siamo stati capaci di fermare.
Cynthia Kaiser è SVP del Ransomware Research Center di Halcyon. In precedenza è stata vicedirettrice della Cyber Unit dell’FBI.
L’articolo completo è su Fortune.com
