La gestione centralizzata dei sistemi informatici della magistratura ha fornito il pretesto per scatenare polemiche sensazionalistiche.
Negli ultimi giorni, la presenza, sui computer in uso alla magistratura di componenti di gestione remota riconducibili a Microsoft System Center Configuration Manager, oggi Microsoft Endpoint Configuration Manager, è stata oggetto di un dibattito pubblico caratterizzato da toni allarmistici e da ricostruzioni che, sotto il profilo tecnico e giuridico, appaiono fondate su un errore originario di qualificazione.
In particolare, l’assimilazione di tali strumenti a forme di controllo occulto dell’attività dei magistrati, o addirittura a dispositivi paragonabili ai cosiddetti “trojan di Stato”, rivela una sovrapposizione indebita tra categorie concettuali che appartengono a piani funzionali e normativi radicalmente distinti.
Per affrontare correttamente la questione è necessario, prima di tutto, chiarire la natura degli strumenti di gestione informatica centralizzata e il contesto normativo nel quale essi si collocano, evitando letture suggestive che finiscono per oscurare il dato tecnico e giuridico rilevante. Tale esercizio si ritiene a maggior ragione necessario, a modesto parere dello scrivente, alla vigilia di una consultazione pubblica di particolare delicatezza, quale quella avente ad oggetto la separazione delle carriere dei magistrati, al fine di evitare che un dibattito già intrinsecamente polarizzato venga ulteriormente contaminato da elementi di sospetto privi di qualsivoglia fondamento oggettivo.
Cenni tecnici sull’inquadramento dei software in oggetto
Nel linguaggio tecnico-informatico, il termine “endpoint” indica il punto terminale di una rete, ossia il dispositivo fisico attraverso il quale l’utente interagisce con il sistema informativo. In termini concreti, si tratta del computer assegnato al magistrato o al personale amministrativo per lo svolgimento delle attività d’ufficio. La gestione degli endpoint consiste, pertanto, nella gestione coordinata e centralizzata di tali dispositivi, al fine di garantirne la sicurezza, l’aggiornamento e il corretto funzionamento. Non si tratta di un’attività di osservazione dell’utente o del contenuto della sua attività intellettuale, bensì di un’attività di governo dell’infrastruttura tecnologica sottostante.
Microsoft Endpoint Configuration Manager si inserisce in questo quadro come strumento di amministrazione tecnica dei sistemi informativi complessi. Esso consente all’amministrazione di intervenire sulle postazioni di lavoro per installare e aggiornare software, correggere vulnerabilità del sistema operativo, verificare lo stato di conformità dei computer rispetto a standard di sicurezza e garantire l’uniformità delle configurazioni. In assenza di strumenti di questo tipo, la gestione di un numero elevato di postazioni sarebbe affidata a interventi disorganici e manuali, con evidenti ricadute negative sotto il profilo della sicurezza informatica e della responsabilità dell’ente.
Un nodo centrale del dibattito riguarda il livello di privilegi con cui tali sistemi operano. A questo proposito, è utile richiamare un’analogia extrainformatica. L’amministratore di un edificio, nell’esercizio delle proprie funzioni, deve poter accedere ai locali tecnici, ai quadri elettrici e agli impianti di sicurezza, pur trattandosi di spazi normalmente preclusi ai singoli occupanti. Tale accesso non costituisce una forma di sorveglianza sulla vita privata dei condomini, ma una condizione necessaria per garantire la sicurezza e la funzionalità dell’immobile. Analogamente, un sistema di gestione informatica deve poter operare a un livello di privilegio superiore rispetto all’utente finale, poiché solo così è possibile intervenire sulle componenti fondamentali del sistema per finalità di manutenzione e protezione. Il possesso di privilegi elevati, in questo senso, non è indice di un potere di controllo sull’attività individuale, bensì il presupposto tecnico per l’esercizio di funzioni amministrative legittime.
Sotto il profilo operativo, tali strumenti non agiscono in modo occulto né eludono i meccanismi di verifica. La loro installazione avviene nell’ambito di procedure ufficiali di configurazione delle postazioni di lavoro e il loro funzionamento si basa su comunicazioni strutturate tra i singoli computer e i server centrali dell’amministrazione, comunicazioni che sono documentate, tracciabili e inserite in un’architettura informatica nota e governata. Queste caratteristiche risultano incompatibili con la nozione stessa di software malevolo o di strumento di sorveglianza occulta, sono comuni in qualsiasi azienda dotata di una infrastruttura informatica minimamente strutturata per ragioni di opportunità ed efficienza operativa nella conduzione e nella manutenzione.
Un presidio tecnico di sicurezza non è un trojan
Alla luce di ciò, il paragone con i trojan di Stato si rivela giuridicamente infondato. I trojan investigativi sono strumenti finalizzati all’acquisizione di comunicazioni e informazioni a fini probatori e il loro utilizzo è rigidamente disciplinato dall’ordinamento, essendo subordinato a provvedimenti motivati dell’autorità giudiziaria e a stringenti garanzie procedurali. I sistemi di gestione centralizzata, al contrario, non intercettano comunicazioni, non acquisiscono contenuti informativi e non operano in funzione della raccolta di prove, collocandosi integralmente nell’ambito della gestione amministrativa e tecnica dell’infrastruttura informatica.
Se a legittimare la presenza di un software di gestione remota non fossero sufficienti le buone prassi della sicurezza informatica applicate in tutto il mondo da eoni, questo inquadramento trova anche un solido fondamento normativo. L’articolo 32 del Regolamento (UE) 2016/679 impone al titolare del trattamento l’adozione di misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio, obbligo che assume particolare rilievo in contesti, come quello giudiziario, caratterizzati dal trattamento di dati sensibili e giudiziari. Il Codice dell’Amministrazione Digitale richiede, a sua volta, alle pubbliche amministrazioni di assicurare la sicurezza, l’integrità e la disponibilità dei sistemi informativi, nonché la continuità operativa dei servizi. Le linee guida emanate da AgID in materia di sicurezza ICT ribadiscono la necessità di adottare strumenti strutturati di governo dell’infrastruttura tecnologica, coerenti, appunto, con le best practices di settore.
In tale prospettiva, l’adozione di piattaforme di gestione centralizzata non rappresenta un’anomalia né una deviazione dai principi dell’ordinamento, ma costituisce espressione di una corretta attuazione degli obblighi normativi gravanti sull’amministrazione.
Una superficialità pericolosa
La polemica sviluppatasi in relazione alla presenza di tali strumenti sui computer in uso alla magistratura mette in luce, in via conclusiva, i rischi connessi a una lettura tecnicamente approssimativa di fenomeni intrinsecamente complessi. Una lettura tanto riduttiva da indurre legittimamente a interrogarsi sulle reali finalità della stessa polemica, anche alla luce della reiterata rappresentazione distorta delle posizioni espresse da diversi esperti del settore, le cui analisi sono state impropriamente ricondotte a una mera equiparazione tra il livello dei privilegi amministrativi propri degli strumenti di gestione dell’infrastruttura e quello tipico degli scenari di attacco informatico.
La gestione dell’infrastruttura informatica non equivale a sorveglianza dell’attività individuale, così come l’accesso dell’amministratore ai locali tecnici di un edificio non equivale a un controllo sulla vita privata degli occupanti. Una riflessione giuridicamente avvertita impone di mantenere distinte queste dimensioni, evitando sovrapposizioni concettuali che finiscono per generare allarme sociale completamente privo di fondamento.
A questo punto non resta che domandarci, amaramente, cosa accadrà quando la stampa scandalistica scoprirà che tutti i sistemi sono sottoposti a backup. Sperando, naturalmente, che sia così.
