Innanzitutto cos'è questo software installato sui pc dei magistrati e a cosa serve?

Intanto iniziamo col dire che non è installato solo sui computer dei magistrati. È installato su qualsiasi computer del Ministero della Giustizia, e parliamo di migliaia di computer... Qualunque computer del sistema informativo della giustizia per essere gestito dai tecnici ha delle funzioni. Queste si usano in ogni organizzazione che ha centinaia di migliaia di computer e servono per consentire la gestione dei computer ai tecnici. Quando bisogna fare un aggiornamento software, installare un programma, non può andare in giro un tecnico per tremila computer a farlo a mano su ogni computer. Ci metterebbero mesi... Non è neanche possibile farli fare agli utenti. In tantissime organizzazioni per motivi di sicurezza è proibito per esempio agli utenti di installare software sul proprio computer, perchè potrebbero installare software malevoli. Esistono da sempre dei software che sono software di sistema che servono a fare questo. A distribuire aggiornamenti, a impostare configurazioni, a fare l'inventario di quello che è collegato. Questi sistemi possono controllare lo stato di quello che hai installato. Ma a fini di manutenzione. È una cosa normale e indispensabile, perché non si possono amministrare migliaia di computer in altro modo.
Quindi esistono tantissimi prodotti che fanno cose del genere: si chiamano tipicamente sistemi di amministrazione remota. Microsoft li chiama adesso Mecm che significa Microsoft Endpoint Configuration Manager, prima lo stesso strumento si chiamava System Center Configuration Manager, Sccm. Ne esistono di terze parti di vari produttori e Microsoft ha il suo. Ovviamente essendo Microsoft il fornitore del sistema operativo le aziende usano spesso appunto quello di Microsoft.

Dal punto di vista della sicurezza informatica come sono messi questi software? Chi accede può accedere a tutto?

Certamente sì. Cominciamo a dire che questi non sono software che servono a fare cose strane. Sono strumenti di manutenzione. È come se andasse una persona del reparto informatica fisicamente sul computer dell'utente. Se lui dice: non mi funziona la stampante, bisogna installare un aggiornamento, e non lo sa fare. Allora arriva il tecnico e fa delle cose sul computer. La domanda è: ma quel tecnico che fa? Fa quello che deve fare. Ma è autorizzato? Certo che è autorizzato è il tecnico dell'organizzazione. Ma ha accesso a tutto? Nel momento in cui mette le mani sul computer per aggiornarlo certo che sì... È chiaro che quell'oggetto serve a fare la manutenzione di un computer e la manutenzione prevede che chi la fa acceda al computer per scoprire guasti, per aggiustare cose.

L'accesso viene registrato nei cosiddetti log giusto? Che possono fungere da “prova” per quello che si è fatto nel pc.

Certo, ma per motivi di sicurezza, per sapere cosa si fa. Quindi è tutto tracciato ed eventualmente utilizzabile a fini di prova. Ma non soltanto per questo. I log servono a capire cos'è successo per motivi tecnici. Se io ho aggiornato questo software ma poi qualcosa non funziona si ha una traccia esattamente di quello che è successo. Dopodiché questa stessa traccia può essere anche usata per verificare che il tecnico ha fatto le cose giuste. Ripeto questi software non hanno problemi di sicurezza. Non nascono per svolgere funzioni diverse dalla manutenzione tecnica della macchina. Non c'è nulla di losco o di sospetto.

Attraverso questi programmi si può accedere anche a telecamera o microfono?

Di solito no, non è questo lo scopo di questi software. Almeno quello di Microsoft no. Dopodichè attenzione, non confondiamo. Ci sono dei software, ma non è questo il caso, che servono a remotizzare un pc. Mi spiego: io ho il pc in ufficio ma voglio lavorare da casa, allora ho un software che dal mio computer di casa si collega al computer dell'ufficio e proietta tutte le funzioni del pc dell'ufficio su quello mio di casa. Quindi posso telecomandare il pc di ufficio da quello di casa. Ma questa è un'altra cosa, sono altri software. Servono proprio a poter consentire all'utente l'accesso pieno al suo computer da un'altra postazione. Esistono software del genere. Non sono quelli di cui parliamo in questo caso. Non mi risulta che al Ministero della Giustizia siano installati. Ma anche questi sono software totalmente legittimi, non c'è niente di illegittimo. È chiaro che danno un accesso completo. Quindi hanno delle funzioni di sicurezza per accertarsi che chi si connette sia autorizzato a farlo, sia un utente vero.

Questo quindi sostanzialmente tutto questo allarmismo che si sta facendo in questi giorni è ingiustificato.

È una bufala clamorosa. Mettiamoci nei panni di chi fa assistenza agli utenti. Se il tecnico è lontano è chiaro che deve poter accedere alla configurazione, alla tastiera, può mandare i comandi. Per cui chi gestisce un computer con questi strumenti ha ovviamente possibilità di manovra su quel computer che sono quelle che servono a un tecnico per fare quelle cose. Non sono attivi costantemente per vedere che cosa fa l'utente. Vengono attivati quando serve.

Si è parlato del fatto che, quando vengono attivati, non richiedono l'autorizzazione dell'utente.

Ad esempio gli aggiornamenti software non vengono fatti in orario di lavoro, perché sennò la gente non potrebbe lavorare. Vengono fatti la notte o nel weekend, quando non c'è un utente seduto sulla sua postazione che può autorizzare l'aggiornamento. Vengono fatti proprio quando non ci sono per non dare fastidio. Sarebbe stata la stessa cosa se fosse passato un tecnico a vedere pc per pc fisicamente durante la notte, ma ci vorrebbero mesi. Quindi il fatto che si è detto: 'ma questi agiscono la consapevolezza dell'utente'. Detto così è fazioso, per forza devono agire senza il consenso dell'utente. Se devo modificare le configurazioni di un pc o fare una cosa critica devo fare in modo di farlo quando non c'è l'utente. Ma è tutto sotto il controllo dell'amministrazione tecnica dell'informatica. Non è che queste cose vengono date in mano a uno che passa e può fare quello che vuole. È tutto gestito da tecnici, solo che si fa da questi collegamenti remoti. E sono strumenti decisamente sicuri, sono integrati all'interno delle suite manutenzione delle macchine, servono a fare operazioni delicate e importanti. Non è che stanno lì tutto il tempo a vedere quello che fa l'utente.

Quindi nessuna intenzione di spiare.

Ma assolutamente no. Se volessero spiare i magistrati farebbero in un altro modo. Questo non ha nessun senso. I problemi di sicurezza informatica ci sono dovunque, sempre e comunque. Ma non sono dati da questi strumenti, sono altri...
È una bufala faziosa, è come dire che i tecnici che vanno ad aggiustare il condizionatore in realtà sono andati a vedere che facevano i magistrati. Ma di cosa stiamo parlando. Questo oggetto qui è uno strumento che sta in qualunque organizzazione: pubblica, privata, militare, civile che ha migliaia di computer. Altrimenti non si possono gestire.

Invece si stanno vendendo come delle specie di captatori informatici...

Esatto, e non lo è affatto. Nè questo di Microsoft né gli altri strumenti commerciali. Sono per definizione sicuri, è nell'interesse dell'azienda non mettersi in casa uno strumento insicuro per fare delle manipolazioni tecniche sui pc. Io azienda voglio una cosa che sia sicura, fatta da un produttore affidabile, che abbia delle certificazioni tecniche e di sicurezza. Poi è chiaro che se lo strumento viene usato male e il tecnico fa un errore e cancella i file non è colpa dello strumento, è colpa del tecnico.
Puntare l'allarme su questo strumento è veramente fazioso e fuorviante. I problemi sono sicuramente altri. Certamente i sistemi informativi del Ministero della Giustizia hanno dei problemi di sicurezza come tutte le aziende. Ma non è certamente questo strumento. Se qualcuno volesse spiare qualcun altro ci sono strumenti fatti apposta per spiare! Questi non sono strumenti per spiare.