Infrastructure–Governance Asymmetry and Cybersecurity Exposure in Nepal's E-Governance: A South Asian Comparative Study

Immaginate un paese che costruisce un nuovo sistema autostradale. Le strade sono larghe, i ponti sono robusti e il traffico si muove più velocemente che mai. Ma se i semafori sono rotti, la polizia è sotto organico e gli automobilisti non hanno una mappa, la velocità delle auto diventa un pericolo piuttosto che un beneficio. Questa è la tensione centrale esplorata in un nuovo studio sul mondo digitale del Nepal. La ricerca esamina come le nazioni utilizzano la tecnologia per gestire i propri governi — ciò che gli esperti chiamano e-governance. Esamina due cose distinte: gli strumenti fisici e digitali che un paese costruisce, come le connessiioni internet e i server informatici, e i sistemi umani e legali necessari per gestirli in sicurezza, come lavoratori qualificati, regole chiare e la capacità di individuare i problemi prima che causino danni. La domanda che guida questo lavoro è semplice: mentre i paesi corrono per costruire più servizi digitali, stanno costruendo le reti di sicurezza abbastanza velocemente da eguagliare quella velocità?

Un ricercatore del Softwarica College di Kathmandu, Ganesh Bhusal, ha deciso di testare questa idea osservando da vicino la storia digitale del proprio Nepal. Ha raccolto dati da due importanti organizzazioni internazionali che monitorano queste tendenze a livello globale. Un insieme di numeri misura quanto bene un paese eroga servizi online, mentre l'altro misura quanto un paese sia impegnato nel mantenere sicuri i propri sistemi digitali. Confrontando questi numeri negli ultimi due decenni, e analizzando le violazioni della sicurezza avvenute nel mondo reale in Nepal, lo studio rivela un divario sorprendente. Il paese è stato incredibilmente efficace nel gettare le fondamenta digitali. Tra il 2020 e il 2024, la qualità delle sue infrastrutture di telecomunicazione è cresciuta di oltre il sessanta per cento. Tuttavia, la capacità di governare tali sistemi e di coinvolgere i cittadini nel processo non è rimasta al passo. Infatti, la misura di quanto i cittadini possano partecipare alle decisioni governative online è effettivamente scesa del quaranta per cento durante lo stesso periodo. I ricercatori chiamano questo disallineamento "asimmetria tra infrastruttura e governance". Significa che l'autostrada digitale viene asfaltata più velocemente di quanto le regole del traffico e le squadre di sicurezza possano essere organizzate.

Lo studio non si limita a guardare il Nepal; lo pone fianco a fianco con i suoi vicini del Sud Asia per vedere se si tratta di un problema locale o di un modello regionale. Il confronto mostra che, sebbene anche l'India e il Bhutan stiano costruendo rapidamente le loro strade digitali, il divario tra costruzione e governo in Nepal è più ampio rispetto ai loro. Un dato particolarmente rivelatore emerge guardando come i paesi ottengono punteggi sulla sicurezza. Il Nepal ha leggi molto forti sulla carta. Il suo punteggio per le misure legali riguardanti la cybersicurezza è tra i più alti della regione, posizionandosi accanto ai migliori performer. Eppure, quando si tratta delle competenze pratiche necessiarie per utilizzare quelle leggi — come avere gli strumenti tecnici adeguati e la cooperazione internazionale per fermare gli hacker — i punteggi del Nepal sono i più bassi del gruppo. Ciò suggerisce che avere una legge non è la stessa cosa che avere la capacità di applicarla. Lo studio ha anche scoperto che altri paesi, come Pakistan e Bangladesh, hanno punteggi di impegno per la sicurezza molto alti ma livelli relativamente bassi di effettivo sviluppo dei servizi digitali. Questo avverte contro l'assunzione che un punteggio elevato in una checklist di sicurezza significhi che un paese sia effettivamente sicuro; potrebbe significare solo che hanno scritto buone regole senza avere il personale per seguirle.

Per capire come questo divario si manifesti nella vita reale, il ricercatore ha esaminato sei specifici incidenti di sicurezza avvenuti in Nepal tra il 2020 e il 2026. Questi eventi hanno spaziato da un blackout importante che ha bloccato i siti web governativi e ritardato i voli internazionali, fino ad hacker che hanno rubato milioni di record di cittadini. Un modello critico è emerso nel modo in cui questi problemi sono stati scoperti. In quasi tutti i casi, il governo non ha scoperto la violazione autonomamente. Al contrario, i problemi sono stati rivelati da gruppi esterni, come ricercatori di sicurezza, servizi di monitoraggio stranieri o gli stessi hacker che pubblicizzavano i dati rubati. Un caso degno di nota ha coinvolto un'agenzia governativa che si è resa conto di essere stata compromessa solo dopo essersi unita a un servizio esterno che traccia le password trapelate. Ciò indica che la capacità interna di monitorare i problemi è debole. Il governo si affida agli esterni per dirgli quando i propri sistemi sono guasti.

Lo studio esamina anche una nuova e rapidamente crescente tendenza: l'uso dell'intelligenza artificiale per scrivere codice informatico per i sistemi governativi. Una società statale in Nepal ha iniziato a utilizzare strumenti di IA per costruire software funzionanti in poche ore, un processo che un tempo richiedeva settimane. Sebbene ciò acceleri lo sviluppo, introduce un nuovo rischio. Il governo afferma che i team umani revisionano e testano questo codice generato dall'IA, ma non ci sono prove pubbliche che mostrino quale sia il processo di revisione o chi ne sia il responsabile. Il capo del centro nazionale per la cybersicurezza ha ammesso che questa rapida adozione crea "punti ciechi", dove le agenzie costruiscono sistemi senza comprendere appieno la sicurezza sottostante. La ricerca non sostiene che l'IA abbia ancora causato un disastro specifico, ma evidenzia una realtà preoccupante: la velocità di costruzione del software sta aumentando, mentre la velocità di controllo della sicurezza di tale software non tiene chiaramente il passo.

In definitiva, l'articolo sostiene che la soluzione non consiste solo nello scrivere più leggi o nel costruire più server. I dati mostrano che il Nepal ha già leggi forti e sta costruendo infrastrutture a un ritmo record. Il tassello mancante è la capacità operativa di gestire ciò che è stato costruito. Le raccomandazioni suggeriscono che il paese debba investire pesantemente nella formazione della propria forza lavoro per rilevare e risolvere i problemi di sicurezza, piuttosto che affidarsi all'aiuto esterno per trovarli. Chiede inoltre un sistema in cui la velocità di costruzione di nuovi strumenti digitali sia eguagliata da un processo verificato e documentato per controllarne la sicurezza. Lo studio conclude che finché la capacità di governare e mettere in sicurezza i sistemi digitali non crescerà allo stesso ritmo dei sistemi stessi, la rapida espansione dell'e-governance lascerà il paese esposto. La strada viene costruita, ma la squadra di sicurezza sta ancora cercando di recuperare il ritardo.