Sistema cyber dell’Egitto: ambizioni alte, ma capacità da costruire

L’Egitto ha chiaro l’obiettivo: diventare un Paese “robusto, resiliente e sicuro” nello spazio digitale. Lo dice la Strategia nazionale per la cybersecurity 2023-2027, che punta a proteggere infrastrutture critiche, far crescere un’industria locale e creare occupazione qualificata. Ma tra ambizioni e realtà si apre ancora un divario: il tessuto industriale è frammentato, l’offerta formativa è disallineata al mercato e il gap di competenze resta ancora troppo ampio.

Il quadro normativo poggia su due pilastri: la legge sui crimini informatici (2018) e quella sulla protezione dei dati personali (2020). Manca però una legge organica sulla cybersecurity, ancora in lavorazione, che renda coerente l’applicazione degli standard. Sul fronte operativo, il baricentro è l’EG CERT, il team nazionale di risposta agli incidenti: riferimento per infrastrutture critiche e pubblica amministrazione, ma con un raggio d’azione che fatica a includere il perimetro delle piccole e medie imprese, cuore dell’economia egiziana.

La maggior parte dei provider sono concentrati al Cairo, spesso sotto i 50 dipendenti. Spicca iSec, tra i pochi attori con ambizioni regionali, capace di offrire servizi offensivi (red team, penetration test), difensivi (SOC, security operation center, e incident response). Accanto a iSec, realtà come Keys Cyber, Absega o WASS coprono nicchie specifiche: dalla gestione del rischio al monitoraggio 24/7, fino alla sicurezza cloud. Il quadro è però quello di un mercato polverizzato, con capacità limitate di scalare su grandi incidenti senza l’appoggio di vendor internazionali. Una dipendenza che, nei momenti di crisi, può rallentare la risposta e aumentare i costi.

Sul versante della formazione, l’offerta è abbondante ma spesso troppo teorica. Le grandi università pubbliche – Cairo University, Ain Shams, Alexandria, Mansoura, Menoufia – integrano moduli di sicurezza nei corsi di informatica e ingegneria, ma i percorsi full degree dedicati sono pochi. Fanno eccezione programmi strutturati come quello della Université Française d’Égypte (cybersecurity & communications engineering) o l’Arab Open University, che puntano su curriculum verticali e scambi internazionali. Il Ministero delle Comunicazioni ha attivato iniziative di e learning e nel Paese operano circuiti di certificazione (EC Council, tra gli altri). Eppure le aziende continuano a segnalare la necessità di formare internamente i neoassunti per 12 18 mesi prima che siano pienamente operativi.

Il nodo è il mismatch tra ciò che si insegna e ciò che serve sul campo. Le imprese cercano competenze operative immediate: gestione di SOC e SIEM (security information and event management), threat hunting, risposta agli incidenti, analisi malware; sul fronte offensivo, capacità di red teaming avanzato ed exploit development; sul cloud, architetture sicure multi cloud, container security e DevSecOps (integrazione cyber nella fasi di sviluppo software). Cresce poi la domanda di profili capaci di integrare le diverse figure impegnate nella detection e nell’automazione della risposta. A queste si aggiungono soft skill non negoziabili: comunicazione del rischio, pensiero critico, project e stakeholder management. È qui che molti laureati arrivano privi di capacità operative.