il nemico è alle porte

Passiamo le giornate a fortificare i perimetri, a installare firewall sempre più complessi e a monitorare i confini digitali con la paranoia di chi aspetta un’invasione imminente. La narrativa che ci hanno venduto è quella di una cittadella assediata, dove la sicurezza dipende esclusivamente dalla solidità delle mura esterne. Ci dicono che Il Nemico È Alle Porte e che dobbiamo restare vigili per intercettare l’attaccante prima che varchi la soglia. Eppure, se guardiamo ai dati reali delle violazioni informatiche degli ultimi anni, scopriamo una verità che scardina questa convinzione. La maggior parte dei disastri non avviene perché qualcuno ha sfondato il portone principale, ma perché chi era già dentro ha lasciato la chiave nella toppa o ha aperto una finestra sul retro senza nemmeno rendersene conto. Credere che il pericolo venga solo dall’esterno è il primo passo per restare vulnerabili. La sicurezza non è una questione di confini, ma di igiene interna e di consapevolezza dei processi che già abitano le nostre infrastrutture.

Quando Il Nemico È Alle Porte e noi guardiamo dalla parte sbagliata

L'ossessione per il confine esterno ha creato un falso senso di protezione che gli esperti chiamano sicurezza perimetrale. È un concetto vecchio, figlio di una visione militare del secolo scorso applicata forzatamente a un mondo interconnesso. Se pensi che la tua azienda o i tuoi dati siano al sicuro solo perché hai un software che blocca gli IP russi o nordcoreani, hai già perso la battaglia. Il vero rischio oggi si nasconde nei privilegi eccessivi concessi a un dipendente distratto o in un server dimenticato in un angolo del cloud che non riceve aggiornamenti da mesi. Le statistiche del Clusit, l'Associazione Italiana per la Sicurezza Informatica, confermano che una fetta enorme degli incidenti gravi deriva da configurazioni errate e dal cosiddetto fattore umano. Non serve un hacker geniale che scrive codici impossibili se può semplicemente indovinare una password banale o sfruttare una vulnerabilità nota che nessuno ha avuto la voglia di correggere. La minaccia non sta bussando, è già seduta alla tua scrivania, beve il tuo caffè e usa la tua connessione Wi-Fi mentre tu scruti l’orizzonte con il binocolo.

Questa distorsione cognitiva ci porta a spendere cifre astronomiche in tecnologie di difesa passiva, trascurando la formazione e la gestione degli accessi. Immagina di vivere in una casa con una porta blindata di ultima generazione, ma con le pareti di cartongesso e le finestre sempre aperte. È esattamente quello che succede in molte realtà produttive italiane, dove si investe nel gadget tecnologico del momento ma si permette ancora l’uso di chiavette USB non verificate o si lasciano i database aperti senza crittografia. La retorica del grande attacco esterno serve spesso a coprire la pigrizia gestionale interna. Se l'incidente avviene, è più facile dare la colpa a un misterioso gruppo di criminali internazionali piuttosto che ammettere che il sistema era intrinsecamente fragile. Dobbiamo smettere di pensare alla difesa come a un atto di resistenza contro un esercito straniero e iniziare a vederla come un processo di manutenzione costante della propria casa.

Il mito dell’attaccante onnipotente

C’è questa idea romantica e un po’ cinematografica dell’hacker che sfida i sistemi della NASA da uno scantinato buio. La realtà è molto più banale e deprimente. La maggior parte degli attacchi riusciti sfrutta la legge del minimo sforzo. Perché tentare un’intrusione complessa quando puoi inviare diecimila email di phishing sperando che un solo impiegato amministrativo clicchi sul link sbagliato? Una volta ottenuto l'accesso a un singolo computer, l'attaccante si muove lateralmente all'interno della rete, alzando i propri privilegi passo dopo passo. In questa fase, le tue difese perimetrali sono totalmente inutili. Il sistema crede che l'attività sia legittima perché proviene da un utente che ha le credenziali corrette. Questo è il punto in cui la strategia tradizionale fallisce miseramente. Se non hai un monitoraggio dei comportamenti interni e se non applichi il principio del minimo privilegio, l'intruso può restare mesi a osservare i tuoi movimenti, copiare i tuoi segreti industriali e preparare il colpo finale senza che scatti un solo allarme.

Non è una questione di se verrai colpito, ma di quando succederà e di quanto sarai capace di limitare i danni. La resilienza non si misura dalla capacità di restare inviolati, ma dalla velocità con cui ci si rialza e dalla compartimentazione dei sistemi. Se un singolo errore può tirare giù l'intera infrastruttura, il problema non è l'errore, è l'infrastruttura stessa. Molte organizzazioni falliscono proprio qui, costruendo reti piatte dove tutto comunica con tutto senza filtri. È come avere un transatlantico senza compartimenti stagni: basta un piccolo squarcio nello scafo per mandare a fondo tutta la nave. Spostare l'attenzione dall'esterno all'interno significa accettare l'idea che il perimetro è morto e che ogni singolo dispositivo, ogni singola identità, deve essere verificata costantemente.

La cultura del sospetto contro l’illusione della sicurezza

Per anni ci hanno insegnato a fidarci dei sistemi interni. Se sei dentro la rete aziendale, sei un utente fidato. Questa filosofia è diventata il cancro della cybersecurity moderna. Il nuovo approccio, quello che realmente funziona, parte dal presupposto opposto: non fidarti mai, verifica sempre. È il concetto di Zero Trust, che non è un prodotto che compri in scatola, ma un modo di pensare. Significa che anche se sei il CEO dell'azienda e stai accedendo dal tuo ufficio, il sistema deve comunque chiederti una prova della tua identità e verificare che il tuo dispositivo sia sicuro prima di farti vedere i dati sensibili. Questo rompe completamente la narrazione secondo cui Il Nemico È Alle Porte perché, in un mondo Zero Trust, la porta non esiste più. Esistono solo micro-segmenti protetti e identità digitali che devono continuamente dimostrare la propria legittimità.

Vedo spesso aziende che spendono milioni in consulenze esterne per poi ignorare le basi della sicurezza quotidiana. Si parla di intelligenza artificiale applicata alla difesa, di analisi predittiva dei rischi, ma poi i server aziendali girano su sistemi operativi obsoleti per cui non esistono più patch di sicurezza. È un paradosso tutto italiano: la ricerca dell'eccellenza tecnologica che convive con una sciatteria gestionale cronica. I manager vogliono soluzioni magiche, tasti "proteggi tutto" che non richiedano sforzi da parte del personale. Mi spiace deluderti, ma la sicurezza è un processo faticoso, noioso e che richiede disciplina. È fatta di procedure scritte bene, di test di ripristino dei backup fatti ogni mese e non solo quando c'è l'emergenza, di dipendenti che sanno riconoscere una truffa telefonica. Se togliamo la patina di mistero che circonda il cyber-crimine, quello che resta è un problema di gestione della qualità.

L’insidia dell’automazione senza controllo

L’automazione è un’arma a doppio taglio. Da un lato ci permette di gestire moli di dati impossibili per un essere umano, dall’altro può accelerare in modo catastrofico un errore di configurazione. Se un software di gestione automatica commette uno sbaglio, lo replica su migliaia di macchine in pochi secondi. Ho visto intere linee di produzione fermarsi non per un attacco hacker, ma per un aggiornamento software rilasciato troppo in fretta e senza i dovuti test. In questi casi, il danno economico è identico a quello di un attacco ransomware, ma la colpa è interamente interna. Eppure, nel comunicato stampa, si preferisce spesso parlare di un generico problema tecnico o di un'aggressione esterna per non ammettere l'incompetenza nei processi di controllo. Questa mancanza di trasparenza è ciò che impedisce al settore di evolversi davvero. Se non analizziamo onestamente i nostri fallimenti interni, continueremo a dare la caccia a fantasmi esterni mentre la casa brucia dall'interno.

Le istituzioni europee, con il GDPR e la direttiva NIS2, stanno provando a forzare questa mano. Non si tratta solo di multe, ma di imporre una responsabilità reale sulla gestione del dato. Il tempo in cui la sicurezza informatica era un problema del solo ufficio IT è finito. Oggi è un rischio di business che deve essere discusso ai massimi livelli del consiglio di amministrazione. Chi non lo capisce è destinato a sparire, non perché verrà distrutto da un nemico esterno, ma perché collasserà sotto il peso della propria inefficienza. La vera minaccia è l'inerzia, la convinzione che "abbiamo sempre fatto così e non è mai successo nulla". Questo è il tipo di pensiero che precede ogni grande disastro tecnologico.

La gestione della realtà oltre la paranoia del confine

Smettere di guardare fuori non significa ignorare i pericoli del web, ma ricollocare le priorità. Un hacker non è una divinità maligna, è un operatore economico che cerca il massimo profitto col minimo rischio. Se rendi la vita difficile a chi prova a muoversi dentro la tua rete, se i tuoi dati sono criptati e i tuoi backup sono isolati e funzionanti, diventi un bersaglio poco appetibile. Gli attaccanti preferiranno passare a qualcun altro che crede ancora nella favola della porta blindata. La tua capacità di reazione è la tua vera difesa. Quando parlo con i responsabili della sicurezza, chiedo sempre: quanto tempo ci mettete a capire che qualcuno ha rubato le credenziali di un vostro tecnico? Se la risposta è superiore a pochi minuti, avete un problema che nessuna tecnologia esterna può risolvere.

Dobbiamo anche smettere di colpevolizzare il singolo dipendente per ogni errore. Se un utente clicca su un link di phishing, la colpa è del sistema che ha permesso a quel link di arrivare nella sua casella di posta e che non ha impedito al malware di eseguirsi. Il design dei sistemi deve essere tollerante all'errore umano. Puntare il dito contro "l'utente stupido" è un modo pigro per non affrontare i difetti strutturali dell'architettura informatica. Un'infrastruttura sicura è quella che sopravvive alla distrazione dei suoi utilizzatori, non quella che richiede una perfezione impossibile da ottenere. È qui che si gioca la partita della sovranità digitale e della competitività economica dei prossimi decenni.

Investire nelle persone significa creare una cultura diffusa dove la sicurezza è un valore condiviso, non un ostacolo alla produttività. Se le procedure di sicurezza sono così complicate da spingere i dipendenti a cercare scorciatoie per lavorare, quelle procedure sono esse stesse un rischio. La semplicità e l'efficacia devono andare di pari passo. Spesso le soluzioni più solide sono quelle più trasparenti per l'utente finale, quelle che agiscono nel sottobosco dei processi digitali senza gridare al lupo ogni cinque secondi. La sicurezza deve diventare invisibile e pervasiva, come l'elettricità o l'aria che respiriamo, non un allarme che suona solo quando il danno è già stato fatto.

In un'epoca in cui i confini tra vita fisica e digitale sono ormai svaniti, continuare a parlare di attacchi esterni è una semplificazione pericolosa che serve solo a vendere scatole nere che non risolvono il problema di fondo. La vulnerabilità non è una falla nel codice, è una falla nel metodo. Finché rincorreremo l'ultima minaccia del momento trascurando le basi della gestione del rischio, saremo sempre un passo indietro. Il nemico non è qualcuno che arriva da lontano per distruggere ciò che abbiamo costruito, ma è la somma di ogni nostra piccola negligenza quotidiana che si accumula fino a diventare una valanga. La protezione dei nostri dati e delle nostre infrastrutture critiche non si ottiene alzando muri più alti, ma illuminando ogni angolo buio dei nostri sistemi e accettando che la responsabilità della difesa inizia nel momento esatto in cui accendiamo un dispositivo. La vera battaglia si combatte nello specchio, non fuori dalla finestra, perché la fragilità che l'intruso sfrutta è quella che noi stessi abbiamo creato e nutrito con la nostra indifferenza.