Controlli e minacce: il gioco degli opposti nella sicurezza delle informazioni

Questo è il primo capitolo di una trilogia, dedicata al cuore pulsante della sicurezza delle informazioni: il rapporto tra le minacce e i controlli.

Non parliamo di un insieme di regole da applicare alla cieca, ma di un percorso che rivela come ogni minaccia porti con sé il suo contrario, cioè un controllo pensato per ridurne la probabilità o l’impatto.

Il primo capitolo introduce questa logica e mostra, attraverso l’esempio dei supporti di memorizzazione, come gli standard internazionali non siano mai semplici elenchi, ma strumenti per trasformare i rischi in decisioni operative.

Dietro ogni controllo c’è una minaccia

Chi si avvicina agli standard ISO spesso li immagina come documenti aridi, fatti di requisiti da rispettare e controlli da applicare in modo quasi burocratico.

In realtà, dietro ogni controllo si nasconde uno scenario di rischio – una minaccia che sfrutta una debolezza per colpire qualcosa che ha valore – e dietro ogni minaccia esiste la possibilità di tradurla in un controllo.

Sono due prospettive contrapposte, due lati della stessa medaglia che, presi insieme, spiegano la logica autentica della protezione.

Questo primo capitolo della trilogia è dedicato a questa relazione fondamentale.

Non ci limiteremo a dire che i controlli sono obblighi da osservare: li leggeremo per quello che realmente sono, cioè risposte operative a pericoli concreti.

L’esempio della gestione dei supporti di memorizzazione ci mostrerà quanto questa prospettiva sia pratica e strategica allo stesso tempo.

Capire questo passaggio significa andare oltre la superficie, abbandonare l’idea della checklist e vedere negli standard uno strumento di intelligenza organizzativa, capace di guidare la sicurezza verso risultati reali.

Il linguaggio degli standard

Quando si legge una norma della famiglia ISO/IEC 27000 – a cominciare dalla ISO/IEC 27001:2022, che fissa i requisiti del sistema di gestione per la sicurezza delle informazioni – o la più recente ISO/IEC 42001:2023, dedicata ai sistemi di gestione per l’intelligenza artificiale, si potrebbe avere l’impressione di trovarsi davanti a un documento tecnico pieno di articoli e commi.

In realtà, dietro quella forma apparentemente rigida si nasconde un linguaggio preciso, pensato per trasformare concetti complessi in strumenti pratici di gestione.

Oltre ai requisiti, organizzati secondo la struttura armonizzata comune a tutti i sistemi di gestione ISO (la Harmonized Structure, a lungo nota come Annex SL), troviamo infatti i controlli, collocati nell’Annex A -l’“Appendice A” dell’edizione italiana UNI.

Nella ISO/IEC 27001:2022 sono 93, raggruppati in quattro controlli:

• organizzativi;
• relativi alle persone;
• fisici;
• tecnologici.

Non sono frasi astratte scritte per riempire un manuale: ciascuno di essi è ripreso e dettagliato nella ISO/IEC 27002:2022, che ne spiega lo scopo e ne guida l’attuazione, e ciascuno è una risposta concreta a scenari di rischio che si presentano in molte organizzazioni, al di là del settore o delle dimensioni.

Un pericolo per ogni controllo

Ogni controllo riflette un pericolo che nel tempo si è dimostrato reale e che gli standard hanno tradotto in un’azione da mettere in campo.

Guardarli in questo modo significa comprenderne il valore operativo, riconoscendo che dietro la loro apparente freddezza si cela l’esperienza di decenni di incidenti, errori, vulnerabilità e soluzioni sperimentate.

Due facce della stessa medaglia

Un controllo non nasce mai come obbligo fine a se stesso, ma è piuttosto il risultato di un’esigenza: quella di reagire in modo ordinato a un pericolo che incombe.

È utile pensarlo come un dialogo: la minaccia è la domanda che il contesto ci pone, il controllo è la risposta che l’organizzazione deve saper dare.

A rigore, il linguaggio della gestione del rischio – quello della ISO/IEC 27005:2022 e della ISO 31000 – è un po’ più articolato: il rischio nasce quando una minaccia incontra una vulnerabilità e colpisce un asset che ha valore, producendo una conseguenza.

Il controllo può agire su ciascuno di questi elementi e quindi:

• scoraggiare o bloccare la minaccia;
• chiudere la vulnerabilità;
• ridurre l’impatto quando l’evento comunque accade.

Non a caso la ISO/IEC 27002:2022 attribuisce a ogni controllo un’etichetta che ne dichiara la natura – preventivo, di rilevazione o correttivo – e la proprietà che protegge: riservatezza, integrità, disponibilità.

I controlli con natura di governo

Alcuni controlli, poi, hanno un carattere di governo più che di contrasto diretto: le politiche, l’assegnazione delle responsabilità, il rispetto dei requisiti legali; ma anche questi esistono perché, senza di essi, le minacce trovano terreno fertile.

La metafora speculare, dunque, non va presa alla lettera, ma resta il modo più efficace per leggere gli standard.

Il cuore della funzione dei controlli

Se ci si limita a vedere i controlli come imposizioni da rispettare, si perde il cuore della loro funzione. Interpretarli invece come strumenti di contrasto a scenari di rischio restituisce loro vitalità, li rende dinamici e adattabili.

Questa lettura permette di usare gli standard come mappe per orientarsi nel rischio e non come schede da compilare.

Così, quando un controllo viene percepito per quello che è, cioè l’altra faccia di un pericolo reale, diventa immediatamente più comprensibile, più giustificato e, soprattutto, più efficace nella pratica quotidiana della sicurezza.

L’esempio dei supporti di memorizzazione

Per rendere tutto più chiaro, basta guardare a un caso concreto.

Il controllo 7.10 dell’Annex A della ISO/IEC 27001:2022, intitolato proprio “Supporti di memorizzazione”, richiede che i supporti siano gestiti lungo tutto il loro ciclo di vita – acquisizione, utilizzo, trasporto e dismissione – in coerenza con lo schema di classificazione delle informazioni adottato dall’organizzazione.

A prima vista può sembrare un dettaglio tecnico ma in realtà nasconde una questione fondamentale.

Un supporto, che sia un disco rigido, una chiavetta USB, un nastro di backup o la memoria di una stampante multifunzione, non è mai un oggetto neutro.

Contiene informazioni che hanno un valore che può diventare vulnerabilità.

La fase di dismissione

Un dispositivo restituito al fornitore al termine di un noleggio o di un leasing, venduto a terzi o semplicemente smaltito senza cautele, può trasformarsi in una porta aperta su dati che non dovrebbero mai uscire dall’organizzazione.

La minaccia è l’accesso non autorizzato a informazioni riservate e, molto spesso, a dati personali.

Quando ciò accade, non si tratta solo di un problema di sicurezza: è anche una violazione dei dati personali ai sensi del GDPR (art. 4, n. 12), che può far scattare l’obbligo di notifica al Garante – ove possibile entro 72 ore – e di comunicazione agli interessati (artt. 33 e 34), oltre a mettere in discussione il rispetto dei principi di integrità e riservatezza (art. 5, par. 1, lett. f) e delle misure di sicurezza richieste dall’art. 32.

I soggetti nel perimetro della direttiva NIS 2

Per i soggetti che rientrano nel perimetro della direttiva NIS 2, la gestione degli asset – supporti compresi -figura espressamente tra le misure di gestione del rischio (art. 24, comma 2, lett.i) del D.Lgs. 138/2024).

Il controllo che impone procedure rigorose di distruzione o cancellazione sicura – affiancato dai controlli 7.14 sulla dismissione o riutilizzo sicuro delle apparecchiature, 8.10 sulla cancellazione delle informazioni e 8.24 sull’uso della crittografia, che rende illeggibile un supporto anche quando sfugge al controllo dell’organizzazione – non è un obbligo inventato a tavolino: è la traduzione pratica di quella minaccia.

È la faccia opposta della stessa medaglia.

La logica speculare come metodo

L’esempio appena riportato aiuta a capire un punto fondamentale: ogni controllo è lo specchio di uno scenario di rischio.

È come guardare un negativo fotografico, dove la luce e l’ombra si invertono ma raccontano la stessa immagine.

Adottare questa prospettiva cambia il modo di leggere gli standard.

Non sono più prescrizioni impersonali, ma strumenti che danno forma a un ragionamento difensivo: per ogni minaccia identificata, esiste una risposta organizzata.

È del resto così che la ISO/IEC 27001 chiede di procedere.

Il punto 6.1.3 non impone di applicare tutti i controlli dell’Annex A ma richiede di partire dai rischi valutati, di scegliere i controlli necessari per trattarli -progettandoli ex novo o attingendo a qualsiasi fonte – e di usare l’Annex A come verifica finale, per accertarsi che nessun controllo necessario sia stato dimenticato.

Il percorso va dal rischio al controllo, non viceversa.

Questo metodo non solo rende i controlli più comprensibili, ma permette anche di adattarli con intelligenza, evitando di trattarli come dogmi e iniziando a usarli come leve di gestione.

Il dialogo continuo fra controlli e minacce

Ogni volta che un’organizzazione applica un controllo, in realtà sta reagendo a una minaccia che qualcun altro, prima, ha già sperimentato e documentato.

È questo il cuore della sicurezza delle informazioni: un dialogo continuo tra ciò che minaccia e ciò che protegge.

Gli standard ci offrono un linguaggio per riconoscere questi opposti e per trasformarli in azione, ma il valore reale nasce quando non li vediamo più come obblighi e iniziamo a vederli come risposte.

Questo è il primo passo della nostra trilogia.

Abbiamo compreso che controlli e minacce non sono entità separate ma forze che si completano.

Nel prossimo capitolo ci sposteremo un po’ più avanti: vedremo come il contesto in cui un’organizzazione opera, con le sue dimensioni, le sue sedi, i suoi dati, i vincoli normativi e le aspettative delle parti interessate, cambia radicalmente la percezione della gravità e della probabilità delle minacce e quindi la forza dei controlli che servono.

Solo allora sarà chiaro che la sicurezza non è mai statica ma vive del rapporto continuo con la realtà che deve proteggere.