Dai feed dei social network professionali alle sale riunioni aziendali, gli addetti ai lavori assistono a una costante riproposizione dei medesimi interrogativi e delle stesse argomentazioni.
La sensazione diffusa è che, a distanza di anni, la cyber security si ritrovi ad affrontare in modo ciclico concetti che dovrebbero ormai considerarsi acquisiti.
Questa dinamica non costituisce semplicemente un fenomeno di costume digitale, ma riflette le caratteristiche strutturali di una disciplina in costante bilico tra evoluzione tecnologica, ritardi organizzativi e complessità comportamentali.
Le riflessioni emerse nel corso di un confronto mediatico coordinato dal produttore della CISO Series, David Spark, insieme al co-conduttore Geoff Belknap e all’esperto Howard Holton, fondatore di The Fonia Council ed ex CIO e CISO, offrono una prospettiva dettagliata sulle cause profonde di questo circolo vizioso.
Indice degli argomenti
Il fenomeno dei cliché ricorrenti nel dibattito sulla cyber security
Il riutilizzo sistematico di formule predeterminate rappresenta uno dei segnali più evidenti della stasi espressiva che caratterizza la cyber security.
Nel panorama attuale, molte discussioni tendono a riproporre concetti ormai risaputi, trasformandoli in veri e propri luoghi comuni che faticano a guidare l’operatività reale.
L’inflazione delle frasi fatte e la perdita di efficacia operativa
Sull’argomento si è espressa chiaramente Nancy Free di Armor Defense, evidenziando la frustrazione per il continuo riciclo di espressioni prive di reale efficacia pratica: «L’altro giorno ho visto il decimilionesimo post su come la conformità non sia sicurezza e sono quasi saltata sulla sedia. I vecchi cliché che continuiamo a riciclare e ripetere dal 2008. Perché il nostro settore continua a pronunciare frasi che sappiamo non significare nulla? “Prendiamo sul serio la vostra sicurezza”: oh, un grande classico, presente in ogni lettera post-violazione indirizzata alle parti coinvolte. Ottimo, felice che adesso siate seri. Oppure “Non è questione di se verrai violato, ma di quando”, l’equivalente per la sicurezza di “prima o poi moriremo tutti”: tecnicamente vero, ma operativamente inutile».
L’immaturità del mercato e la banalizzazione dei ruoli
A questa lettura si aggiunge l’analisi di John Theo, CISO globale di BMS Group, che individua l’origine del problema nell’incompiutezza concettuale di chi prende parte alle conversazioni pubbliche: «Attribuisco gran parte di ciò all’immaturità di alcuni commentatori e del mercato nel suo complessivo. Se leggo ancora una volta “Il cyber non è più solo una questione IT”, come se non lo fosse già prima, o “La GRC non riguarda solo le policy”… davvero, l’indizio è già nel titolo. Oppure “I consigli di amministrazione non capiscono la sicurezza delle informazioni e informatica”: beh, di chi è la colpa allora? E ancora “Il cyber ora minaccia la vita umana”: ci sono molti esempi in passato che dimostrano come questo non sia affatto una novità».
L’ampia diffusione di tali frasi fatte trova una spiegazione immediata nella praticità con cui possono essere citate. Tuttavia, l’ampio ricorso a questi argomenti rivela spesso la mancanza di una riflessione più strutturata.
La necessità di superare il livello superficiale della conversazione
La ripetizione di concetti di base può svolgere una funzione di promemoria, ma rischia di arrestare la crescita professionale se non viene accompagnata da un’analisi tecnica rigorosa.
Come sottolinea Belknap, le affermazioni semplici sorgono spontaneamente perché immediate, ma il loro valore reale dipende dal contesto in cui vengono impiegate.
Belknap nota che molti interlocutori affrontano la cyber security da punti di partenza differenti: «nel forum di LinkedIn e in senso generale nella comunità della sicurezza, non tutti si trovano allo stesso livello di maturità o allo stesso punto del proprio percorso professionale. Alcuni di questi problemi, che chi partecipa a questo podcast o lo ascolta ha già incontrato molte volte maturando opinioni decise, li abbiamo affrontati qualche volta in più rispetto a chi è appena entrato nel settore».
Per questa ragione, frasi apparentemente banali possono servire a stimolare un cambio di prospettiva in chi muove i primi passi, mentre per i professionisti con maggiore esperienza il vero compito rimane quello di esplorare i problemi con maggiore profondità tecnica e strategica.
La precisione del linguaggio e la distinzione tra governance, rischio e conformità
Un ulteriore fattore di confusione nasce dall’impiego impreciso della terminologia tecnica.
Nella prassi quotidiana della cyber security, si tende frequentemente a sovrapporre concetti distinti come la sicurezza informatica, la conformità normativa e la governance aziendale, generando fraintendimenti operativi e valutazioni errate.
La separazione concettuale tra Compliance e Governance
Holton ha posto l’accento sulla gravità di questo livellamento linguistico: «”La conformità non è sicurezza”. Mi dispiace, ma ci sono parti della conformità che lo sono assolutamente. La compliance è la garanzia che si stiano rispettando le normative obbligatorie applicabili all’organizzazione, e questo va ben oltre la sola sicurezza. La compliance comprende anche l’etica, e l’etica non è sicurezza, mi dispiace. Il modo in cui ci si adegua alle prescrizioni imposte dai regolatori è conformità, il che è separato dalla governance, che consiste nelle policy che governano il funzionamento dell’azienda e che si estendono anch’esse oltre la sicurezza. Il motivo per cui l’acronimo GRC existe con lettere distinte è che sono elementi effettivamente diversi, ciascuno con una missione differente, raggruppati perché presentano molte sovrapposizioni e devono collaborare».
L’impatto della rigidità linguistica sulle tecnologie emergenti
Holton evidenzia inoltre come la perdita di nitidezza nei termini abbia ripercussioni anche sul rapporto con i sistemi automatizzati e l’intelligenza artificiale, sottolineando che «l’AI non tratta il linguaggio come fungibile nello stesso modo in cui lo facciamo noi, essendo un computer. Quindi, se volete prestazioni migliori dalla vostra AI, smettetela di rendere il linguaggio fungibile e siate precisi: rimarrete sbalorditi dal miglioramento dei risultati».
Dalla pratica alchemica alla disciplina scientifica
Per comprendere il motivo per cui le stesse domande continuano a riemergere senza trovare una risposta definitiva, è necessario analizzare il modo in cui le conoscenze vengono accumulate e trasmesse all’interno delle organizzazioni.
La mancanza di modelli basati sull’evidenza
Sean P. Riley individua la radice strutturale di questo limite nella mancanza di un approccio metodologico condiviso: «Trattiamo ancora ampiamente la cybersecurity come una pratica plasmata dall’esperienza e dall’opinione, non come un settore fondato su modelli condivisi, risultati misurabili e conoscenza cumulativa. Di conseguenza, le stesse domande continuano a riemergere, non perché siano nuove, ma perché non vengono mai realmente risolte. In una disciplina più matura, questi argomenti convergerebbero in framework, modelli decisionali e risposte basate sull’evidenza. Invece continuiamo a ridiscuterli da zero, influenzati dal ruolo, dall’organizzazione o dalla narrazione dei fornitori. Finché non passeremo dal “Cosa ne pensi?” a “Cosa sappiamo, come lo sappiamo e come possiamo dimostrarlo?”, le conversazioni non si evolveranno: si limiteranno a ripetersi con voci nuove ed etichette nuove».
La complessa relazione tra framework teorici e strumenti operativi
Un altro punto critico riguarda il divario esistente tra i modelli di riferimento stabiliti da enti accademici o istituzionali e i prodotti offerti dal mercato tecnologico. Framework riconosciuti a livello internazionale, come NIST o MITRE, mettono a disposizione strutture concettuali di ampio respiro, ma spesso non forniscono indicazioni direttamente applicabili alla costruzione di un modello operativo quotidiano.
I fornitori di tecnologia tendono a sviluppare soluzioni orientate alla risoluzione di problemi specifici riscontrati sul campo, cercando solo in un secondo momento di associare le funzionalità dei propri strumenti alle singole voci previste dalle normative o dai framework.
Questo disallineamento fa sì che la cyber security aziendale si ritrovi spesso a dover adattare strumenti eterogenei all’interno di architetture teoriche rigide, perpetuando discussioni sull’efficacia reale degli strumenti adottati.
Il ruolo della struttura organizzativa e la componente umana
La ricorsività dei dibattiti non deriva soltanto dagli aspetti tecnici, ma si intreccia con l’architettura dei ruoli aziendali e con i comportamenti individuali.
La posizione del responsabile della sicurezza all’interno dell’organigramma rimane oggetto di confronto continuo proprio a causa delle modalità storiche con cui la funzione è stata introdotta nelle aziende.
La progettazione del ruolo del CISO nelle aziende
Adrien Gendre, CISO di Selenis, descrive questa criticità strutturale affermando: «La ragione per cui questi argomenti continuano a riciclarsi non è un problema di LinkedIn, è un problema di progettazione del ruolo. Continuiamo a dibattere sulle linee di riporto, sulla comunicazione con il consiglio di amministrazione e sull’allineamento con il business perché il ruolo del CISO non è mai stato posizionato strutturalmente per risolverli: è stato aggiunto a posteriori come un bullone, e da allora continuiamo a discutere su dove bullonarlo ogni volta».
Il fattore evolutivo nei cicli di carriera
A questa complessità strutturale si affianca il fattore temporale legato ai diversi momenti di crescita professionale.
Come evidenziato da Mike Raric di DSG Supply, un tema apparentemente obsoleto per chi ha coordinato la sicurezza per anni rappresenta una novità immediata per chi assume per la prima volta la guida di un team: «La ragione potrebbe risiedere nel fatto che ognuno si trova in fasi diverse del ciclo? Ad esempio, la linea di riporto del CISO potrebbe non essere rilevante per te finché non diventi tu stesso il CISO e non sperimenti alcune delle problematiche o dei vincoli che altri hanno provato in precedenza. Potrebbe essere un argomento stantio per chi ha già vissuto quella battaglia, ma fresco e nuovo per qualcun altro».
La sensibilizzazione come processo continuo e la Cyber Hygiene
Le dinamiche della cyber security mostrano forti analogie con le grandi campagne di sensibilizzazione e prevenzione coordinate nell’ambito della salute pubblica.
La necessità di ribadire concetti noti deriva dalla natura stessa dell’essere umano e dalla sua tendenza a mostrare resistenze rispetto ai cambiamenti comportamentali.
Jonathan Waldrop, CISO di Acoustic, evidenzia chiaramente questo parallelismo: «Tanti argomenti rimangono all’ordine del giorno perché sono complessi. Guardiamo alle iniziative di sanità pubblica come le campagne contro il fumo, per le cinture di sicurezza o per il lavaggio delle mani: esistono da decenni. Se avesse funzionato la prima volta che è andata in onda una pubblicità sul fumo che provoca il cancro, non esisterebbe alcun mercato per sigarette tradizionali, elettroniche o altro. Dobbiamo ancora dire alle persone di mangiare sano, fare esercizio, vaccinarsi e lavarsi le mani. Non credo sia un problema di sicurezza: credo sia un problema umano».
La gestione quotidiana della sicurezza impone quindi un’azione di ripetizione costante dei principi fondamentali.
La persistenza di vulnerabilità elementari, come l’impiego di credenziali predefinite su apparati di rete o la mancata segregazione di dispositivi connessi a Internet, dimostra che l’attenzione verso la cyber security non può prescindere da una cura sistematica delle basi operative.
Sebbene l’attenzione del settore sia frequentemente catturata da nuove soluzioni tecnologiche o dall’impiego dell’intelligenza artificiale, la stabilità complessiva dei sistemi continua a dipendere dalla corretta esecuzione delle pratiche fondamentali e dalla capacità di trasmettere in modo chiaro il valore della sicurezza a tutti i livelli organizzativi.
Partecipa alla community