Il panorama della sicurezza informatica aziendale si trova ad affrontare un paradosso strutturale, caratterizzato dalla tendenza diffusa a dare priorità all’apparenza rispetto alla reale efficacia delle difese operative.
In una recente sessione di approfondimento del podcast CISO Series condotta dal produttore giornalistico David Spark insieme a esponenti di primo piano del settore cyber, è emerso chiaramente come le organizzazioni siano diventate estremamente abili nel superare gli audit e nel mostrare dashboard impeccabili, ma rimangano drammaticamente vulnerabili quando si simula un reale percorso di attacco.
Questo sbilanciamento richiede un ripensamento del modo in cui viene concepito e applicato il controllo tecnologico e procedurale all’interno delle aziende, spostando l’attenzione dalle metriche di facciata alla riduzione dei rischi reali.
Indice degli argomenti
La trappola del “debito di controllo” nelle organizzazioni moderne
Il primo grande ostacolo a una reale protezione è l’accumulo indiscriminato di procedure e regole interne. Mike Melo, CISO di TMX Group, definisce questa stratificazione come un vero e proprio debito di controllo, tracciando un parallelo diretto con le problematiche derivanti dalle tecnologie legacy obsolete.
Nelle aziende moderne si rileva una tendenza sistematica ad aggiungere nuovi livelli burocratici senza procedere a una parallela eliminazione di quelli precedenti.
Secondo l’analisi di Melo, si tratta di un problema culturale profondo che affligge il settore: «Abbiamo creato una cultura dove aggiungere è sicuro e rimuovere è rischioso».
Questa inerzia organizzativa fa sì che i sistemi informatici e i flussi di lavoro si sovraccarichino di regole che non portano un reale valore aggiunto, ma aumentano sensibilmente la complessità complessiva della struttura.
La proliferazione di tali misure risponde spesso a una logica difensiva da parte dei responsabili della sicurezza, frenati dall’idea che eliminare una determinata regola possa esporli a giudizi negativi in caso di un successivo incidente.
Tuttavia, questa dinamica ignora il costo effettivo dell’attrito procedurale sulle attività quotidiane. Citando le valutazioni di Brett Conland di American Century Investment, i punti di attrito modificano inevitabilmente il comportamento dei team operativi.
Quando un controllo viene percepito come un ostacolo ingiustificato o ridondante, le persone tendono a cercare attivamente scorciatoie per svolgere il proprio lavoro in tempi rapidi.
Di conseguenza, l’eccesso di controllo genera un effetto opposto a quello desiderato, introducendo proprio quei rischi che la misura originaria avrebbe dovuto prevenire.
Gli ostacoli della burocrazia e la ricerca di efficienza
La resistenza al cambiamento all’interno delle strutture aziendali è alimentata anche dalla diffusione di report e ricerche di mercato condotti dai vendor, spesso finalizzati a convalidare la propria esistenza commerciale attraverso il ricorso a vecchie logiche basate sulla paura e sul dubbio.
Spark evidenzia come questi documenti non offrano strumenti utili a costruire un programma solido, spingendo invece i professionisti del settore ad affidarsi a analisi imparziali e costanti nel tempo, come il celebre Verizon Data Breach Investigations Report, considerato un punto di riferimento annuale fondamentale per orientare le decisioni strategiche.
Per spezzare l’inerzia che mantiene in vita procedure superate, Mike Johnson, CISO di Rivian, suggerisce di identificare opportunità naturali all’interno dell’organizzazione.
Una di queste è rappresentata dall’inserimento di nuove figure professionali nel team: l’utilizzo di occhi nuovi, non ancora assuefatti alle abitudini interne, permette di mettere in discussione l’utilità di un controllo esistente.
Un’altra occasione coincide con i grandi passaggi tecnologici, i quali obbligano a verificare se le vecchie metriche abbiano ancora senso o se vadano eliminate definitivamente per non ostacolare il business.
Il framework decisionale per l’eliminazione dei processi legacy
La rimozione di una misura obsoleta non deve essere interpretata come un atto di imprudenza, ma come una decisione rigorosa, supportata da prove oggettive. A questo scopo, Melo ha implementato un metodo di verifica basato su tre quesiti precisi da porre ai propri team di lavoro: «dobbiamo assolutamente farlo? È il modo più efficiente? Stiamo ottenendo il valore atteso?».
Questo approccio ricalca la precisione utilizzata nei Security Operations Center quando si perfezionano i casi d’uso per eliminare i falsi positivi. Attraverso questo filtro, ogni singolo controllo deve dimostrare la sua reale efficacia nella riduzione del rischio complessivo, garantendo che la semplificazione dei processi avvenga in modo misurato e sicuro.
Visibilità profonda e governance dei dati nell’era dell’intelligenza artificiale
L’introduzione delle tecnologie basate sull’intelligenza artificiale ha amplificato la necessità di ripensare il controllo sui flussi informativi, poiché gli strumenti tradizionali mostrano forti limiti nel comprendere la complessità dei nuovi carichi di lavoro non deterministici.
I limiti dell’approccio a “raggi X” sui flussi informativi
Molti sistemi di sicurezza attuali operano secondo una logica che Pranav Aduri di Bedrock Data paragona ai raggi X: sono in grado di individuare pattern standardizzati, come la presenza di numeri di carta di credito all’interno di un bucket di archiviazione cloud S3, ma non riescono a comprendere il contesto aziendale e i tessuti molli dell’infrastruttura.
Per ottenere una protezione reale, è necessario passare a un modello simile alla risonanza magnetica, capace di analizzare l’intero organismo dei dati, valutando i permessi concessi e soprattutto la lineage, ovvero la provenienza e la storia degli spostamenti delle informazioni.
L’assenza di questa visibilità profonda espone le aziende a incidenti gravi. Spark riporta il caso in cui «un singolo prompt innocente ha portato alla diffusione di dati finanziari dei clienti in più posizioni esposte e non autorizzate».
L’errore nasce dal fatto che gli strumenti classici non vedono come i carichi di lavoro dell’intelligenza artificiale utilizzino i permessi ereditati. Melo sottolinea che la rivoluzione del Data Security Posture Management (DSPM) è diventata un pilastro fondamentale proprio per stabilire una responsabilità condivisa sulla sicurezza dei dati.
Senza queste fondamenta, l’integrazione di sistemi di intelligenza artificiale agentica rischia di generare un caos ingestibile per qualsiasi organizzazione.
Dal canto suo, Johnson ricorda che l’intelligenza artificiale utilizza le informazioni in modi imprevisti, rendendo il tracciamento della provenienza un elemento indispensabile per consentire al business di mantenere la propria velocità senza perdere il controllo del perimetro.
L’automazione dei sistemi di difesa e il modello CPR
L’evoluzione tecnologica sta investendo in modo massiccio anche la gestione dei Security Operations Center (SOC). I dati forniti da Richard Stiennon di IT Harvest indicano l’esistenza di ben 68 vendor attivi nel mercato delle soluzioni di SOC basate sull’intelligenza artificiale.
Questa rapida diffusione solleva un interrogativo cruciale sulla capacità di una macchina di sostituire la conoscenza istituzionale e l’esperienza di un analista senior.
Per risolvere questo problema e valutare l’efficacia dei nuovi strumenti automatizzati, Ross Young di CISO Tradecraft ha elaborato il modello CPR, un framework strutturato su tre requisiti fondamentali:
- Confidence (Fiducia): la trasparenza che permette di comprendere chiaramente le ragioni dietro a una specifica decisione automatizzata.
- Precision (Precisione): la capacità del sistema di isolare una minaccia o un file malevolo senza causare il blocco di infrastrutture critiche come un intero controller di dominio.
- Reversibility (Reversibilità): la presenza costante di un comando di annullamento per ripristinare lo stato precedente in caso di errore operativo.
Melo si mostra ottimista circa l’impiego dell’automazione, sostenendo che «le macchine devono affrontare le macchine sul campo di battaglia», ma ribadisce che l’efficacia dell’algoritmo dipende interamente dalla qualità della documentazione aziendale.
In assenza di un contesto dettagliato,lo strumento automatizzato perde la sua utilità. Per mitigare questo rischio e mantenere il controllo operativo, Melo suggerisce l’implementazione di una flotta agentica di moderazione, progettata per agire come un vero e proprio interruttore di sicurezza qualora un agente software superi i parametri stabiliti.
La gestione del rischio umano tra incompetenza e disimpegno
Accanto alle sfide tecnologiche, la gestione delle risorse umane rimane uno dei fattori più complessi nella determinazione del rischio.
Nel corso di un’analisi comparativa sui fallimenti manageriali, Johnson e Melo hanno esaminato due archetipi di dipendenti problematici per identificare quale rappresenti la minaccia peggiore per il controllo aziendale: il lavoratore apparentemente qualificato che si rivela incompetente o il collaboratore pigro ma dotato di grandi capacità.
Secondo la valutazione di Johnson, il profilo incompetente costituisce il pericolo maggiore a causa della sua totale mancanza di autoconsapevolezza.
Un dipendente privo di competenze reali non è in grado di comprendere quando sta per compiere un errore fatale o quando ha già causato un danno grave all’infrastruttura, mentre il dipendente pigro tende a non intraprendere alcuna azione, riducendo la probabilità di generare incidenti diretti.
Melo esprime una posizione opposta, ritenendo più dannoso il collaboratore pigro. Questa preferenza si basa sul fatto che l’incompetenza tecnica può essere corretta attraverso percorsi di formazione e istruzione, mentre la pigrizia rappresenta un problema radicato nell’attitudine e nel comportamento, variabili estremamente difficili da modificare nel tempo all’interno dei contesti aziendali.
L’autorità formale non basta: l’influenza orizzontale del CISO
L’efficacia complessiva di una strategia di sicurezza non dipende dalla rigidità della gerarchia, ma dalla capacità del leader di tessere relazioni all’interno dell’azienda.
Riprendendo una riflessione di Brian Blakeley di Bellini Capital, un programma di protezione che richiede una posizione di assoluto vertice per poter funzionare dimostra una fragilità intrinseca.
La sicurezza informatica deve operare come una funzione orizzontale capace di influenzare strutture verticali che non dipendono direttamente da essa, come i dipartimenti di ingegneria, le risorse umane o la divisione vendite.
Non potendo imporre un controllo autoritario e formale su settori autonomi, il CISO deve costruire la propria credibilità attraverso l’allineamento agli obiettivi di business.
Melo chiarisce che il successo di questa figura professionale passa dalla capacità di parlare la lingua dell’azienda, rendendo i rischi comprensibili e riducendo l’attrito operativo, piuttosto che agire come un organo di polizia interno dedito esclusivamente all’applicazione di sanzioni: «Se risolvi onestamente i problemi che stanno a cuore all’azienda, l’influenza arriverà naturalmente».
Quando questa credibilità viene consolidata, lo stesso titolo formale perde la sua centralità operativa.
Johnson condivide questa visione orientata all’integrazione, evidenziando come l’affidarsi esclusivamente al potere formale garantito da una carica rappresenti l’ammissione di un fallimento strategico.
Giustificare la mancanza di risultati lamentando l’insufficienza del budget o l’inadeguatezza della propria linea di riporto gerarchico costituisce un errore metodologico.
La leadership nella sicurezza informatica richiede la capacità di incontrare le persone all’interno del loro contesto operativo, fornendo un supporto costante e spesso invisibile, fino a trasmettere il valore della protezione e trasformare la funzione di sicurezza in un partner indispensabile per la crescita dell’intero ecosistema aziendale.
Partecipa alla community