Investiamo budget faraonici in architetture Zero-Trust per poi neutralizzare l’intero perimetro con un’eccezione sul firewall, approvata “solo per il weekend”, cioè destinata a scadere nel duemilamai.
Come quando il 28 gennaio 1986 lo Space Shuttle Challenger si disintegra in volo a causa del cedimento di una guarnizione O-ring. Non fu una sorpresa meccanica imprevedibile, ma un difetto noto, ampiamente documentato ed accettato nei voli precedenti, tollerato fino a diventare uno standard inossidabile.
La sociologa Diane Vaughan ha coniato il termine normalizzazione della devianza studiando proprio i processi interni della NASA prima del disastro. È il meccanismo organizzativo attraverso il quale pratiche inaccettabili, o deviazioni palesi dalle regole di sicurezza, perdono la propria connotazione di allarme ed entrano a far parte della consuetudine accettata.
Indice degli argomenti
Rischio cyber: quando l’eccezione diventa abitudine
Il meccanismo cognitivo alla base è crudelmente logico. Il cervello umano calibra la percezione del rischio basandosi sul feedback ambientale a breve termine.
Se un’azione rischiosa viene compiuta ripetutamente senza che si verifichino conseguenze negative immediate, l’assenza di danno viene riprocessata come prova di sicurezza.
La devianza perde la propria etichetta di anomalia. Questa dinamica, che rappresenta un modello sociologico ampiamente replicato nell’ingegneria complessa, offre una robusta proposta metodologica anche per analizzare il rischio umano in ambito cyber.
Questo adattamento ha radici evolutive. Il nostro apparato cognitivo è programmato per risparmiare energia disattivando l’attenzione prolungata sulle minacce che non si concretizzano.
Nel linguaggio di Daniel Kahneman, la valutazione di un’eccezione architetturale richiede lo sforzo attivo del Sistema 2. Quando l’eccezione sopravvive per mesi senza causare disservizi, la sua gestione scivola nel Sistema 1: diventa un’abitudine di fondo, elaborata senza alcun costo cognitivo.
Il management smette di percepire il rischio non per cattiva fede, ma per una fredda economia cerebrale. Ad oggi, se un server esposto non viene violato entro 48 ore, il cervello umano inizia a considerarlo sicuro per sempre.
Un caso per capire la dinamica
Costruiamo una dinamica fittizia ma speculare a molte realtà corporate. Il reparto marketing deve lanciare una campagna pubblicitaria ed ha bisogno di integrare una piattaforma SaaS esterna con il database interno. L’integrazione nativa e sicura richiede tre settimane di sviluppo, ma il business esige il go-live immediato.
Il team IT cede alla pressione ed attua una sequenza lineare: crea una regola temporanea sul firewall, apre una porta specifica, lancia l’integrazione, il business genera ricavi. Non accade alcun incidente cyber. Sei mesi dopo, la regola è ancora attiva. Nessuno la rimuove per il terrore di interrompere un flusso di cassa funzionante. Un anno dopo, quando un nuovo analista fa notare la vulnerabilità, la risposta del management è standardizzata: «Ha sempre funzionato così, non abbiamo mai avuto problemi, non toccarlo!».
Il rischio originario non è stato mitigato, ma è stato semplicemente anestetizzato dall’abitudine. E questo fenomeno si riproduce su scala sistemica nei processi di gestione delle identità.
Pensiamo agli account di servizio creati per i fornitori esterni durante la migrazione ad un nuovo applicativo. La direttiva aziendale prescrive il principio del privilegio minimo ed una disattivazione dopo 30 giorni.
Nella pratica quotidiana, il vendor lamenta continui blocchi di sistema, il project manager scala l’incidente alla direzione per non mancare la consegna e il team di sicurezza assegna all’account privilegi massimi.
L’intenzione iniziale è quella di revocare l’accesso il lunedì successivo: passano due anni, il fornitore ha cambiato nome, il project manager è andato in pensione ed il super-amministratore esterno è ancora attivo.
Nessuno ha il coraggio di disabilitarlo, perché l’azienda ha perso la memoria storica di cosa quell’utenza controlli esattamente. L’anomalia è diventata un’infrastruttura intoccabile.
Questo bias non si manifesta solo nelle architetture di rete, ma infetta quotidianamente le operation del SOC (SOC). Quando gli analisti ricevono centinaia di falsi positivi da un sistema EDR mal calibrato, iniziano a chiudere i ticket senza un’indagine approfondita.
La prima volta provano disagio, ma la centesima volta diventa la procedura standard non scritta.
Quando si ignora l’ambiente che genera il comportamento, si finisce per incolpare l’analista per una distrazione fatale, ignorando che l’organizzazione aveva già normalizzato quel livello di approssimazione.
Le implicazioni per il CISO
Per il CISO, le implicazioni richiedono un cambio di paradigma di governance. Combattere la devianza con richiami verbali o con policy più lunghe è un esercizio inutile. Il CISO deve implementare controlli rigorosi lungo l’intero ciclo di vita delle eccezioni.
Un’eccezione senza una data di scadenza hard-coded nei sistemi non è un’eccezione, ma una nuova policy occulta.
Le contromisure richiedono automazione pura. Se si concede un accesso privilegiato a un fornitore per il troubleshooting, l’account deve disabilitarsi automaticamente al termine della finestra temporale concordata. Nessuna richiesta di estensione via email né via ticket. Il sistema deve imporre un blocco logico. Punto.
Il livello di difesa di un’organizzazione si valuta misurando metriche specifiche e spesso fastidiose.
Un indicatore reale non è il numero di regole scritte nei manuali, ma il tempo di persistenza delle deroghe: quanto tempo intercorre tra la scadenza teorica di una regola temporanea ed il suo effettivo blocco tecnico?
Se già misuri questo KPI ricadi nel primo 1% della popolazione. Un secondo indicatore è il tasso di rinnovo in deroga. Se l’80% delle eccezioni temporanee viene rinnovato sistematicamente alla scadenza tramite un’approvazione formale ma meccanica, l’azienda sta solo burocratizzando il problema. Produce log perfetti per accontentare un auditor esterno, ma completamente inutili per fermare un movimento laterale nella rete.
Una proposta metodologica
Qui questa lettura del problema mostra il proprio potenziale. L’approccio tradizionale alla sicurezza si concentra sulla repressione: punisce l’utente quando la devianza viene scoperta durante un audit. Il Cybercognitivismo cambia il punto di osservazione: mappa l’attrito che ha reso necessaria e vantaggiosa la devianza.
Se un intero dipartimento aziendale bypassa la VPN per utilizzare strumenti di file sharing non autorizzati (Shadow IT), la reazione istintiva è sanzionare il personale.
L’approccio cognitivo analizza la struttura: la VPN aziendale si disconnette ogni 20 minuti, satura la banda e impedisce di caricare file superiori a 10 MB. In questo contesto, la devianza è la soluzione più razionale che gli esseri umani trovano per sopravvivere ad una sicurezza mal progettata.
Modificare la postura difensiva non significa aggiungere un’ulteriore circolare da far firmare ai dipendenti, ma rimuovere l’ostacolo tecnico che rende l’eccezione più proficua della regola.
L’analisi deve essere estesa anche agli strumenti di produttività. Se la classificazione automatica dei documenti richiede 7 click per ogni file salvato, i dipendenti inizieranno a marcare tutto come “Pubblico” per risparmiare 20 minuti a settimana. La devianza diventa un meccanismo di sopravvivenza lavorativa.
Il Cybercognitivismo impone di misurare questo sforzo: se il costo cognitivo per rispettare la regola supera il vantaggio percepito, la regola fallirà matematicamente. Il CISO deve analizzare l’esperienza degli utenti finali, osservare i loro processi e rimuovere i colli di bottiglia prima di esigere la conformità.
La sicurezza che ostacola il lavoro viene sistematicamente aggirata, mentre la sicurezza invisibile viene adottata per inerzia.
Le deviazioni tollerate non si correggono da sole col passare del tempo, ma si stratificano in silenzio, in attesa che un attore ostile le trasformi nella regola di ingaggio per il proprio attacco.
Per chi voglia strutturare questi processi in modo sistematico, il Manuale CISO Security Manager (per la preparazione all’esame CISSP e la pratica quotidiana) approfondisce come impostare identity management e governance delle eccezioni prima che il debito tecnico diventi consuetudine invisibile.
La solidità di un programma di sicurezza non si misura dalle policy scritte nei manuali, ma da quelle che l’azienda ha smesso di far rispettare senza nemmeno accorgersene: nella sua organizzazione, quale eccezione “temporanea” è ancora attiva da così tanto tempo che nessuno ricorda più perché fu approvata?
Partecipa alla community