Quando si parla di sicurezza informatica, l’attenzione tende a concentrarsi quasi esclusivamente su patch software, firewall e protocolli tecnologici. Tuttavia, la reale capacità di un’organizzazione di resistere a un attacco informatico e di riprendersi dipende in modo determinante da un elemento spesso trascurato: il fattore umano.
In una approfondita intervista rilasciata all’esperto David Shipley, la Chief Resilience Officer Amy Yee ha condiviso la propria esperienza diretta nella gestione di una grave crisi aziendale, evidenziando come le dinamiche relazionali, il supporto della leadership e la tenuta psicologica dei collaboratori siano i veri pilastri della cyber resilienza.
Il racconto, ricco di lezioni pratiche, sposta l’asse del dibattito della sicurezza informatica dagli schermi dei computer alla vita reale delle persone coinvolte.
Indice degli argomenti
La realtà dietro il codice: l’impatto psicologico di un attacco ransomware
La narrazione comune attorno alle violazioni informatiche tende a ridurre la crisi a una manciata di ore concitate, risolte da tecnici che lavorano febbrilmente durante la notte.
La realtà sul campo è radicalmente diversa e richiede uno sforzo prolungato. Amy Yee ha raccontato di aver vissuto in prima persona un attacco ransomware quando ricopriva il ruolo di Chief Digital Officer, un’esperienza che ha richiesto ben sessanta giorni consecutivi di riunioni operative quotidiane per informare l’intera struttura sullo stato delle cose.
Nelle prime ventiquattro ore, la situazione era dominata dal caos. L’organizzazione non aveva mai effettuato simulazioni preventive, denominate esercitazioni tabletop, e non considerava l’attacco come una possibilità concreta. Di conseguenza, il team interno si è trovato a dover comprendere simultaneamente quali sistemi fossero stati colpiti, cosa comunicare ai clienti, quali fossero le implicazioni legali e se vi fossero le competenze necessarie per rispondere all’emergenza.
Contrariamente a quanto si possa immaginare, il momento di massimo sfinimento emotivo non si verifica nelle prime quarantotto ore, bensì a distanza di settimane, quando la stanchezza accumulata inizia a logorare le persone. Yee ha descritto scene emblematiche di questo crollo psicologico, ricordando il proprio Direttore IT che, visibilmente sconfitto, le si avvicinò mettendole una mano sulla spalla per dirle: «Mi dispiace, ti ho deluso».
L’impatto sul personale era tangibile nei corridoi dell’azienda, dove i dipendenti manifestavano malesseri fisici dovuti alla forte ansia. Le conseguenze legate al fattore umano non si esaurivano all’interno del perimetro aziendale, ma si estendevano alla sfera privata dei lavoratori: la prolungata permanenza in ufficio e la pressione costante hanno messo a dura prova le relazioni familiari, portando in alcuni casi a situazioni di rottura coniugale tra i membri dei team tecnici impegnati nella risposta all’incidente.
Il punto di rottura emotivo e la svolta organizzativa
La transizione verso la fase di recupero richiede scelte strategiche chiare e una gestione rigorosa del tempo.
Secondo la testimonianza di Yee, una svolta decisiva si è verificata intorno alla terza settimana dall’inizio della crisi, momento in cui l’organizzazione è stata chiamata a prendere decisioni fondamentali in merito ai confini dell’investigazione tecnica e alla pianificazione del riavvio operativo.
Non tutti i sistemi compromessi sono tornati in funzione; per alcune piattaforme l’incidente ha rappresentato una trasformazione forzata e definitiva.
La riduzione dell’ansia collettiva è iniziata solo quando il team ha potuto notificare e disporre una valutazione completa dell’accaduto e di un percorso chiaro da seguire, supportato da un fronte unito composto dal consiglio di amministrazione, dalla proprietà e dai clienti stessi.
La gestione del cambiamento e una leadership basata sul supporto
L’esperienza sul campo dimostra che la qualità della leadership durante un attacco informatico influisce direttamente sui tempi di ripristino delle attività.
Interpellata da Shipley su quale consiglio dare a un dirigente che si trova a gestire le conseguenze di un incidente, Yee ha sottolineato la necessità assoluta di compattezza da parte del vertice aziendale.
Gli stakeholder esecutivi devono presentarsi con una voce di supporto comune, prendendo decisioni in modo corale e operando come una vera squadra, anche laddove vi siano divergenze interne. Yee ha formalizzato questo approccio affermando: «Se sei un leader esecutivo e sei incerto, sii comunque di supporto. Cerca di capire, ma sostieni il team».
Durante una crisi, la tendenza a cercare un responsabile all’interno della struttura può rivelarsi controproducente. David Shipley ha confermato questa visione, evidenziando che il compito della leadership, quando il personale si trova in una condizione di sofferenza emotiva, consiste nel domandare di cosa vi sia bisogno e come poter essere d’aiuto, reprimendo l’impulso di colpevolizzare.
L’atto di infierire sul team in un momento così fragile rallenta il processo di recupero aziendale.
In quest’ottica, le simulazioni e le esercitazioni di sicurezza non devono essere intese soltanto come verifiche tecniche dei sistemi, ma come strumenti indispensabili per sviluppare e consolidare la resilienza emotiva dei manager, preparandoli a gestire le reazioni di panico che possono manifestarsi nelle prime fasi di un’emergenza.
Le cinque figure che definiscono la carriera nella sicurezza informatica
Il ruolo del fattore umano nella cyber security trova una rappresentazione teorica in un intervento accademico che Yee ha tenuto traendo ispirazione dal noto saggio di Mitch Albom, intitolato Le cinque persone che incontri in cielo. Nel testo letterario, il protagonista scopre dopo la morte l’impatto invisibile e profondo che le sue azioni hanno avuto sulla vita di perfetti sconosciuti.
Questo parallelismo si applica perfettamente alla sicurezza informatica, dove l’assenza di incidenti è spesso il risultato di un lavoro silenzioso e privo di indicatori di prestazione facilmente quantificabili.
Yee identifica cinque profili umani fondamentali che ogni professionista della cyber sicurezza incontra nel corso della propria carriera.
- La persona che proteggi: gli utenti finali (come anziani o persone vulnerabili nel settore sanitario) per i quali si lavora ogni giorno nell’ombra, senza che ne conoscano l’identità.
- La persona che ti ha sfidato: individui che mettono alla prova il professionista, spingendolo a migliorare le proprie competenze e a valutare il rischio con maggiore precisione.
- La persona che ti ha dato una possibilità: chi decide di dare fiducia e assumere un collaboratore anche quando non ha ancora un’esperienza consolidata.
- La persona che hai deluso: una figura chiave per la crescita, che costringe a riflettere sugli errori, sugli insegnamenti dei fallimenti e sulla gestione emotiva degli stessi.
- La persona che hai ispirato: coloro sui quali si esercita un impatto positivo, spesso inconsciamente, attraverso la divulgazione, la condivisione di storie o la partecipazione a community.
L’importanza strategica delle relazioni e dei processi
La focalizzazione sulle persone si rivela determinante anche al di fuori dei momenti di crisi acuta, influenzando il successo dei normali progetti di innovazione.
Shipley ha richiamato una statistica consolidata secondo cui il novanta per cento dei progetti tecnologici complessi fallisce non a causa di carenze della tecnologia in sé, ma a causa di errori nella gestione del cambiamento, il cosiddetto change management.
La stessa etimologia del termine tecnologia richiama la necessità di una considerazione attenta di ciò che si guadagna o si perde quando si costruisce o si utilizza uno strumento.
Riflettendo sul proprio percorso professionale, Yee ha indicato quale sarebbe l’insegnamento principale da trasmettere alle nuove generazioni di tecnici.
Se potesse rivolgersi alla se stessa del passato, le consiglierebbe di dedicarsi alla costruzione di relazioni umane e network professionali molto prima.
Comprendere e sbloccare il valore delle persone che si hanno accanto costituisce la vera competenza strategica per chiunque desideri operare con successo in un ambito complesso come quello della sicurezza informatica.
Partecipa alla community