“School’s Out” – Tutti in ferie, tranne il rischio.

Di Piermaria Saglietto – CEO & Founder Compet-e srl

 

Premessa doverosa.

Questo articolo va in onda in forma “informale” per andare incontro al mio irrefrenabile e incontrollabile desiderio di ferie.

Tuttavia, da contratto, lo dovevo fare … perché poi il capo si arrabbia e mi fa saltare le vacanze 😊 …

 

Tutti in ferie. Tranne il rischio (sono assolutamente convinto che questa intro andrà alla grande)

School’s out for summer

School’s out for ever

Ci sono momenti dell’anno in cui l’umanità intera sembra raggiungere un tacito accordo al grido di “Ragazzi spegnete i motori, finalmente si rallenta!”

Le riunioni importanti scavallano improvvisamente sul calendario dopo agosto, quello stesso calendario che ci apostroferà dal primo settembre con un “Ma ancora tu? Non dovevamo vederci più?”. Questo verso è più nostrano, non di Alice Cooper: chi sa dirmi di chi è?

Le mail ricevono risposte automatiche sintetiche ma di una cortesia superiore al 90% delle risposte umane; del resto si sa che la cortesia degli autorisponditori sarà materia di studio nei corsi avanzati di bon ton.
I gruppi WhatsApp aziendali danno il meglio commentando qualsiasi richiesta con contro richieste del tipo: “riesci a vederlo tu che io sono via?”.
E negli uffici resta quel silenzio un po’ irreale, interrotto solo dal condizionatore e da qualcuno che, povero lui, o beato lui in certi casi, “copre il presidio”.

È il momento perfetto per School’s Out di Alice Cooper.

Una canzone che non celebra semplicemente la fine della scuola, bensì la sensazione meravigliosa di uscire da un sistema di regole, orari, verifiche, appelli, compiti e responsabilità.

Il sogno collettivo si materializza in un paio di azioni: chiudere tutto e andare.

Bellissimo. Peccato che nel mondo reale, quello in cui esistono server, credenziali, backup, VPN, phishing, fornitori critici, dati personali, clienti, autorità di controllo e sistemi produttivi per cui un giorno vale l’altro, agosto compreso, non funzioni proprio così.

Perché l’azienda può anche andare in ferie, ma il rischio no.

E quei simpaticoni di hacker, più o meno organizzati ma tutti accomunati da assoluta mancanza di educazione istituzionale, non sembrano particolarmente sensibili al calendario ferie approvato dall’HR manager (“lo hacker che bontà”, ah no … non è vero e poi il significato e l’ortografia erano diverse).

 

L’out of office non è una misura di sicurezza.

Well we got no class

And we got no principles

And we got no innocence

Ogni estate accade questa piccola magia organizzativa: l’azienda non chiude davvero, però inizia a funzionare come se qualcuno avesse abbassato il volume generale.

Meno persone (una delizia per chi come me a volte è repellente a socializzare troppo), meno reperibilità (questo ci piace, ci piace!), meno riunioni (figo!), meno attenzione (qui un po’ meno figo!), meno voglia di aprire ticket (comprensibile, anche se il ticket è quell’apostrofo rosa messo tra le parole “si è rotto” e “mo’ provo ad aggiustarlo”).

In compenso, un tripudio di frasi epiche (alcune da “Commenti memorabili”, mi auguro che tutti conosciate questa pagina di altissima cultura presente su Facebook e Instagram):

• “Lo vediamo a settembre (e speriamo che nel frattempo si risolva da solo per miracolo di qualche divinità vichinga)”
• “Adesso non c’è nessuno (ma anche se ci fosse qualcuno col cavolo che metto le mani su una cosa che poi se non funziona sono costretto a lavorare anche a Ferragosto. Spoiler di tristezza infinita: quest’anno Ferragosto è di sabato)”
• “Il referente è in ferie (magari il referente è lui stesso che scrive, ma mentire su queste cose ad agosto è permesso anche dalla Convezione di Ginevra)”
• “Proviamo a gestirla così, poi sistemiamo (e anche in questo caso ri-invochiamo la divinità vichinga di cui al primo capoverso affinché operi un reset collettivo della memoria)”
• “Non sembra urgente (dove il sembra viene appena sussurrato mentre le parole “non è urgente” sono proferite a pieni polmoni)”
• “Ha scritto anche a me, ma pensavo aveste risposto voi (questa tratta da “Sei sistemisti in cerca di processore)”

Ecco. Se il rischio cyber avesse un profilo LinkedIn, alla voce “competenze” metterebbe proprio questo: infilarsi negli spazi tra un “pensavo” e un “poi sistemiamo”.

Perché il problema dell’estate non è che le persone vadano in ferie. Devono andarci, possibilmente senza sensi di colpa e senza il portatile sotto l’ombrellone come triste tributo da sacrificare alla propria professionalità.

Il problema è che spesso l’organizzazione non distingue tra il diritto sacrosanto delle persone a staccare e la necessità altrettanto sacrosanta dei presidi essenziali di restare accesi.

Sono due cose diverse: appena un pelo!

Si può andare in ferie ma se evitiamo di lasciare l’azienda in modalità campeggio libero forse è meglio.

 

Gli attaccanti non aspettano settembre (perché in fondo sono delle brutte persone)

Out for summer, out till fall

We might not come back at all

Nella fantasia più rassicurante, anche gli attaccanti dovrebbero avere una certa etica stagionale. Sicuremente, appena verrà firmato il rinnovo del contratto collettivo degli hacker, di prossima scadenza, questo punto sarà giustamente inserito insieme ai Ticket Ransomant.

Sarebbe bellissimo ricevere dagli hacker missive cariche di etica e di rispetto del tipo:
“Cari signori, abbiamo notato che il vostro responsabile IT è in ferie dal 5 al 23 agosto. Nessun problema, ripasseremo a settembre. Buone vacanze e complimenti per la scelta del Salento, quest’anno ha un mare delizioso.”

Purtroppo, non succede. Anzi, i periodi di minor presidio sono interessanti proprio perché c’è meno presidio. Questa la scrivo proprio così, con una ripetizione, perché avevo preannunciato che avrei usato un linguaggio informale. La coerenza prima di tutto.

Il minore presidio si riverbera in:

• Meno persone che leggono gli alert (ma più persone che fanno Sudoku in spiaggia)
• Meno persone che interpretano le anomalie (ma più persone che leggono succulenti gossip estivi)
• Meno persone che sanno decidere subito (al limite, ma con calma, si decide se la sera fare pizza o cacio e pepe).
• Meno persone che conoscono davvero il sistema (ma più persone che si ingegnano su come trovare il sistema di stare in ferie tutto l’anno)
• Meno persone che possono dire: “No, questa cosa non è normale” (e qui sul capitolo di cosa è normale e cosa no, sotto il solleone, si potrebbero aprire discussioni interessanti; mia moglie, ad esempio, dice che non è normale che io in spiaggia indossi certe camicie hawaiane anni ’80, in quanto è fermamente convinta che su Tom Selleck facessero un altro effetto)

Nel cyber, spesso, la differenza tra incidente contenuto e disastro non è il numero di policy archiviate in una cartella condivisa dal nome rassicurante “Qui_Ci_Sono_Tutte_Le_Policies_Di-Cui_hai_Bisogno_Ma_Speriamo_Che_Tu_Non_Le_Debba_Mai_Usare_Perché_Non_Sai_Nemmeno_con_Cosa_Aprirle”.

E poi c’è il fattore tempo.

Quanto tempo passa prima che qualcuno se ne accorga?
Quanto tempo passa prima che qualcuno capisca?
Quanto tempo passa prima che qualcuno decida?
Quanto tempo passa prima che qualcuno agisca?

E se la risposta è: “Dipende, perché ad agosto è un po’ complicato, bisogna vedere chi c’è in azienda”, forse il problema non è agosto. Forse il problema è l’organizzazione dell’azienda.

 

Il phishing ama le vacanze più di noi (sembra impossibile ma è così)

We can’t even think of a word that rhymes

C’è poi una meravigliosa coincidenza: mentre noi siamo più distratti, più mobili, più veloci e più inclini a fare cose discutibili dallo smartphone, il phishing trova il suo habitat naturale (e qui immaginate di avere come colonna sonora “Aria sulla quarta corda” di Johann Sebastian Bach, come in Quark).

Estate significa anche tutta una serie di rotture di cocomeri (frutto tipicamente estivo, la prima parola che mi era venuta in mente non era cocomeri ma siamo in fascia protetta): prenotazioni, hotel, voli, rimborsi, assicurazioni viaggio, check-in online, pagamenti, corrieri, conferme, cancellazioni, QR code, link urgenti e messaggi scritti con quell’aria burocratica che sembra sempre vera, anche quando è prodotta in qualche anfratto recondito del crimine informatico.

Arriva una mail: “Gentile cliente, la sua prenotazione richiede una conferma urgente.”

E tu sei in aeroporto, con una mano sul trolley, una sul telefono, una sul documento, una sul panino. Sì, lo so, le mani sono di meno, ma concedetemi questa licenza per esprimere maggiormente difficoltà, concitazione e disagio (sempre perché siamo in fascia protetta). Ma chiunque abbia viaggiato ad agosto sa che in quei momenti l’essere umano muta.

E clicchi, clicchi come se non ci fosse un domani; perché il gelato comprato a prezzi da borsa nera nella gioielleria camuffata da chioschetto ti sta colando ovunque tranne che in bocca, perché quel cadeau che hai amabilmente acconsentito di comprare per tua suocera (8 kg di Torre di Pisa made in Vietnam che ti stai trasportando dal mattino alle 9) ti ha letteralmente paralizzato il braccio, perché … insomma clicchi e basta: come atto di liberazione, di disperazione, come riflesso incondizionato che inutilmente hai cercato di sopprimere.

Non perché sei stupido. Non perché “gli utenti sono l’anello debole”, frase che andrebbe abolita o almeno tassata (non vorrei aver dato un’idea). Clicchi perché sei nel momento perfetto per sbagliare.

La sicurezza non dovrebbe mai partire dall’idea che le persone siano incapaci. Dovrebbe partire dall’idea, molto più adulta, che le persone siano umane. E gli esseri umani, quando sono stanchi, di fretta, fuori contesto o convinti di dover risolvere qualcosa subito, e soprattutto quando sono in camicia hawaiana e si rendono conto di non essere Tom Selleck: sbagliano.

La compliance serve anche a questo: progettare un’organizzazione che non crolli al primo errore umano o per una camicia hawaiana che su di te ha un effetto ridicolizzante mentre invece in Magnum P.I. avrebbe spaventato anche gli hacker. Vi siate mai chiesti perché non c’erano gli hacker in Magnum P.I.? Per questo motivo, non perché l’albo degli hacker non era stato ancora costituito.

Perché se basta un clic fatto male per mettere in ginocchio tutto, di qui in poi diviene non più solo un problema dell’utente. È un problema di architettura, controlli, cultura e governance.

Tradotto: non basta mandare una newsletter a luglio con scritto “attenzione al phishing” e una clipart di un amo da pesca, che comunque apprezzo sempre; come si dice alle mie latitudini sabaude “fa fine e non impegna”.

 

Compliance non significa rovinare le ferie (tranquilli: noi donne e uomini di compliance abbiamo un progetto molto più ambizioso, rovinarvi l’intera esistenza)

Makin’ all that noise, cause they found new toys

Qui serve una precisazione, perché il rischio di fraintendimento è sempre dietro l’angolo, insieme alla mail del finto corriere. Dire che la compliance non va in vacanza non significa trasformare l’azienda in una caserma digitale (se lo fosse sarei curioso di vedere come si attrezza per fare l’adunanza mattutina: un Teams, un Meet, una mail di buongiornissimo aziendale mandata dal CEO?).

Non significa pretendere che tutti siano reperibili sempre. Non significa chiamare il DPO mentre sta cercando parcheggio a San Vito Lo Capo (pare che, a scanso di equivoci, questo divieto verrà inserito espressamente nel prossimo Digital Omnibus).
Non significa chiedere al responsabile IT di approvare una modifica infrastrutturale dal lettino numero 42 (che tra l’altro costa più di una GPU di ultima generazione ad alte prestazioni).
Non significa creare quel clima aziendale in cui formalmente sei in ferie, ma nella pratica sei solo in smart working con vista mare (e ogni volta che sbagli puoi dire che hai una camera con svista).

Questa non è compliance. È cattiva organizzazione con un cappello normativo. Una compliance seria fa l’opposto: permette alle persone di staccare perché ha già definito prima chi fa cosa, quando, con quali limiti, con quali responsabilità e con quali canali.

Abolisce gli eroismi individuali e costruisce presidi organizzativi.

Sostituisce il mantra “Tutti sempre connessi” con un meno fantozziano “Le funzioni critiche devono essere presidiate”.

Al comando “Nessuno può andare via” contrappone un “Nessun rischio rilevante deve restare senza proprietario”.

Perché, diciamolo (e questo diciamolo leggetelo con la voce di Fiorello in una delle sue imitazioni più riuscite e suggestive): moltissime aziende non hanno un piano di continuità. Hanno Mario.

• Mario sa tutto (l’onniscienza di Mario è ormai leggenda)
• Mario ha le password mentali (pare che la serie “The Mentalist” si sia liberamente ispirata a Mario)
• Mario conosce il fornitore al punto che gioca pure al paddle con lui (perdendoci sempre; bravo Mario, ma almeno evita di giocarti lo sconto sulla fornitura, visto che ormai lo sai che perdi)
• Mario sa dove sono i backup (oddio, non esattamente, ma almeno il quartiere di conservazione se lo ricorda)
• Mario capisce se quell’alert è grave (in genere perché ha un cugino alertista di professione che gli ha “imparato” questa abilità)
• Mario ha il numero del tecnico (ma forse l’ha salvato sotto “Samantho calcetto”)
• Mario “ci mette una pezza” (nel senso che spesso, soprattutto d’estate, pezza così tanto che in qualità di deterrente alle minacce che si basano sul contatto fisico funziona alla grande)

Poi Mario va in ferie (lo dicono anche i sacri testi dell’ICT “l’ottavo mese, agosto, Mario si riposò”).

E improvvisamente l’organizzazione scopre che MARIO non era non era la metodologia/tecnologia di sicurezza di ultimo grido M.A.R.I.O. (Monitor, Analyze, Respond, Improve, Optimize).

Di tutto questo l’unica cosa che rimane è proprio l’ultimo grido, dell’azienda però.

 

Prima delle ferie serve il soundcheck (qualcuno dice che a volte lo diano in offerta comprando la protezione 50, a me è mai successo)

Oh we can’t salute ya, can’t find a flag

Nel rock, prima di salire sul palco, si fa il soundcheck.

Non è il top dell’evento rock, non ci sono folle inneggianti al soundchecker, non c’è il momento epico da poster; anche se si dice che Mario, prima, facesse questo lavoro per gli Oasis, e solo dopo lo scioglimento della band si sia riciclato nell’ICT. C’è gente che prova microfoni, cavi, amplificatori, ritorni, livelli, strumenti.

Una noia meravigliosa; se il soundcheck è fatto male, il concerto può diventare un disastro (lo so a cosa state pensando: no, la trap è proprio così e non dipende dal soundcheck).

La compliance estiva dovrebbe funzionare in questo modo: un soundcheck prima che l’azienda entri nella modalità “ci risentiamo dopo Ferragosto”. Poche domande, ma raccolte con serietà e oggettività:

• Chi gestisce un incidente cyber se il referente principale non c’è?
• Chi può autorizzare decisioni urgenti?
• Chi parla con il cliente?
• Chi attiva il fornitore?
• Chi valuta un eventuale data breach?
• Chi controlla gli alert critici?
• Chi verifica che i backup siano davvero utilizzabili?
• Chi monitora gli accessi privilegiati?
• Chi decide se una modifica può aspettare o deve essere fatta subito?
• Chi ha il potere di dire “fermi tutti”?

Chi vinse le battaglie grazie alla loro foga? Questa non c’entra, anche perché qui abbiamo il signor Mario e non il signor Giancarlo.

Queste domande, tranne l’ultima ovviamente, non sono burocrazia. Sono la differenza tra un’organizzazione che ha una governance e una che ha solo speranza.

E la speranza, nel risk management, è una misura di controllo molto elegante, unitamente all’invocazione delle divinità, ma ha qualche problema di dimostrazione oggettiva e di comprovata di efficacia.

 

“Lo vediamo a settembre” non è una strategia (a meno che l’INPS non abbia accolto la tua domanda di pensionamento a far parte dal 1/9/2026)

School’s been blown to pieces

La frase più pericolosa dell’estate è indubbiamente “lo vediamo a settembre”. Innanzitutto, quando diciamo questo, ai primi di agosto, l’inizio settembre lo collochiamo in uno spazio-tempo che non riusciamo nemmeno a immaginare.

Passeranno diverse ere geologiche prima che arrivi settembre. E in fondo abbiamo anche la non troppo recondita speranza che un secondo meteorite finisca un lavoro cominciato, ma non ultimato, 66 milioni di anni fa.

Per cui che problema c’è a buttare la palla avanti?

• La nuova brochure? Settembre (che dicono che sia il mese della brochure, perché le brochure con i colori caldi dell’inizio autunno vanno alla grande)
• La riunione interna sull’arredamento della sala meeting? Settembre (del resto è ideale inaugurarla con un evento dal titolo “L’importanza del fungo e della castagna nella compliance alla NIS2”)
• Il dibattito eterno su quale CRM usare? Questo direi meglio ottobre. Il CRM, si sa, dà il meglio con i primi freddi.

Ma una vulnerabilità critica no (ahia)
Un account non più autorizzato no (ahia ahia)
Una configurazione debole no (ahia ahia che male)
Un backup mai testato no (ahia ahia che male che mi sto facendo)
Un alert anomalo no (ahia ahia che male che mi sto facendo, ignorando, tra l’altro, anche i sintomi)
Un fornitore essenziale senza presidio no (ahia ahia che male che mi sto facendo, ignorando, tra l’altro, anche i sintomi e pagando caro il servizio)
Una procedura di incidente che nessuno sa attivare no (“Signori, è stato un onore suonare con voi stasera.” – dal film Titanic)

Non tutto è urgente, ma alcune cose sono critiche. E la differenza andrebbe capita prima, non mentre qualcuno sta cercando di capire se l’azienda è sotto attacco o se “sarà il solito falso positivo”.

Il cyber risk non ragiona per stagioni. Purtroppo, ragiona per opportunità, riuscendoci anche parecchio bene con mosse elementari ma efficaci:

• Se trova una porta aperta e non custodita, entra (lo facevo anche io al cinema parrocchiale da bambino, lo ammetto, per non pagare le 500 Lire di ingresso; posso dirlo perché don Domenico l’ha saputo e mi ha perdonato)
• Non controlla se sul calendario c’è scritto agosto (almeno fino a quando, come già detto, non rinnoveranno il contratto collettivo hacker)
• Non manda una PEC di preavviso (lo farebbero ma sanno che le mail, tra cui anche le PEC, sono strumenti insicuri per cui non si fidano)
• Non convoca un tavolo tecnico (perché sanno che il tavolo tecnico si riunirebbe solo 2 volte all’anno, e almeno una delle due volte mancherebbe il numero minimo)
• Non aspetta il rientro del comitato rischi (perché c’è il rischio che non rientri)

Lo so, sarebbe tutto molto più comodo. Ma il rischio ha questa pessima abitudine: non rispettare le nostre pianificazioni. E intanto: sic tempora fugit (anche questo non c’entra molto ma una citazione latina, più o meno corretta, devo metterla da contratto in ogni articolo).

 

School’s out. Compliance isn’t.

Well we got no choice, all the girls and boys

Alice Cooper canta la fine della scuola e l’inizio della libertà.

E va benissimo, ma nelle aziende non tutto può chiudere insieme ai cancelli.

La fiducia dei clienti non va in ferie. Così come la protezione dei dati, la continuità operativa, le responsabilità del management, gli obblighi normativi.
La buona compliance non serve a impedire l’estate, serve a farcela vivere meglio.

Serve a fare in modo che le persone possano staccare davvero, perché l’organizzazione non dipende da un eroe (Mario è diventato SuperMario per questo, lui mica voleva), da un referente unico, da una password ricordata a memoria, da un fornitore “che tanto risponde sempre”, da una procedura mai testata o da un backup che tutti danno per scontato.

Tutti hanno diritto alle ferie ma proprio per questo i presidi essenziali devono restare accesi.

Perché nel rock una pausa può essere arte mentre nel cyber una pausa di troppo può essere semplicemente l’inizio della fine.

***

Buone vacanze a tutti, come vedete da questo articolo delirante io ne ho estremamente bisogno.

Ma oltre alle “pinne, fucile e occhiali” assicuratevi di avere MFA attiva, backup testati, responsabilità chiare e una sana diffidenza verso le mail “urgenti” dell’hotel che non avete mai prenotato ma che vi fa delle offerte stratosferiche.

E se poi proprio, proprio, proprio non riuscite a risolvere scrivetemi in privato: in via confidenziale vi mando il cellulare di Mario. 😉