Quando la sicurezza informatica diventa un costo superfluo

Il problema invisibile che nessuno vuole vedere

La sicurezza informatica soffre di un paradosso fondamentale: quando funziona bene, sembra non fare assolutamente nulla. È come un sistema di allarme perfettamente efficiente che non suona mai perché nessuno tenta davvero di entrare in casa. Questa invisibilità crea un problema enorme nelle organizzazioni moderne, dove i manager faticano a giustificare investimenti in qualcosa che, apparentemente, non produce risultati tangibili.

Il ragionamento tipico della dirigenza è disarmante nella sua semplicità: “Abbiamo installato un firewall, quindi siamo al sicuro!” È l’equivalente tecnologico di chiudere la porta a chiave e poi lasciare i gioielli ben in vista sul tavolo del salotto. La sicurezza non è un interruttore che si accende e si spegne a piacimento, eppure molti continuano a trattarla esattamente così.

Quanto costa non investire in sicurezza?

La vera difficoltà emerge quando si cerca di quantificare il rischio informatico. I manager, abituati a ragionare per numeri e bilanci concreti, si scontrano con una domanda apparentemente semplice ma in realtà insidiosa: quanto ci costa esattamente non investire adeguatamente in sicurezza?

Il problema è che il rischio informatico è come il colesterolo: non lo vedi, non lo percepisci direttamente, ma quando ti colpisce i danni sono devastanti. Un attacco può generare costi completamente fuori controllo: perdita di dati critici, interruzioni operative prolungate, sanzioni normative che possono raggiungere milioni di euro, danni alla reputazione che impiegano anni per essere riparati. È come cercare di stimare il costo di un incidente stradale prima che accada: sai che il danno può essere catastrofico, ma mettere un numero preciso in un foglio di calcolo è praticamente impossibile.

Questa impossibilità di tradurre il rischio in una cifra esatta porta molte aziende a considerare la sicurezza informatica come un costo invisibile invece che come l’investimento strategico vitale che dovrebbe essere in un’epoca di minacce in costante evoluzione.

La visione romantica dell’hacker solitario

Uno degli aspetti più preoccupanti nella gestione della sicurezza aziendale è la percezione completamente distorta delle minacce informatiche. Molti dirigenti hanno ancora in mente l’immagine romantica dell’hacker solitario: un individuo incappucciato che personalmente decide di prendere di mira la loro specifica azienda, come se ogni mattina si svegliasse pensando “Oggi attacco proprio quella società”.

Questa visione è così lontana dalla realtà da essere quasi affascinante nella sua ingenuità. La stragrande maggioranza degli attacchi informatici moderni è completamente automatizzata. Non c’è nessun criminale che ti sceglie personalmente: ci sono bot che scansionano continuamente migliaia di server alla ricerca di vulnerabilità, esattamente come un software che prova automaticamente tutte le combinazioni possibili di una serratura digitale.

Il cybercrimine è diventato un’industria su scala globale, con attacchi massivi e indiscriminati. Lo spam via email non è scritto manualmente da qualcuno che si prende la briga di contattarti individualmente per farti diventare erede di un fantomatico principe straniero. È generato automaticamente, inviato a milioni di indirizzi contemporaneamente, nella speranza che una minuscola percentuale cada nella trappola.

Eppure, nelle sale riunioni aziendali, si continua a ragionare come se le minacce fossero personalizzate e facilmente prevedibili. È come pensare che gli unici rischi per una banca siano i rapinatori mascherati con il sacco dei soldi in spalla, ignorando completamente frodi elettroniche, phishing mirato e attacchi ransomware.

La sicurezza come cultura, non come prodotto

Un errore concettuale ricorrente è considerare la sicurezza informatica come un prodotto da acquistare una tantum. Si compra un antivirus, si installa un firewall, e ci si sente protetti per sempre. È l’equivalente digitale di andare in palestra una volta e considerarsi in forma per il resto della vita.

La sicurezza è invece un processo continuo, che richiede aggiornamenti costanti, formazione del personale, revisioni periodiche e adattamento alle nuove minacce. Mentre i criminali informatici sviluppano tecniche sempre più sofisticate, molti manager ragionano ancora con la mentalità di chi pensa che il principale rischio sia qualche studente che cerca di modificare i voti scolastici.

Prendiamo l’esempio delle password complesse e dell’autenticazione a due fattori. Per molte dirigenze rappresentano una complicazione inutile, fastidiosa quanto dover ricordare il compleanno del proprio partner. “Perché non possiamo usare tutti password semplici? Sono così facili da ricordare!” è una richiesta che si sente ancora troppo spesso. È come lasciare le chiavi di casa sotto lo zerbino con un cartello luminoso che indica esattamente dove trovarle.

Il fattore umano: la vulnerabilità che non si può patchare

Il vero punto debole di qualsiasi sistema di sicurezza non è tecnologico, ma umano. Puoi installare i sistemi di protezione più avanzati del pianeta, ma se i dipendenti utilizzano “ILovePizza” come password universale e aprono qualsiasi allegato email che promette foto divertenti, stai sostanzialmente installando una porta blindata lasciando tutte le finestre spalancate.

La sicurezza informatica è essenzialmente una questione culturale, non solo tecnologica. Non basta acquistare software costosi se poi non si forma adeguatamente il personale, se non si creano procedure chiare, se non si diffonde una consapevolezza reale dei rischi a tutti i livelli dell’organizzazione.

Ma convincere i manager di questo è spesso una battaglia persa in partenza. La tendenza naturale è delegare completamente la sicurezza al reparto IT, come se fosse un problema esclusivamente tecnico che non riguarda il resto dell’azienda. Quando invece la sicurezza efficace richiede il coinvolgimento di tutti, dal CEO all’ultimo stagista.

L’assicurazione che nessuno vuole pagare

In fondo, la sicurezza informatica funziona esattamente come un’assicurazione: nessuno vuole pensarci, sembra un costo superfluo finché tutto va bene, ma quando serve sei tremendamente sollevato di averla. La differenza è che con la cybersecurity, quando scopri di non essere adeguatamente protetto, spesso è già troppo tardi.

Mentre i manager continuano a considerarla un dettaglio tecnico fastidioso da minimizzare, i criminali informatici si fregano le mani, preparando il prossimo attacco con l’entusiasmo di chi sa di trovare porte spalancate. Ogni sistema sottovalutato, ogni aggiornamento rimandato, ogni formazione del personale rimandata “a tempi migliori” è un’opportunità servita su un piatto d’argento.

La prossima volta che qualcuno afferma che la sicurezza informatica è un costo superfluo, vale la pena ricordare che anche il Titanic era considerato inaffondabile. E tutti sappiamo come è andata a finire quella storia.

Questo articolo è tratto da “Non funziona niente! – I progetti IT in crisi”, il primo libro della collana Nothing Works! — una tragicommedia aziendale per chi ha visto troppi Gantt chart trasformarsi in fiction.

Scopri la collana completa, gli altri libri e le prossime uscite su nothingworks.it

Vuoi il libro subito? Compralo su Amazon

Potrebbe interessarti anche

• Sistemista IT in una PMI: mansioni e competenze
• DIRETTORE ACQUISTI
• Perché documentare gli interventi IT potenzia la posizione del Sistemista?
• Da sistemista IT a IT Manager: un, possibile, percorso di carriera nell’ambito manifatturiero
• I problemi quotidiani di un Sistemista IT e come risolverli
• SISTEMISTA
• Quanto guadagna un Sistemista a Torino?
• SISTEMISTA IT
• Cosa fa un Sistemista in un Managed Service Provider: ruolo e giornata tipo
• Dieci clienti, un solo Sistemista: come si gestiscono le priorità in un Managed Service Provider