Come possiamo essere certi dell’esistenza di qualcosa che non abbiamo mai visto?
Nel 1995, quando Michel Mayor e Didier Queloz annunciarono la scoperta di 51 Pegasi b, il primo pianeta individuato in orbita attorno a una stella simile al Sole, quella domanda cambiò significato. Non perché qualcuno fosse finalmente riuscito a fotografare un nuovo mondo, ma perché la comunità scientifica dimostrò che era possibile confermarne l’esistenza senza averlo mai osservato direttamente.
Oggi la NASA ha confermato oltre 6.000 esopianeti. La parola interessante non è “pianeti”. È “confermati”. La maggior parte di questi mondi continua infatti a essere invisibile. Le immagini che popolano libri, documentari e siti delle agenzie spaziali sono ricostruzioni artistiche. Nella maggior parte dei casi gli astronomi non lo osservano affatto il pianeta. Osservano ciò che la sua presenza costringe il sistema a fare.
Una stella, infatti, perde per qualche ora una frazione infinitesimale della propria luminosità. Oppure oscilla leggermente sotto l’effetto gravitazionale di un corpo che nessuno riesce a distinguere. Sono variazioni minime, ma sufficienti per formulare un’ipotesi.
Un’ipotesi, però, non è una scoperta.
Una diminuzione della luminosità potrebbe dipendere da una macchia sulla superficie della stella. Un’oscillazione potrebbe essere provocata da un errore strumentale o da un fenomeno completamente diverso. È per questo che ogni possibile pianeta entra inizialmente nella categoria dei candidate. Le osservazioni vengono ripetute, confrontate con strumenti differenti, analizzate da gruppi di ricerca indipendenti e continuamente messe in discussione. Molti candidati vengono esclusi perché classificati come false positive. Soltanto quelli che resistono a questo processo diventano confirmed planets.
E questo è forse l’aspetto meno raccontato di questa storia.
La scienza dedica una parte enorme del proprio lavoro non a dimostrare di avere ragione, ma a verificare di non avere torto. Per riuscirci segue una regola semplice, ma estremamente rigorosa: lascia che siano i dati a guidare le conclusioni, non il contrario.
Arthur Conan Doyle, attraverso Sherlock Holmes, lo sintetizzava con straordinaria efficacia: «È un errore capitale fare ipotesi prima di avere i dati. Senza accorgersene, si finisce per deformare i fatti affinché confermino le nostre teorie, invece di costruire le teorie a partire dai fatti».
Sembra una frase che appartiene all’investigazione, ma descrive sorprendentemente bene il metodo scientifico.
La differenza tra un’intuizione e una scoperta non è il dato. È il metodo con cui decidiamo quando quel dato è abbastanza solido da diventare un’evidenza.
Proprio in questo passaggio trovo che l’astronomia e la cybersecurity parlino la stessa lingua.
Lo stesso metodo, infatti, guida anche gran parte della cybersecurity moderna. Un Cyber Security Analyst osserva il comportamento dei sistemi: accessi, autenticazioni, modifiche ai privilegi, connessioni di rete e attività degli utenti. Non osserva direttamente l’attacco. Osserva ciò che l’attacco costringe il sistema a fare.
Un accesso effettuato in un orario insolito. Un account che modifica privilegi mai utilizzati prima. Un’applicazione che inizia a comunicare con destinazioni sconosciute. Osservati singolarmente, questi eventi potrebbero non significare nulla. Potrebbero essere attività perfettamente legittime oppure i primi indizi di una compromissione.
Anche qui un’anomalia non basta.
Come una lieve diminuzione della luminosità di una stella, un singolo evento può avere molte spiegazioni. Il lavoro dell’analista consiste nel correlare gli eventi, confrontarli con il comportamento abituale del sistema ed eliminare le spiegazioni meno probabili. È un processo che richiede metodo, prima ancora che tecnologia.
È probabilmente questo il motivo per cui le principali evoluzioni della sicurezza delle informazioni insistono tanto sul monitoraggio continuo, sulla registrazione degli eventi, sulla gestione degli incidenti e sulla verifica dei controlli. L’obiettivo non è raccogliere più dati, ma creare le condizioni perché un indizio possa diventare una prova.
È proprio in quel momento che il dato acquista valore. Non perché racconti automaticamente la verità, ma perché consente di costruire una spiegazione e di metterla continuamente alla prova. È qui che si coglie la differenza tra un sistema che reagisce da uno che comprende.
Un penetration test non serve a dimostrare che un sistema è sicuro, ma a cercare il modo di comprometterlo. Un vulnerability assessment non conferma che tutto funzioni correttamente, ma individua le condizioni che potrebbero trasformarsi in un rischio. Un audit non certifica che un’organizzazione abbia sempre ragione, ma verifica che il metodo con cui prende decisioni continui a essere affidabile.
Questa prospettiva cambia il significato stesso della sicurezza.
Per molto tempo abbiamo immaginato la cybersecurity come un insieme di barriere: firewall, antivirus, sistemi di autenticazione, strumenti capaci di impedire che qualcosa accadesse. Oggi è sempre più evidente che questi controlli, pur indispensabili, rappresentano soltanto una parte del problema. Nessuna tecnologia è in grado di eliminare completamente l’incertezza. Quello che può fare è rendere il sistema osservabile, permettere di riconoscere un’anomalia, ricostruire una sequenza di eventi, comprendere cosa sia realmente accaduto e decidere sulla base di evidenze anziché di intuizioni.
È esattamente ciò che fanno gli astronomi.
Non cercano soltanto pianeti.
Cercano spiegazioni sufficientemente solide da resistere a tutte le ipotesi alternative.
Voglio pensare che sia questa la lezione che abbiamo imparato dagli esopianeti.
Le decisioni migliori non necessariamente nascono quando troviamo conferme. Nascono quando costruiamo un metodo capace di mettere continuamente in discussione ciò che crediamo di sapere.
Ogni realtà dovrebbe concedersi, ogni tanto, il lusso di una domanda scomoda.
E se ci stessimo sbagliando?