Non è una rassegna, ma uno sguardo: lo stesso fenomeno tra cultura, norme e pratica

CrowdStrike e il giorno in cui la sicurezza ha fermato il mondo

Il 19 luglio 2024 milioni di computer Windows in tutto il mondo hanno smesso di funzionare. A fermare aeroporti, ospedali, banche e trasporti non è stato un attacco informatico, ma un aggiornamento difettoso di un software di sicurezza distribuito da CrowdStrike.

L’episodio ha mostrato qualcosa che spesso diamo per scontato. La cybersecurity non è più soltanto un sistema di difesa: è diventata parte dell’infrastruttura che permette alle organizzazioni di operare.

Quando la sicurezza si interrompe, non si ferma solo la protezione.

Si ferma il lavoro.

Zero Trust: la fiducia non si concede, si verifica

Per molto tempo le reti aziendali sono state costruite su un presupposto semplice: una volta entrati, ci si poteva fidare.

Lo sviluppo del cloud, del lavoro remoto e delle identità digitali ha cambiato completamente questo paradigma.

Da qui nasce il modello Zero Trust, sintetizzato in una frase tanto semplice quanto rivoluzionaria:

Never trust, always verify.

La parte interessante è che Zero Trust non elimina la fiducia.

La trasforma.

Non la considera un punto di partenza, ma il risultato di verifiche continue, identità robuste e controlli costanti.

In fondo, è lo stesso principio su cui si fondano tutte le infrastrutture affidabili: non presumere che qualcosa sia sicuro, ma essere sempre in grado di dimostrarlo.

Countdown to Zero Day – Kim Zetter

Nel 2010 un malware riuscì a sabotare le centrifughe dell’impianto nucleare iraniano di Natanz senza bombardamenti, senza esplosioni e senza che gli operatori se ne accorgessero immediatamente.

Quel malware si chiamava Stuxnet.

In Countdown to Zero Day, la giornalista Kim Zetter ricostruisce una delle vicende più importanti della storia della cybersecurity moderna, mostrando come il software sia diventato uno strumento di geopolitica e come la sicurezza delle informazioni non riguardi soltanto dati e computer, ma infrastrutture, energia, economia e relazioni internazionali.

Più che un libro sugli hacker, è un libro sul momento in cui il mondo digitale ha iniziato a produrre conseguenze nel mondo fisico.

Everything in Its Right Place – Radiohead

Pubblicata nel 2000 come brano di apertura dell’album Kid A, Everything in Its Right Place non parla di cybersecurity.

Eppure, è difficile ascoltarla senza pensare a Mr. Robot, la serie che più di ogni altra ha raccontato la sicurezza informatica come una questione di persone, identità e fiducia, prima ancora che di computer e codice.

Forse è proprio questo il collegamento più interessante.

La cybersecurity non inizia quando compare un malware.

Inizia molto prima, nel momento in cui ci chiediamo di cosa possiamo fidarci, come riconosciamo ciò che è autentico e quali sistemi costruiamo per continuare a verificarlo.

Le norme cambiano quando cambia il modo di guardare un problema.

Per questo, anche quando parlano di energia, sostenibilità o cybersecurity, finiscono spesso per raccontare la stessa storia. Negli ultimi mesi il legislatore europeo sembra convergere su un’idea precisa: non basta più raccogliere dati, bisogna poterli comprendere, verificare e utilizzare per prendere decisioni affidabili. È il segno che il dato sta diventando, sempre più, un’infrastruttura di fiducia.

L’efficienza energetica diventa una questione di conoscenza

Per molto tempo il consumo di energia è stato letto soprattutto come un costo. La Direttiva (UE) 2023/1791 sull’efficienza energetica introduce una prospettiva diversa, chiedendo alle imprese ad alta intensità energetica di conoscere in modo strutturato i propri consumi e di utilizzarli per pianificare il miglioramento.

Le prime scadenze operative dell’11 ottobre 2026 e dell’11 ottobre 2027 riguardano diagnosi energetiche, piani di attuazione e sistemi di gestione dell’energia per le organizzazioni che superano le soglie di 10 TJ e 85 TJ di consumo medio annuo.

La parte interessante è che il legislatore non chiede semplicemente di consumare meno energia. Chiede di conoscere come l’energia viene utilizzata, trasformando un dato tecnico in uno strumento di governo capace di orientare investimenti, priorità e strategie aziendali.

Anche i rating devono diventare trasparenti

Negli ultimi anni i rating ESG hanno assunto un peso crescente nelle decisioni di investitori, banche e grandi clienti. Il Regolamento (UE) 2024/3005, applicabile dal 2 luglio 2026, interviene proprio su questo punto, introducendo regole comuni per i fornitori di rating ESG e rafforzando i requisiti di trasparenza sulle metodologie, sulle fonti dei dati e sulla gestione dei conflitti di interesse.

Il cambiamento è significativo perché sposta l’attenzione dal punteggio al modo in cui quel punteggio viene costruito. In fondo, un dato è davvero utile soltanto quando è possibile comprenderne l’origine, verificarne l’affidabilità e valutarne i limiti. È questo che rende credibile un’informazione, prima ancora del risultato che rappresenta.

La cybersicurezza entra definitivamente nella governance

Per anni la sicurezza delle informazioni è stata considerata una responsabilità quasi esclusivamente tecnica. Con il D.Lgs. 138/2024, che recepisce la Direttiva NIS2, e con l’aggiornamento delle FAQ dell’Agenzia per la Cybersicurezza Nazionale del 14 luglio 2026, emerge invece un principio molto chiaro: la fiducia digitale dipende anche dalla qualità delle decisioni del vertice aziendale.

Gli amministratori sono chiamati a comprendere i rischi cyber, approvare le misure di protezione, ricevere informazioni periodiche e verificare che la gestione della sicurezza sia realmente efficace. La conformità non si dimostra più soltanto attraverso documenti tecnici, ma anche attraverso decisioni, verbali e flussi informativi che testimoniano come il rischio venga governato.