In Skyfall il disastro non arriva con un’esplosione. Arriva con un trasferimento di file. Un disco rigido contenente i nomi degli agenti occidentali sotto copertura passa nelle mani sbagliate, e da quel momento un’organizzazione addestrata a difendersi da armi, bombe e killer professionisti si scopre vulnerabile su un fronte diverso: i propri dati.
È una scelta narrativa curiosa per una saga costruita su inseguimenti e sparatorie. Ed è anche un buon punto di partenza per una domanda che ogni organizzazione, prima o poi, si trova davanti: stiamo proteggendo tutto ciò che conta, o solo le minacce che abbiamo imparato ad aspettarci? È la funzione della valutazione del rischio. Non serve a confermare che i pericoli noti siano sotto controllo, quelli di solito lo sono già, ma a far emergere ciò che non stiamo guardando, perché è da lì che tendono ad arrivare i problemi più seri. L’MI6 difendeva benissimo ciò che aveva sempre considerato un bersaglio. Il colpo è arrivato da un punto che non figurava tra le minacce attese.
Il valore che non compare a bilancio
Valutazione del rischio — NIS2 art. 21 · ISO/IEC 27001 cl. 6.1
Un’agenzia di intelligence ha la propria forza nelle informazioni. Sa chi opera dove, sa cosa sta per accadere, sa più dell’avversario. Quella conoscenza non ha un valore contabile, ma è l’asset centrale dell’organizzazione: tutto il resto, uomini, mezzi, budget, serve a produrla e a proteggerla.
Lo stesso vale per buona parte delle imprese di oggi. Un’azienda manifatturiera che digitalizza la produzione, una società di servizi che lavora sui dati dei clienti, una banca la cui operatività dipende ormai in misura crescente dai propri sistemi informativi: in tutti questi casi il patrimonio operativo non è fatto solo di capannoni o di liquidità, ma anche di informazioni che devono restare accurate, accessibili e protette. È un valore che nessun conto economico mostra in modo diretto, e che per questa stessa ragione rischia di restare in secondo piano fino al momento in cui qualcosa si inceppa.
In Skyfall il conto arriva nel modo peggiore: gli agenti, uno dopo l’altro, vengono individuati. Il dato compromesso non aveva fatto rumore al momento del furto. Si è fatto sentire dopo.
Tre modi diversi di perdere lo stesso dato
Riservatezza, integrità, disponibilità e tracciabilità — ISO/IEC 27001 Annex A (A.8.15 Logging) · GDPR art. 32
Vale la pena osservare come l’informazione viene compromessa nel film, perché non accade in un modo solo. Prima i nomi finiscono a chi non dovrebbe averli: l’accesso a un’informazione riservata viene violato. Poi l’antagonista fa qualcosa di più insidioso del semplice impossessarsene: la manipola, la altera, la usa contro chi l’aveva prodotta, così che il dato non corrisponde più a ciò che era. Infine, nell’attacco informatico all’agenzia, i sistemi vengono resi inservibili nel momento decisivo: l’informazione esiste ancora, ma è irraggiungibile proprio quando servirebbe.
Sono tre fallimenti distinti, e la distinzione non è teorica. Un’organizzazione può proteggersi bene dal primo e restare esposta al secondo o al terzo. Impedire che un dato venga visto da chi non deve è un problema diverso dal garantire che quel dato sia corretto, e diverso ancora dal garantire che sia disponibile quando occorre decidere. La sicurezza delle informazioni nasce esattamente da questa separazione: riservatezza, integrità e disponibilità sono tre obiettivi che richiedono misure diverse e non si risolvono con un’unica contromisura. È la ragione per cui uno standard come la ISO/IEC 27001 non parla genericamente di “proteggere i dati” ma affronta i 3 obiettivi come problemi da trattare uno per uno. A questi se ne aggiunge spesso un quarto, meno intuitivo: poter ricostruire chi ha inserito o modificato un’informazione, e quando – quella tracciabilità senza la quale, davanti a un dato sbagliato, non si riesce nemmeno a capire dove, chi, quando, come o perché.
La scena che conta davvero
Responsabilità degli organi di vertice — NIS2 art. 20 · GDPR artt. 5(2) e 24
Il momento più rilevante di Skyfall, per chi guida un’organizzazione, non è uno scontro a fuoco. È un interrogatorio. M viene convocata davanti a una commissione e deve rendere conto di quanto è accaduto: spiegare perché, sotto la sua direzione, l’agenzia ha perso il controllo delle proprie informazioni.
La scena sottolinea un aspetto che è facile perdere di vista. La responsabilità di un fallimento dei sistemi non resta dove i sistemi vengono amministrati materialmente. Riguarda anche chi ha il potere di decidere come l’organizzazione è strutturata e dove indirizza le proprie risorse. È una logica che il legislatore europeo ha recepito nella direttiva NIS2, ponendo la gestione del rischio informatico tra le responsabilità degli organi di amministrazione, chiamati ad approvare le misure e a vigilare sulla loro attuazione: non un tema da delegare per intero agli uffici tecnici, ma una questione di governo dell’organizzazione. Vale la stessa logica della commissione che interroga M: chi ha il potere di decidere è anche chi può intervenire prima che qualcosa vada storto.
Il punto non è cercare un colpevole. Quando un sistema si guasta, l’istinto è guardare all’ultimo che lo ha toccato, ma raramente è quella la persona che ha potuto scegliere se investire in un controllo, se tollerare un’eccezione, se rimandare un aggiornamento. La domanda utile non è chi ha premuto il tasto sbagliato, ma chi era nella posizione di rendere quel tasto meno pericoloso.
Il nemico che era già dentro
Gestione e riesame degli accessi — ISO/IEC 27001 A.5.15 e A.5.18 · notifica violazioni GDPR artt. 33-34
C’è un dettaglio di Skyfall che dice più di molte considerazioni teoriche: l’antagonista non sfonda nessuna porta. È un ex uomo dell’organizzazione, qualcuno che il sistema aveva accolto, formato e autorizzato a suo tempo. La minaccia non arriva dall’esterno, ma da un accesso che un tempo era pienamente legittimo.
È un promemoria utile contro un’idea intuitiva ma parziale: quella per cui la sicurezza si gioca soprattutto sul perimetro, sul tenere fuori gli estranei. Una parte non trascurabile del rischio, nelle organizzazioni, vive all’interno: permessi concessi e mai aggiornati, credenziali di chi ha cambiato ruolo, accessi che restano attivi molto dopo aver smesso di servire. Non è una questione di sfiducia verso le persone, ma di igiene dei sistemi. Per questo un buon sistema di gestione non si limita a stabilire chi può entrare, ma prevede che gli accessi vengano riesaminati nel tempo: un’autorizzazione corretta nel momento in cui viene concessa non lo resta automaticamente per sempre.
La domanda da portarsi fuori dal cinema
Skyfall non si chiude con un sistema reso finalmente inviolabile. Si chiude con un’organizzazione che ha smesso di considerarsi al sicuro e che, paradossalmente, è la condizione più vicina alla sicurezza reale. Il problema dell’MI6 non era tecnico. Era di prospettiva: aveva continuato a presidiare le minacce di sempre mentre il rischio si spostava su un terreno meno sorvegliato.
C’è una storia, dai tempi della Seconda guerra mondiale, che cattura bene questo meccanismo. Gli aerei alleati tornavano dalle missioni crivellati di colpi su ali e fusoliera, e l’istinto dei comandi era rinforzare proprio quelle zone, le più danneggiate. Lo statistico Abraham Wald, che analizzava quei dati per un gruppo di ricerca americano, arrivò alla conclusione opposta. Gli aerei esaminati erano soltanto quelli rientrati: i fori che mostravano indicavano i punti in cui un aereo poteva essere colpito e tornare comunque. Le zone da rinforzare erano semmai quelle intatte, motori e cabina, perché gli aerei colpiti lì non rientravano affatto, e per questo non comparivano nei dati. Si difendeva ciò che si vedeva, trascurando ciò che, proprio perché fatale, non lasciava traccia.
È lo stesso punto cieco che vale la pena cercare in qualunque organizzazione. La domanda da farsi non è “quanto sono protetti i nostri sistemi”, che genera risposte rassicuranti e poco utili. È piuttosto: quale parte della nostra infrastruttura stiamo dando per acquisita solo perché finora non ci ha mai dato problemi? Quali accessi non rivediamo da tempo, quali dati assumiamo corretti senza verificarlo, quale rischio trascuriamo perché somiglia troppo poco a quello da cui ci siamo sempre difesi? L’MI6 avrebbe risposto con sicurezza, fino al fotogramma di quel disco rigido che ha cambiato tutto.