Nella scena di apertura di WarGames (1983), due ufficiali in un silo missilistico ricevono l’ordine di lancio. Ognuno ha una chiave; le due serrature sono troppo distanti perché una sola persona possa raggiungerle entrambe. Devono girarle insieme, allo stesso istante. Uno dei due, però, esita: si rifiuta di portare a termine la procedura. Il lancio non parte. È da quel rifiuto che nasce tutto il film ma è anche, senza che il pubblico ci pensi, la rappresentazione perfetta di un principio di sicurezza che oggi usiamo ogni giorno: nessun accesso a un sistema critico dovrebbe dipendere da un solo fattore.
Il “two-man rule” e la segregazione dei poteri
Quella procedura, nota come two-man rule, nasce in ambito militare per il controllo degli armamenti strategici, ma il principio che la sottende è ben noto a chi si occupa di governance aziendale: la segregazione dei compiti, o segregation of duties. Se una singola persona potesse, per errore o per intento doloso, attivare un processo critico senza alcun controllo incrociato, l’intera organizzazione sarebbe esposta a un rischio sistemico. Dividere il potere decisionale tra più soggetti, o tra più fattori di verifica, non è un vincolo burocratico: è una misura di resilienza. È lo stesso principio che guida, in azienda, la separazione tra chi autorizza un pagamento e chi lo esegue, tra chi richiede un accesso e chi lo concede.
Dal bunker all’infrastruttura IT
Nella sicurezza delle informazioni questo principio si traduce nell’autenticazione a più fattori (MFA), oggi requisito imprescindibile per chiunque gestisca dati sensibili, sistemi critici o infrastrutture esposte a rischio cyber. Una password, da sola, è un singolo punto di fallimento: può essere intercettata, indovinata, recuperata da una violazione di dati su un servizio terzo. L’MFA introduce un secondo fattore indipendente, un dispositivo, un token, un dato biometrico, affinché la compromissione di un solo elemento non sia mai sufficiente a garantire l’accesso. Lo stesso principio di indipendenza che rendeva irrinunciabile, nel two-man rule, la distanza fisica tra le due serrature, si traduce qui nella necessità che i fattori di autenticazione viaggino su canali separati.
Un principio che la normativa ha reso obbligo
Quello che un tempo era buona pratica tecnica oggi è, in molti contesti, un obbligo normativo. La direttiva NIS2 impone alle organizzazioni che operano in settori critici l’adozione di misure tecniche e organizzative, tra cui controlli di accesso robusti e autenticazione a più fattori, per la gestione del rischio cyber, con responsabilità che ricadono direttamente sugli organi di amministrazione. Lo standard ISO/IEC 27001 formalizza questo approccio attraverso un sistema di gestione della sicurezza delle informazioni strutturato, che richiede proprio quella segregazione dei ruoli e quella ridondanza dei controlli di cui parlavamo: nessun processo sensibile affidato a un solo soggetto, nessun accesso critico protetto da un solo fattore. Anche il GDPR, nel richiedere misure tecniche e organizzative adeguate a proteggere i dati personali, trova in questi principi una delle sue applicazioni più concrete: un sistema di autenticazione debole, o una gestione degli accessi priva di controlli incrociati, è oggi difficilmente compatibile con gli obblighi di accountability previsti dal regolamento.
Dal principio alla sua applicazione
La scena delle due chiavi resta un’efficace metafora, ma la sua applicazione concreta in azienda richiede competenze specifiche: mappare i processi critici, individuare i punti di accesso a singolo fattore, progettare un modello di governance che distribuisca correttamente responsabilità e controlli, e portare l’organizzazione in conformità con NIS2, ISO 27001 e GDPR attraverso un percorso strutturato di analisi, modellazione e gestione. È un lavoro che unisce competenza tecnica e visione organizzativa, esattamente il terreno su cui un sistema di gestione della sicurezza ben progettato fa la differenza tra una vulnerabilità latente e una resilienza reale.