La cybersecurity fallisce perché rincorre i sintomi: solo eliminando le cause alla radice possiamo costruire un digitale davvero sicuro e sostenibile

Greg van der Gaast è uno stratega di cybersecurity che ha trasformato una vita iniziata nell’hacking adolescenziale — con incursioni in sistemi altamente sensibili e un passato da operatore sotto copertura del governo statunitense — in una missione globale: mostrare che i problemi di sicurezza non nascono dalla tecnologia, ma dal modo in cui le organizzazioni pensano, decidono e collaborano. Dopo una carriera che lo ha portato dal ruolo di consulente a quello di Chief Information Security Officer, oggi guida Sequoia Consulting aiutando leader e consigli di amministrazione a riposizionare la sicurezza come una funzione di qualità capace di ridurre il rischio, eliminare inefficienze e migliorare il funzionamento stesso dell’organizzazione. Il suo lavoro parte da una convinzione radicale: per creare sistemi davvero sicuri, dobbiamo prima cambiare le persone e le strutture che li governano.

Talk Tradotto

L’EQUIVOCO

La mia carriera nella cybersecurity è iniziata quando avevo 16 anni, quando mia sorella tornò a casa con una copia a noleggio di un film.

Per me quel film fu affascinante. Subito dopo corsi in camera mia, mi misi al computer e iniziai a studiare come funzionava tutta quella tecnologia e come, a volte, fosse possibile farle fare cose che non avrebbe dovuto fare.

Diventai piuttosto bravo. Così bravo che, circa un anno e mezzo dopo, finii per violare i sistemi di una struttura per armi nucleari, che aveva appena fatto esplodere cinque bombe atomiche sotterranee come parte di alcuni test, e per rubarne i dati di ricerca.

Questo mi rese molto popolare presso diverse agenzie — l’FBI, la NSA, la DIA e la CIA. In effetti, poco dopo il governo degli Stati Uniti si presentò a casa mia e mi fece un’offerta di lavoro che non potevo rifiutare. Furono piuttosto chiari sulla parte del “non potevo rifiutare”.

Questo mi portò a lavorare in un ruolo sotto copertura per il Dipartimento della Difesa per i tre anni successivi.

Ancora oggi, quel background di 25 anni fa è ciò che spinge le persone a contattarmi per consulenze o per invitarmi a parlare a eventi — a vedermi come un esperto su come mettere in sicurezza le loro organizzazioni.

Sembra logico, ma c’è un problema.

La vostra organizzazione non è un computer.

E la sovrapposizione di competenze tra violare un computer e rendere sicura un’organizzazione è molto più limitata di quanto si pensi.

Ciò che voglio davvero condividere — ciò che ha più valore — è quello che ho imparato nei 25 anni successivi: perché la sicurezza non funziona e come possiamo davvero ottenere il risultato della sicurezza.

GESTIONE DEL RISCHIO?

La sicurezza riguarda la riduzione del rischio. Ma la affrontiamo in un modo davvero strano. Nessun altro lo fa così, e tutti gli altri ottengono risultati migliori.

Immaginate di essere un produttore di aeromobili. Progettate un nuovo aereo, iniziate a produrlo, ne costruite qualche centinaio e li vendete a compagnie aeree in tutto il mondo.

Dopo un paio d’anni, una di queste compagnie vi contatta per dirvi che ha scoperto che i bulloni che tengono fissate le ali si allentano durante il volo.

È ovviamente un problema, perché col tempo potrebbero allentarsi abbastanza bulloni da far staccare un’ala a metà volo, mandando l’aereo e tutte le persone a bordo a schiantarsi al suolo — ciò che l’industria aeronautica definirebbe una “esperienza negativa per i passeggeri”.

Quindi bisogna fare qualcosa. Ma cosa?

Costruiamo officine in ogni aeroporto da cui questi aerei operano. Riempiamole di ingegneri. Forniamoli di attrezzi. Poi, tra ogni atterraggio e decollo, mettiamo l’aereo in officina per un’ora, così quegli ingegneri potranno trovare e stringere quanti più bulloni possibile.

Rallenterebbe tutto. Sarebbe costoso. Il costo crescerebbe con la flotta. Creerebbe nuove complicazioni e ulteriore overhead.

Ma ridurrebbe il rischio!

Gestione del rischio!

La prima volta che raccontai questa analogia a un collega, mi fermò quasi subito e disse: «No, non lo faresti. È stupido!»

E ovviamente aveva perfettamente ragione.

È assurdo. Ma nella cybersecurity, questa è la normalità.

È così che funziona la maggior parte della cybersecurity.

Mitighiamo i problemi senza mai chiederci come siano nati e senza affrontarne la causa.

Nessun altro settore maturo lavorerebbe in questo modo. Quindi come farebbe l’aviazione?

Chiederebbe: perché i bulloni si allentano? È un difetto di progettazione? Un problema metallurgico? Un effetto dell’espansione termica? Tolleranze di foratura insufficienti? Un problema di approvvigionamento? Un errore nelle specifiche?

Indagherebbero sulla causa, la correggerebbero, migliorerebbero il componente se necessario e inizierebbero a costruire correttamente tutti i nuovi aerei.

Poi valuterebbero la flotta esistente e stabilirebbero che era più conveniente aggiornare gli aerei già in servizio, dato che avevano ancora 10 o 15 anni di vita operativa davanti.

E il problema sparirebbe. Niente più rischio. Niente più costi per gestire quel rischio.

E analizzando ciò che lo aveva causato, avrebbero imparato qualcosa di prezioso su fissaggi, materiali, controllo qualità o magari approvvigionamenti — rendendo meno probabile ripetere lo stesso errore in futuro.

È per questo che, nel tempo, il tasso di incidenti nell’aviazione segue una curva in costante diminuzione.

Ed è lo stesso nella manifattura, nell’automotive, nello shipping, nel settore oil & gas, nella sanità — in quasi ogni settore maturo.

Nel frattempo, nella cybersecurity, facciamo l’opposto.

Affrontiamo solo i sintomi a valle.

E di conseguenza, gli incidenti continuano a crescere.

L’EPIFANIA

Negli anni abbiamo speso trilioni nella cybersecurity. Ogni anno spendiamo più dell’anno precedente, eppure il numero di incidenti continua ad aumentare.

Quando spendi così tanto denaro su un problema, ti aspetti che il problema migliori.

Ma non sta migliorando.

Sta peggiorando.

E il motivo è molto semplice.

Se c’è una cosa che vorrei tutti portassero con sé da ciò che ho imparato sulla cybersecurity, è questa:

Le vulnerabilità che ci rendono suscettibili agli attacchi sono difetti.

Sono difetti di qualità.

Possono essere difetti nel codice. Difetti di configurazione. Difetti di architettura. Fallimenti nella pianificazione del ciclo di vita. Scelte di implementazione sbagliate.

O, ancora più in profondità, possono essere difetti nel modo in cui l’organizzazione stessa opera.

Nel modo in cui è divisa la responsabilità. Nel modo in cui viene assegnata l’accountability. Nel modo in cui i reparti prendono decisioni in isolamento. Nel modo in cui gli incentivi premiano il risparmio a breve termine invece della resilienza a lungo termine. Nel modo in cui i costi vengono misurati in modo ristretto anziché olistico.

Quando comprendiamo che i problemi di sicurezza sono, nella loro essenza, problemi di qualità, tutto cambia.

Perché invece di perderci nei sintomi, possiamo iniziare ad applicare quasi un secolo di conoscenza comprovata sulla gestione della qualità.

La mia metodologia di consulenza attinge fortemente dal Toyota Production System.

A prima vista può sembrare strano. Dopotutto, è stato sviluppato per produrre automobili.

Ma pensate a cosa fa realmente.

È un sistema progettato per creare risultati di qualità costantemente elevata, riducendo gli errori, migliorando il flusso, correggendo le cause e imparando continuamente.

E questo vale tanto per il software, le operazioni, il decision-making, la governance e il design organizzativo quanto per la produzione di automobili.

Perché i problemi di sicurezza non compaiono per magia.

Sono il risultato a valle di decisioni, compromessi, errori, incentivi e sistemi deboli a monte.

Più alta è la qualità di quei sistemi a monte, meno difetti generano. E meno difetti generano, meno vulnerabilità avrete.

Quindi, invece di affidarci solo alla mitigazione del rischio guidata dalla tecnologia, dovremmo usare anche approcci come il pensiero Lean, il Six Sigma e uno degli strumenti più potenti di tutti:

I Cinque Perché.

Un metodo anch’esso associato a Toyota.

Si inizia chiedendo cosa ha causato il problema. Qualcuno vicino al problema dice: «È successo questo». Poi si chiede: perché è successo? Loro spiegano. Poi si chiede di nuovo: perché? E ancora. E ancora.

E al quinto “perché”, ciò che sembrava una vulnerabilità tecnica spesso si rivela non essere affatto un problema tecnico.

Può essere un problema di approvvigionamento. Di ownership. Di budget. Di incentivi. Di comunicazione. O un problema di leadership che porta le persone a lavorare in modi che rendono il fallimento inevitabile.

ABBIAMO INCONTRATO IL NEMICO

Qui ho un’immagine del disastro del traghetto di Zeebrugge del 1987, in cui una nave si capovolse e persero la vita 193 persone.

Per ragioni di tempo non entrerò nei dettagli, ma quando una nave affonda e gli investigatori producono un rapporto, le conclusioni si concentrano quasi sempre su una o più di queste quattro aree:

• come la nave è stata progettata;
• come è stata costruita;
• come è stata mantenuta;
• come è stata operata.

La causa si trova sempre in uno di questi ambiti.

Nessun rapporto attribuisce mai la colpa semplicemente all’acqua.

Non conclude mai che l’acqua che entrava fosse inevitabile.

Perché?

Perché sappiamo come costruire navi.

Quindi, quando una nave affonda, comprendiamo che qualcosa è fallito nel modo in cui l’abbiamo progettata, costruita, mantenuta o operata.

Ci assumiamo la responsabilità.

Non diamo la colpa all’acqua.

Ecco una statistica assurda.

Più del 99,99% delle violazioni di sicurezza coinvolge una vulnerabilità che non solo era già conosciuta, ma per la quale esisteva già una soluzione.

E in una percentuale significativa di casi, quella soluzione era disponibile non da giorni o settimane, ma da ben oltre un anno — spesso da anni.

Sappiamo come costruire sistemi sicuri, proprio come sappiamo costruire navi sicure.

Ma troppo spesso, non lo facciamo.

Non lo facciamo per il pensiero a breve termine. Perché gli incentivi premiano la velocità percepita invece della qualità. Perché l’ownership è frammentata.

E nel tempo abbiamo creato un modello strano.

Le funzioni di sicurezza sono diventate funzioni di mitigazione tecnica — concentrate su strumenti, alert, controlli e sintomi a valle.

Nel frattempo, i problemi di qualità a monte che generano le vulnerabilità restano intatti.

Allo stesso tempo, molte funzioni IT e di delivery hanno pochi incentivi a migliorare la qualità alla fonte, perché i difetti verranno gestiti da qualcun altro più avanti.

Così abbiamo creato involontariamente un sistema che perpetua — e spesso amplifica — proprio il problema che avrebbe dovuto risolvere.

---

RIPENSARE IL VALORE

Uno dei motivi per cui questo comportamento continua è un enorme equivoco sul costo della cybersecurity.

La cybersecurity è spesso vista come un centro di costo.

E se tutto ciò che facciamo è aggiungere controlli, strumenti, monitoraggio e mitigazioni, questa percezione è comprensibile.

Ma è incompleta.

Perché ogni disciplina ingegneristica al mondo sa già una cosa fondamentale:

Risolvere i problemi alla fonte non è solo più efficace. È anche più conveniente.

La cybersecurity non fa eccezione.

Vi faccio un esempio.

Qualche anno fa abbiamo lavorato con un’azienda SaaS la cui applicazione aveva un elevato numero di vulnerabilità.

La risposta tradizionale sarebbe stata costruire o ampliare una funzione di application security. Revisionare il codice. Scannerizzare il codice. Rimandarlo indietro. Rifarlo. Aggiungere gate. Aggiungere attrito. Aggiungere costi. Rallentare la delivery.

Non abbiamo fatto nulla di tutto ciò.

Ci siamo invece concentrati a monte.

Abbiamo ristrutturato il dipartimento di ingegneria. Abbiamo cambiato la leadership. Abbiamo allontanato alcune persone che stavano danneggiando le performance. E abbiamo inserito persone che sapevano cosa significasse “fare bene”.

I risultati sono stati straordinari.

In un anno, le vulnerabilità sono diminuite dell’87%.

Molto più di quanto probabilmente avremmo ottenuto con i soli strumenti.

Ma i benefici non si sono fermati lì.

Le applicazioni funzionavano meglio. Avevano meno bug. Erano più fluide da usare. Meno macchinose.

I tassi di rinnovo dei clienti sono aumentati, e con essi i ricavi.

Il turnover del personale in ingegneria è crollato, perché le persone non erano più intrappolate a mantenere sistemi di bassa qualità.

E il beneficio più grande — quello che nemmeno noi ci aspettavamo completamente — è stato questo:

Codice migliore è anche codice più efficiente.

Richiede meno potenza di calcolo. Meno potenza di calcolo significa meno consumo energetico.

E la loro bolletta cloud è diminuita di 2,3 milioni di euro al mese.

Quasi 30 milioni di euro di risparmio all’anno.

Quello che era stato presentato come un problema di sicurezza si è rivelato un’opportunità di efficienza operativa.

In un altro caso, una grande organizzazione europea che stava indagando su una violazione — chiedendosi perché fosse accaduta e perché non fosse stata in grado di fermarla — ha scoperto 150 milioni di sterline all’anno di inefficienze IT.

Questa è la verità nascosta.

La sicurezza appare come un centro di costo solo quando continuiamo a pagare per gestire i sintomi.

Quando affrontiamo le cause profonde, accadono due cose.

Primo, il bisogno di spesa per la sicurezza a valle inizia a diminuire.

Secondo, quelle stesse cause profonde spesso rivelano enormi sprechi, attriti, inefficienze e valore perso in altre parti del business.

Se fatta correttamente, quindi, la cybersecurity non riguarda solo la riduzione del rischio.

Può diventare una leva per migliori performance, costi più bassi e risultati di business più solidi.

LA STRADA DA QUI IN POI

Quindi, da dove ripartiamo?

Per prima cosa, dobbiamo capire che la cybersecurity non è fondamentalmente un problema tecnologico.

La tecnologia è il luogo in cui molti sintomi emergono, ma le cause stanno quasi sempre più in profondità.

Stanno nel design. Negli incentivi. Nell’ownership. Nel decision-making. Nella leadership. Nel modo in cui le organizzazioni bilanciano velocità, costi, qualità e responsabilità.

Il problema è più ampio della tecnologia, più profondo della tecnologia — e, per molti versi, più semplice da comprendere della tecnologia.

Secondo, dobbiamo smettere di vedere la sicurezza solo come un costo o un peso.

È anche una straordinaria opportunità.

I problemi di sicurezza sono segnali.

Sono segnali diagnostici estremamente significativi che ci aiutano a individuare debolezze nascoste nel modo in cui un’azienda opera.

Processi deboli. Governance inefficace. Ownership frammentata. Debito tecnico. Sprechi. Inefficienze.

In molti casi, i problemi di sicurezza sono il primo segnale visibile che questi problemi esistono.

La cybersecurity oggi è, per molti versi, uno studio di caso su cosa accade quando perdiamo di vista il vero problema che stiamo cercando di risolvere.

Quando ci affezioniamo agli strumenti invece che ai risultati. Quando l’ideologia sostituisce il pensiero. Quando incentivi sbagliati premiano l’attività invece del progresso. Quando strutture sbagliate perpetuano il fallimento. E quando le risorse vengono indirizzate ripetutamente verso i sintomi mentre le cause continuano a crescere sotto la superficie.

Oggi la cybersecurity costa sempre di più ogni anno.

Spendiamo di più in mitigazione. Aggiungiamo complessità. Assumiamo più specialisti.

Eppure, in molte aree, i risultati continuano a peggiorare.

Non è una strada sostenibile.

Eppure, continuiamo ad accelerare lungo di essa.

A Einstein viene spesso attribuita la frase secondo cui la follia consiste nel fare sempre la stessa cosa aspettandosi un risultato diverso.

Che l’abbia detta davvero o no, il principio è valido.

E va ben oltre la cybersecurity.

Perché questo, in realtà, è un talk su qualcosa di più grande.

È sull’importanza di fermarsi. Di mettere in discussione le assunzioni. Di chiedersi perché. Di rifiutare di confondere l’attività con il progresso. E di vedere il quadro generale con sufficiente chiarezza da risolvere il vero problema, invece di reagire solo ai sintomi visibili.

Se riusciremo a farlo — nella cybersecurity, nel business e nella vita — potremmo risolvere molto più di quanto immaginiamo.