Prodotto e sicurezza · dal 1995
È la domanda con cui comincia quasi ogni incarico. Quasi sempre con queste parole. Arriva da un amministratore delegato prima di una decisione delicata, da un consiglio di amministrazione che su questi temi non ha nessuno di cui fidarsi davvero, da una persona nota quando qualcosa di privato comincia a girare, da chi sta per costruire un prodotto e deve decidere di chi fidarsi prima della prima riga. Con la tecnologia c'entra poco.
Le decisioni che contano non si prendono più senza qualcuno che sappia leggere il rischio informatico. È cambiato negli ultimi anni, e non tornerà indietro.
Un consiglio di amministrazione oggi approva investimenti, acquisizioni e fornitori tecnologici che possono valere quanto un bilancio. Un amministratore delegato firma dichiarazioni sulla sicurezza dei dati di cui risponde personalmente. Una persona pubblica gioca la propria reputazione su un file che non doveva circolare. Chi costruisce un prodotto prende il primo anno le scelte che al quinto saranno il prodotto. In ognuno di questi casi serve qualcuno di indipendente, che non stia vendendo niente.
La nomina arriva come esperto di sicurezza a supporto dell'amministratore delegato, in consiglio o negli advisory board di gruppi industriali. La chiamata serve ad aiutare a decidere, non a fare formazione: quando sul tavolo c'è un investimento tecnologico, un'acquisizione, un fornitore critico o un incidente in corso. Il mandato in consiglio →
Fondi e investitori chiedono di verificare se un'azienda tecnologica sa davvero fare quello che dichiara, e se quello che dichiara sta in piedi. È lo stesso esame che arriva poi al tavolo di un consiglio. La due diligence tecnologica →
Su questi temi, attorno a quel tavolo, spesso non c'è nessuno di cui fidarsi davvero, perché quasi tutti hanno qualcosa da vendere. Chi siede lì come consigliere indipendente non vende software.
Oggi la responsabilità sulla sicurezza delle informazioni ricade personalmente sui vertici. Non è più una questione di reputazione o di budget: ha un nome e un cognome, e porta la firma di chi comanda.
Prima che un vertice dichiari al mercato, a un'autorità o a un consiglio che i dati sono al sicuro, qualcuno deve poterlo verificare davvero. Quel controllo va fatto da chi non ha interesse all'esito, e messo per iscritto anche quando la risposta non piace.
Un'architettura, un fornitore, le prime assunzioni: si decidono in poche settimane e si portano dietro per anni. Cambiarle con il prodotto in produzione costa più del prodotto.
Oggi il codice arriva più in fretta di quanto venga letto, e le decisioni che contiene le ha prese un modello. Il lavoro è prenderle con chi ne risponde, e mettere insieme il team che le porta avanti. Come si costruisce →
C'è poi la riservatezza di persone esposte pubblicamente: volti noti, parlamentari, imprenditori, artisti. Come si lavora in questi casi
Di sicurezza delle informazioni, dal 1995, in cinque forme. Un posto in consiglio di amministrazione o in advisory board come voce indipendente a supporto dell'amministratore delegato. La riservatezza di persone esposte pubblicamente. La verifica, per fondi e investitori, di quello che un'azienda tecnologica dichiara di saper fare. La direzione tecnica di prodotti che nascono adesso, per fondatori e aziende, team compreso. E due percorsi di formazione per chi custodisce informazioni altrui.
Non esce da quella stanza. L'accordo di riservatezza si firma prima di ricevere qualsiasi documento e vale nelle due direzioni. Su questo sito non compare il nome di un solo cliente, e non comparirà: il lavoro migliore è quello di cui non si è mai saputo niente. Per il primo contatto ci sono tre canali in ordine di riservatezza crescente, fino a un canale cifrato.
Uno, ed è dichiarato. Valerio Pastore è co-fondatore e direttore tecnico di CyberGrant, e i brevetti elencati nel registro pubblico sono suoi. Quando siede in un consiglio quella tecnologia non è fra le opzioni: se una valutazione dovesse arrivare al tavolo, si astiene e chiede che l'astensione risulti a verbale. È la condizione posta prima di accettare un incarico, non dopo.
Le piattaforme cloud cifrano i dati, ma a cifrare è la piattaforma, non il dato: quindi li decifra per chiunque consideri autorizzato. Un agente che agisce a nome di un dipendente è, per il sistema, quel dipendente. Legge tutto in chiaro in pochi secondi, senza generare alcun allarme. È stato dimostrato dal vivo, davanti a una platea di responsabili della sicurezza.
Sempre meno, se insegna a riconoscere l'artefatto. La formazione classica addestra a notare il collegamento strano, il mittente sbagliato o l'errore di ortografia: segnali che l'intelligenza artificiale generativa ha cancellato, perché oggi quei messaggi sono scritti meglio dei nostri. Quello che continua a funzionare è insegnare il meccanismo. Phishing, smishing e social engineering sfruttano sempre le stesse tre leve: autorità, urgenza, reciprocità. Chi riconosce la leva riconosce anche l'attacco che non ha mai visto prima.
Il codice no: spesso è migliore di quello che sostituisce. Il problema è che arriva senza le decisioni che una volta lo precedevano: chi ha scelto dove stanno i dati, come si scala, che cosa succede se il fornitore chiude. Quando nessuno le ha prese, le ha prese il modello, e nessuno le ha firmate. È il lavoro che si fa accanto a chi costruisce, prima che quelle scelte diventino irreversibili.
Perché proteggere la rete non basta più, e cosa succede quando un agente AI legge le vostre informazioni. Con la dimostrazione eseguita dal vivo davanti ai responsabili della sicurezza.
Leggi la tesi →Mantenere un segreto non è una questione di carattere: è una disciplina, e si impara. Nessuno tradisce per malafede: le informazioni escono per cortesia, per vanità, per fretta.
I due percorsi →Brevetti depositati e concessi, riconoscimenti internazionali, società, istituzioni. Compresa la domanda del 2006, lasciata cadere per il costo delle fasi nazionali.
Apri il registro →