Sicurezza delle informazioni · dal 1995
È l'unica domanda che mi fanno. Quasi sempre con queste parole. Arriva da un amministratore delegato prima di una decisione delicata, da un consiglio di amministrazione che su questi temi non ha nessuno di cui fidarsi davvero, da una persona nota a cui sta per uscire qualcosa che non doveva uscire. Con la tecnologia c'entra poco.
Le decisioni che contano non si prendono più senza qualcuno che sappia leggere il rischio informatico. È cambiato negli ultimi anni, e non tornerà indietro.
Un consiglio di amministrazione oggi approva investimenti, acquisizioni e fornitori tecnologici che possono valere quanto un bilancio. Un amministratore delegato firma dichiarazioni sulla sicurezza dei dati di cui risponde personalmente. Una persona pubblica gioca la propria reputazione su un file che non doveva circolare. In ognuno di questi casi serve qualcuno di indipendente, che non stia vendendo niente.
Vengo nominato in consiglio come esperto di sicurezza a supporto del CEO, e siedo negli advisory board di grandi aziende. Mi chiamano per aiutare a decidere, non per fare formazione: quando sul tavolo c'è un investimento tecnologico, un'acquisizione, un fornitore critico o un incidente in corso.
Fondi e investitori mi chiedono di verificare se un'azienda tecnologica sa davvero fare quello che dichiara, e se quello che dichiara sta in piedi. È lo stesso esame che porto poi al tavolo di un consiglio.
Su questi temi, attorno a quel tavolo, spesso non c'è nessuno di cui fidarsi davvero, perché quasi tutti hanno qualcosa da vendere. Io, quando siedo lì, non vendo software.
Oggi la responsabilità sulla sicurezza delle informazioni ricade personalmente sui vertici. Non è più una questione di reputazione o di budget: ha un nome e un cognome, e porta la firma di chi comanda.
Prima che un vertice dichiari al mercato, a un'autorità o a un consiglio che i dati sono al sicuro, qualcuno deve poterlo verificare davvero. Faccio quel controllo, e lo dico anche quando la risposta non piace.
Mi occupo anche della riservatezza di persone esposte pubblicamente: volti noti, parlamentari, imprenditori, artisti. Come lavoro in questi casi
Sono un esperto di sicurezza informatica. Siedo in consigli di amministrazione e advisory board come voce indipendente a supporto dell'amministratore delegato. Proteggo la riservatezza di persone esposte pubblicamente. Verifico, per fondi e investitori, se un'azienda tecnologica sa davvero fare quello che dichiara. E tengo corsi e seminari per le prime linee aziendali.
È un modello in cui la protezione sta dentro il dato invece che nell'infrastruttura che lo contiene. Resta cifrato ovunque venga copiato, inoltrato o archiviato: per chi ha le chiavi non cambia nulla, per chiunque altro il contenuto è matematicamente inaccessibile. È il principio dei miei brevetti, e l'ho messo per iscritto per la prima volta il 22 marzo 2006.
Le piattaforme cloud cifrano i dati, ma a cifrare è la piattaforma, non il dato: quindi li decifra per chiunque consideri autorizzato. Un agente che agisce a nome di un dipendente è, per il sistema, quel dipendente. Legge tutto in chiaro in pochi secondi, senza generare alcun allarme. L'ho dimostrato dal vivo davanti a una platea di responsabili della sicurezza.
Sempre meno, se insegna a riconoscere l'artefatto. La formazione classica addestra a notare il collegamento strano, il mittente sbagliato o l'errore di ortografia: segnali che l'intelligenza artificiale generativa ha cancellato, perché oggi quei messaggi sono scritti meglio dei nostri. Quello che continua a funzionare è insegnare il meccanismo. Phishing, smishing e social engineering sfruttano sempre le stesse tre leve: autorità, urgenza, reciprocità. Chi riconosce la leva riconosce anche l'attacco che non ha mai visto prima.
US 12.596.770, concesso negli Stati Uniti il 7 aprile 2026, ed EP 4.427.154, concesso dall'Ufficio Europeo dei Brevetti il 3 settembre 2025 con effetto unitario in diciassette Paesi dell'Unione. Nascono dalla domanda italiana IT 102021000027959 del 3 novembre 2021. Prima ancora, il brevetto statunitense US 11.200.349, concesso nel 2021.
Perché proteggere la rete non basta più, e cosa succede quando un agente AI legge le vostre informazioni. Con la dimostrazione che ho eseguito dal vivo davanti ai responsabili della sicurezza.
Leggi la tesi →Nella verifica guidata non si studia: si controlla. Seguiamo un documento vero della vostra azienda finché non smette di essere protetto, e ne esce una lista di correzioni in ordine di urgenza.
Scopri i tre percorsi →Brevetti depositati e concessi, riconoscimenti internazionali, società, istituzioni. Compresa la domanda del 2006 che non mi sono potuto permettere.
Apri il registro →