Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
La NIS2 è fondamentale, ma la conformità non equivale al controllo. Un sistema può risultare conforme oggi e perdere efficacia domani a causa di cambiamenti, aggiornamenti o derive operative. La vera sicurezza richiede monitoraggio continuo e capacità di verificare che il comportamento resti coerente nel tempo.
È più importante la NIS2 o avere il controllo dei propri sistemi?
La tentazione è rispondere: entrambe. Ma è proprio lì che nasce il problema. Perché una cosa è dimostrare di essere conformi, un’altra è poter dire, senza raccontarsela, che abbiamo ancora davvero il controllo dei sistemi.
Ma allora dove sta il problema?
Non si tratta di una mancanza di competenze o di strumenti, o almeno non sempre. Processi, policy e controlli sono spesso ben definiti, documentati e verificabili ma il punto è un altro e riguarda i sistemi.
I sistemi su cui queste misure sono applicati non sono più statici, evolvono nel tempo, si riconfigurano, integrano componenti eterogenei che cambiano a loro volta e dipendono da catene tecnologiche sempre più articolate.
In questo scenario si apre una zona grigia: quella in cui il sistema risulta conforme… ma non necessariamente sotto controllo.
Il punto è semplice: la conformità fotografa un momento. Il controllo deve sopravvivere al cambiamento.
Questo scarto emerge con particolare evidenza nelle attività di verifica e collaudo, soprattutto quando condotte in contesti operativi non completamente stabilizzati, cosa che peraltro è più o meno la regola in sistemi complessi.
Consideriamo un classico caso di test e collaudo, come sappiamo non è possibile testare tutte le funzionalità in tutti i possibili casi d’uso per cui, di frequente, ci si trova di fronte a sistemi testati in condizioni limitate e talvolta su ambienti temporanei o non rappresentativi di come il sistema sarà messo in esercizio. In questi casi, il risultato della verifica può essere formalmente corretto ma non restituisce una garanzia sul comportamento del sistema nel tempo o a regime. In realtà diventa anche sempre più difficile parlare di comportamento a regime.
Il problema, quindi, non è tanto ciò che il sistema fa nel momento della verifica, ma riguarda ciò che continuerà a fare mentre evolve.
Pensiamo, ad esempio, a un sistema SOC in cui gli alert vengono correttamente generati e gestiti. Cambi una regola di correlazione per ridurre il rumore. Funziona: arrivano meno alert inutili, il cruscotto è più pulito, tutti sono più tranquilli. Solo che, magari, insieme al rumore hai tagliato anche un segnale debole. Il sistema sembra migliore. In realtà vede meno. In pratica il sistema continuerà a funzionare, gli indicatori operativi risultano sotto controllo ma in realtà una parte del comportamento potrebbe non essere più osservata.
Questo porta a una considerazione spesso trascurata: il problema della sicurezza non è più legato solo alla presenza di vulnerabilità, ma alla tenuta delle “promesse di sistema” mentre il sistema stesso evolve, non sempre sotto reale controllo.
Ogni architettura complessa si regge su componenti che si aspettano comportamenti coerenti da altri componenti e su processi che presuppongono condizioni stabili, allo stesso modo i controlli funzionano finché il contesto resta invariato. Queste assunzioni non sono sempre esplicite, ma costituiscono la base reale del funzionamento del sistema.
Il punto è che niente di tutto ciò evolve in modo sincronizzato: aggiornamenti, riconfigurazioni, dipendenze esterne e cambiamenti operativi introducono micro-variazioni continue, talvolta irrilevanti, se prese singolarmente ma capaci di alterare il comportamento globale se prese nel loro insieme.
Un esempio sempre più frequente riguarda i sistemi basati su AI. Un modello può continuare a fornire output coerenti e utili, ma cambiare progressivamente il proprio comportamento a seguito di aggiornamenti del modello, dei dati o delle integrazioni operative, modifiche nei prompt, integrazione con nuovi strumenti o variazioni nelle modalità d’uso. In questi casi non si notano errori evidenti, ma uno scostamento graduale del comportamento del sistema rispetto alle aspettative iniziali.
Il rischio non è quindi l’errore evidente, ma la progressiva perdita di allineamento tra ciò che il sistema dovrebbe fare e ciò che effettivamente fa. È in questa zona che il controllo inizia ad essere più difficile.
Senza capacità di monitoraggio continuo e rilevazione precoce delle anomalie la deriva resta spesso invisibile fino a quando non si manifesta in modo evidente e allora forse è troppo tardi.
In questo contesto il modello tradizionale di sicurezza mostra i suoi limiti.
Per anni abbiamo costruito sistemi di controllo basati su verifiche puntuali: audit, test, certificazioni, collaudi, tutti strumenti fondamentali ma progettati per fotografare lo stato del sistema in un momento specifico, il problema è che oggi quella fotografia invecchia molto più velocemente che non in passato.
Un sistema può risultare conforme al momento della verifica e iniziare a divergere pochi giorni dopo, senza che questo venga immediatamente rilevato. Non per un guasto evidente, ma per effetto cumulativo di quelle variazioni distribuite di cui abbiamo parlato poco fa.
Ed ecco perchè occorre riconsiderare il concetto stesso di controllo e adattarlo ai cambiamenti sopraggiunti e soprattutto alla velocità di cambiamento..
Il controllo non può più essere considerato come una condizione raggiunta e mantenuta ma come una condizione dinamica che richiede osservazione continua e capacità di interpretare il comportamento del sistema nel tempo, giorno per giorno. Ciò implica un cambio di prospettiva: non è più sufficiente verificare che un sistema sia conforme in un determinato momento ma è necessario comprendere come e perché continuerà a comportarsi mentre evolve, mentre chi lo utilizza e chi lo sviluppa lo trasforma a seconda dell’utilità.
La sicurezza, quindi non si esaurisce nella definizione di requisiti o nella loro verifica puntuale, ma si sposta su un terreno più complesso: quello della coerenza nel tempo tra comportamento atteso e comportamento osservato. Questo approccio è coerente con lo spirito della NIS2, che richiede esplicitamente misure di gestione del rischio come processo continuo e non come verifica puntuale.
Ed è proprio su questo terreno che la distanza tra conformità e controllo tende ad ampliarsi.
Il punto non è se un sistema funziona ma se continua a funzionare nel tempo e se siamo in grado di discernere tra le ragioni per cui crediamo che il sistema funzioni. In questo senso la NIS2 rappresenta un passo fondamentale nel rafforzamento della sicurezza e della resilienza delle organizzazioni, ma la NIS2 serve, eccome, ma purtroppo non è sufficiente esibirla come un certificato di laurea appeso al muro. La NIS 2 è utile se ci permette di accorgerci quando non siamo più sicuri!
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/