La faccenda Revolut ha fatto molto discutere analisti e curiosi della vicenda. Come alcuni hanno notato, alla base del problema, vi è però un concetto di “fiducia mal riposta”. Revolut sembrerebbe essersi fidata di una PEC che riteneva originale e autentica e, sulla base di quella, ha agito senza indugi.
Alcuni analisti hanno notato questa criticità e l’hanno immediatamente fatta notare: è possibile che, nel 2026, dati così delicati vengano forniti a seguito di una semplice PEC? Senza ulteriori verifiche, senza utilizzare sistemi dedicati, senza adottare meccanismi atti a verificare l’identità del mittente (perché le PEC non certificano l’identità del mittente, le REM sì) e senza una telefonata?
A quanto pare sì, è possibile e forse questo dovrebbe dare una svegliata a tutti quei tecnoentusiasti che pensano che la sicurezza passi esclusivamente dagli strumenti e non dai processi. Se una procedura di verifica fosse stata attuata, oggi non avremmo avuto il caso Revolut, così come nel 2020 non ci sarebbe stato il caso Twitter. Quindi ancora una volta ci troviamo a parlare di cybersecurity, senza parlare di cybersecurity: si affollano le discussioni sulla PEC, su SPID, sulle VPN, sulla cifratura, ma pochi pensano che per arrivare a scegliere ed adottare uno strumento è necessario partire dal disegno di un processo che coordini i flussi tra due o più attori.
Tra le chiacchiere da bar si perde il senso della vicenda: manca un coordinamento e manca una visione strategica complessiva. In un interessante articolo de “La Stampa”, è scritto:
La risposta alla domanda, sempre con il caveat metodologico che si scrive sulla base di quanto oggi si sa, è necessariamente negativa, senza spazio per dubbi o interpretazioni di alcun tipo. E le ragioni sono tante e diverse. […] La prima è di disarmante semplicità: l’ufficio titolare dell’indirizzo di posta elettronica certificata in questione non ha alcuna competenza in relazione alla richiesta dei dati e dei documenti richiesti alla banca
Così non si va da nessuna parte, questo è certo. Possiamo chiedere alle imprese di adottare misure tecniche stellari, livelli di servizio elevatissimi, ma se non si riesce a definire processi sicuri, non si otterrà mai un livello adeguato di cybersecurity. Questo, forse, è anche colpa di questa ipertrofia normativa che porta i soggetti aziendali a compiere il minimo sforzo per evitare di soddisfare una norma e violarne, contemporaneamente, un’altra.
Ingegneria della privacy
Qualche giorno fa, durante una riunione, un importante polo sanitario del nord Italia ha presentato misure di sicurezza installate all’interno del suo perimetro informatico; esistono molti motivi per fare un meeting online come questo, uno è presentare la propria affidabilità a fornitori e istituzioni. Partecipavano una ventina di uditori di varia natura: c’erano rappresentanti della pubblica amministrazione, c’erano fornitori di software, hardware e quanto altro e lo scopo era mostrare la “ferramenta appena lucidata”.
Durante la riunione, dopo una prima ora di presentazione da parte dei fornitori e dei tecnici, è stato dato spazio alle domande e lì si è scoperchiato un vaso di pandora. Niente piano di gestione dei rischi, niente piano di disaster recovery, nessuna procedura di restore ma solo una lieve descrizione del processo di backup, nessun piano di continuità operativa. Tutto è lucido ma niente è pronto per un utilizzo reale perché nessuno, in quei mesi, ha pensato a cosa fare se fosse accaduto un incidente, nessun fornitore ha scritto più di qualche riga d’inventario e di configurazione.
Così, quando si leggono casi come Revolut, che giustamente molti trovano interessanti, altri li guardano con stanchezza e vanno oltre perché li ritengono di una drammatica regolarità e confermano atteggiamenti in corso da anni dai quali non ci si riesce a liberare.
Conclusioni
Prima vengono i processi, poi viene la tecnologia. Prima vengono le regole, poi vengono gli strumenti. Prima viene il metodo, poi l’uso degli apparati e dei software. Se non si arriva a comprendere veramente questa caratteristica, sarà inutile sperare di risolvere dinamiche come quelle sopra descritte. Inoltre tale attività deve essere un lavoro congiunto tra tecnici, giuristi e manager: l’istituzione di nuovi processi è un’attività complessa che deve essere approcciata nella sua interezza.
Comprendere le norme significa maturare un approccio sistemico ai problemi: approcciarli da più versanti, secondo gli obiettivi che si desidera risolvere.
