La sicurezza informatica assoluta non esiste, ma la prevenzione può ridurre in modo significativo la probabilità e l’impatto di un’attacco. È il punto di partenza dell’analisi proposta da Vincenzo Musacchio, giurista e criminologo, intervenuto sul tema della protezione di istituzioni e grandi aziende dagli attacchi informatici e dalle infiltrazioni digitali della criminalità organizzata.
Il fattore umano resta decisivo
Secondo Musacchio, nel cyberspazio chi attacca mantiene il vantaggio dell’iniziativa: può scegliere obiettivo, momento e strumento, mentre chi difende deve proteggere ogni componente della propria infrastruttura. Per questo non è realistico promettere sistemi inattaccabili. La prevenzione, tuttavia, conserva un ruolo centrale: rendere un’attacco più complesso e costoso, così da scoraggiare una parte dei criminali, e preparare l’organizzazione a reagire quando una barriera viene superata.
Nel quadro delineato dall’esperto, il principale punto debole è spesso rappresentato dalle persone. Il fattore umano inciderebbe per oltre l’80 per cento dei casi di violazione dei dati, attraverso tecniche di manipolazione come phishing mirato e vishing. Fretta, distrazione, paura o fiducia eccessiva possono spingere un dipendente ad aprire un’allegato dannoso o a consegnare le proprie credenziali. Anche sistemi avanzati di protezione possono quindi essere aggirati da un comportamento imprudente. La formazione continua e una diffusa cultura della sicurezza vengono indicate come strumenti essenziali, da applicare a ogni livello dell’organizzazione.
Resilienza e gestione del rischio
La minaccia, secondo l’analisi, non è più riconducibile soltanto all’hacker isolato. Il cybercrime viene descritto come un’industria criminale globale, talvolta collegata a gruppi mafiosi transnazionali o sostenuta da Stati. Tra i fenomeni citati c’è il Ransomware-as-a-Service, modello che consente di offrire strumenti e servizi per estorsioni digitali. Di fronte a questo scenario, la protezione non può essere affidata esclusivamente ai reparti informatici, ma deve rientrare nella governance e nella gestione del rischio d’impresa.
L’obiettivo non è soltanto impedire l’intrusione, ma assicurare la resilienza: assorbire l’attacco, mantenere almeno una parte delle attività operative e ripristinare rapidamente dati e servizi, senza cedere ai ricatti. Tra le misure indicate figurano l’approccio Zero Trust, basato sulla verifica continua di ogni utente e dispositivo, la crittografia dei dati e la disponibilità di backup immutabili, isolati e non modificabili.
Un’ulteriore pilastro è la cooperazione tra soggetti pubblici e privati. La condivisione tempestiva delle informazioni su vulnerabilità e tattiche criminali può consentire di anticipare attacchi simili e rafforzare le difese di più organizzazioni. La strategia proposta si fonda quindi sulla gestione consapevole del rischio: proteggere ciò che è possibile, educare il personale e predisporre procedure efficaci per la risposta e il recupero.
Musacchio è professore di strategie di contrasto alla criminalità organizzata e associato al Rutgers Institute on Anti-Corruption Studies di Newark, presso la Rutgers University, negli Stati Uniti.
