Il potere della fiducia: riflessioni sulla sicurezza nell’era digitale

Avendo lavorato nel settore della sicurezza digitale per un quarto di secolo, spesso le persone mi chiedono qual è il mio consiglio numero uno per aiutare le aziende e le organizzazioni a creare un rapporto di fiducia con i loro clienti e partner.

La mia risposta è sempre la stessa: “Non spaventarli!”.

Il film Minority Report è perfetto per spiegare ciò che intendo. Lasciando da parte l’idea di base del film, cioè conoscere in anticipo le probabilità che una persona ha di commettere un crimine, la parte più inquietante, secondo me, è nella scena in cui il personaggio interpretato da Tom Cruise entra in un grande magazzino, gli viene scansionato l’iride e gli viene detto esattamente quali vestiti sceglierà. Potrebbe sembrare un ottimo servizio, ma è inquietante. E credo che le persone siano preoccupate dalle cose inquietanti.

Quando le aziende dicono di utilizzare tecnologie avanzate come l’Intelligenza Artificiale, significa anche che possono utilizzare i dati dei clienti per profilarli. Quindi, le imprese che utilizzano l’AI devono dimostrare integrità ed etica, in modo che le persone abbiano fiducia e sappiano che dietro quell’uso ci sono una buona ragione e buoni obiettivi. Se superi il limite, perdi quella fiducia.

Il mio ruolo consiste nell’aiutare le organizzazioni a utilizzare la tecnologia in modo da generare fiducia. Qui, voglio condividere alcune delle questioni chiave che, secondo me, un CISO dovrebbe sempre considerare quando affronta il tema della sicurezza nell’era digitale.

L’importanza di fare ‘salti’ di fiducia

Una persona che ha influenzato molto le mie riflessioni sulla fiducia è Rachel Botsman, in particolare il suo concetto di salti di fiducia. Una persona fa un salto di fiducia quando deve fare un salto mentale da ciò che è conosciuto verso ciò che è ignoto. Questi salti sono caratterizzati da un’emozione particolare: l’incertezza.

Quando le organizzazioni passano da infrastrutture on-premise a infrastrutture basate sul Cloud, devono fare un salto di fiducia, cioè devono affrontare l’incertezza. Quindi, quando si fa il salto verso la trasformazione digitale, bisogna avere informazioni e visibilità sufficienti per rendere quel salto il più tranquillo possibile.

I CISO che stanno affrontando il passaggio al Cloud guardano ai provider di servizi Cloud hyper-scale, come Microsoft, e si pongono domande come:

• Come si occuperà dei miei dati?
• Potrò avere controllo su quei dati?
• Posso avere visibilità su cosa accade nei servizi Cloud?
• Posso avere un’idea di come opererai nel backend?
• Sarò a conoscenza dei rischi?

Noi facciamo tutto il possibile per rispondere a queste e ad altre domande, perché sappiamo che il passaggio al Cloud, per alcune organizzazioni, è un enorme abisso di fiducia da superare. Più informazioni e trasparenza possiamo fornire, meno preoccupante sarà quel salto. Perché alla fine, la fiducia arriva alle persone che sentono di avere il controllo e che sanno che accadrà proprio ciò che si aspettano.

Come la trasparenza riduce il bisogno di fiducia

Trasparenza è una parola che viene fuori spesso quando si parla di fiducia. Ma c’è una cosa che Rachel Botsman sottolinea e che mi ha davvero colpito: la trasparenza non crea davvero fiducia. Quello che fa, invece, è ridurre il bisogno di fiducia. Essere trasparente significa ridurre lo spettro dello sconosciuto, quindi serve uno sforzo minore per fidarsi.

Quando si tratta di sicurezza, è importante avere i sistemi di controllo giusti per poter vedere cosa sta succedendo, verificarlo e mostrare coinvolgimento. Tutto questo garantisce maggiore trasparenza e quindi riduce il divario di fiducia.

Ma credo anche che, a determinate condizioni, la trasparenza possa davvero essere utilizzata per costruire fiducia. La violazione dei dati di Norsk Hydro ne è un chiaro esempio.

Norsk Hydro è un enorme produttore internazionale di alluminio, le cui fabbriche si affidano alle tecnologie digitali per alimentare i macchinari. Quindi, quando sono stati colpiti da un massiccio attacco ransomware, hanno rischiato che si verificasse un potenziale disastro, sia per la loro linea di produzione che per l’immagine del marchio. Ma la loro reazione li ha salvati.

Quando sono stati colpiti, hanno tenuto una conferenza stampa pubblica. Sono stati molto trasparenti: sull’attacco stesso, sulle indagini, sul loro impegno. Così la violazione non ha avuto un effetto negativo sulla loro immagine. Anzi, all’epoca, gran parte dei commenti delle persone riguardavano proprio la fiducia e il rispetto che avevano costruito nel settore, proprio perché tutto era stato affrontato in modo trasparente.

Questo è un classico esempio di come si prepara una limonata con i limoni che riserva la vita. Ed è stato reso possibile grazie ad un comportamento trasparente, etico, onesto e responsabile, conquistando la fiducia di clienti e partner i cui dati sono stati messi a rischio.

Assumersi la responsabilità della sicurezza informatica

Una delle caratteristiche della fiducia e della privacy è che sono molto emotive. Fidarsi significa essere vulnerabili, e i criminali informatici lo sanno, per questo motivo sfruttano proprio la fiducia come porta per entrare nelle organizzazioni

Continueranno a farcela. Perché le persone sono umane e continueranno a commettere errori. È facile dire “Se ricevi un link, non cliccarci sopra”. Ma gli esperti di sicurezza devono ricordare che il mondo moderno è stato creato per incoraggiare le persone a fare clic sui link. Quindi dire “non fare clic sul link” significa dire, in realtà, “non fare la cosa che sei stato indotto a fare negli ultimi 15 anni”. Non è realistico e penso che gli esperti di sicurezza non debbano essere troppo duri con gli utenti finali, aspettandosi che si comportino in un modo innaturale.

La risposta migliore è aspettarsi l’attacco e prepararsi. Io lavoro così. So che i criminali esistono. So che gli esseri umano commettono errori. E accetto la responsabilità di provare a gestire questa equazione e a mitigarne l’impatto.

Per come la vedo io, la tecnologia è la miglior arma di difesa che abbiamo in questa battaglia.