Per molti anni l’IT è stato percepito come una funzione di supporto.
Server che devono funzionare. Posta elettronica disponibile. Stampanti che, quando smettono di collaborare, devono tornare operative il prima possibile.
Un ruolo necessario, ma spesso invisibile.
Negli ultimi anni questa visione è diventata sempre meno realistica. Oggi l’IT non è più solo infrastruttura tecnica: è gestione del rischio operativo dell’azienda.
Un incidente informatico, un attacco ransomware o anche solo una vulnerabilità non presidiata possono bloccare produzione, logistica, amministrazione e vendite nel giro di poche ore.
Quando succede, non è più un problema tecnico.
È un problema aziendale.
Il rischio invisibile
La sicurezza informatica non è una condizione statica. Non esiste un momento in cui un’infrastruttura può essere considerata “sicura” una volta per tutte.
I sistemi cambiano, le reti evolvono, i software vengono aggiornati, nuovi servizi vengono integrati. Ogni cambiamento introduce potenzialmente nuove superfici di attacco.
Nel frattempo, dall’altra parte, esiste un ecosistema criminale estremamente organizzato che testa continuamente nuove tecniche di intrusione.
Questo significa che la sicurezza non può essere affrontata solo con strumenti perimetrali o con controlli periodici. Serve osservazione continua del comportamento dei sistemi.
La scelta di presidiare l’infrastruttura
Nel nostro caso abbiamo deciso di introdurre un sistema di rilevazione delle anomalie basato su analisi comportamentale e intelligenza artificiale (Darktrace).
La scelta non è stata guidata solo dall’aspetto tecnologico, ma da una riflessione più ampia su come gestire il rischio informatico nel tempo.
Molte aziende scelgono di affidarsi a un SOC esterno (Security Operation Center), delegando il monitoraggio e l’analisi degli eventi di sicurezza a strutture specializzate.
È una scelta assolutamente sensata in molti contesti.
Nel nostro caso abbiamo deciso una strada diversa: gestire il sistema internamente, senza un SOC esterno.
Le ragioni sono state principalmente due:
- la presenza di competenze tecniche interne in grado di interpretare gli eventi di sicurezza
- la volontà di mantenere il controllo diretto sull’analisi delle anomalie e delle dinamiche della nostra rete
Questa scelta ci ha permesso di sviluppare una conoscenza molto più profonda del comportamento reale della nostra infrastruttura.
Imparare a leggere i segnali
Uno degli aspetti più interessanti dei sistemi di rilevazione comportamentale è che non cercano solo firme di attacco note. Osservano il comportamento della rete.
Nel tempo imparano cosa è normale e cosa non lo è: traffico tra sistemi, pattern di accesso, comunicazioni tra servizi, attività degli utenti.
Quando qualcosa devia da questo modello, il sistema lo segnala.
Questo non significa che ogni segnale sia necessariamente un attacco.
Ma significa che ogni anomalia merita di essere osservata e compresa.
Con il tempo si sviluppa una sensibilità diversa verso il funzionamento dell’infrastruttura.
La sicurezza come processo continuo
L’introduzione di strumenti di monitoraggio avanzato non risolve il problema della sicurezza. Sarebbe ingenuo pensarlo.
La sicurezza è un processo continuo fatto di:
- monitoraggio
- analisi
- miglioramento progressivo dell’infrastruttura
- revisione delle configurazioni
- aggiornamenti costanti
Ogni giorno emergono piccoli miglioramenti possibili.
Regole più precise, segmentazioni più efficaci, superfici di esposizione che possono essere ridotte.
È un lavoro silenzioso, spesso invisibile. 😑 Purtroppo.
Ma è esattamente questo lavoro che permette all’azienda di operare con maggiore tranquillità.
Dormire sonni più sereni
Da quando abbiamo introdotto questo approccio, la percezione del rischio informatico è cambiata profondamente.
Non perché il rischio sia scomparso — non succederà mai — ma perché l’infrastruttura è presidiata.
Gli eventi vengono osservati.
Le anomalie analizzate.
La sicurezza migliorata giorno dopo giorno.
Questo non elimina l’incertezza, ma la rende gestibile.
Ed è forse questo il vero cambiamento di paradigma del ruolo IT oggi: non limitarsi a far funzionare i sistemi, ma governare il rischio tecnologico su cui si basa l’intera azienda.
