Rigoni (Altirium): «Per la sicurezza non basta la consapevolezza: servono strumenti per decidere sotto pressione»

Per la sicurezza digitale non c’è più un problema di sensibilizzazione dei vertici: l’attenzione è alta e i rischi sono ormai entrati nell’agenda di consigli di amministrazione, comitati esecutivi e comitati rischi. Il vuoto da colmare è un altro. Servono strumenti, indicatori e capacità di simulazione che aiutino chi decide a scegliere rapidamente anche quando la minaccia è poco visibile e le informazioni sono incomplete. È il tema che Andrea Rigoni, Founder di Altirium e Comitato Tecnico Strategico "Sicurezza Digitale" Advisory Board ABI, porta a WeSec partendo da un concetto mutuato dall’aviazione: la readiness.

La prima edizione di WeSec - Il Salone della Sicurezza, osserva Rigoni, ha dato un’indicazione precisa. La partecipazione non è stata limitata a tecnici e specialisti: ai lavori hanno preso parte anche manager e decisori del settore finanziario con responsabilità molto diverse. Per Rigoni è la conferma che sicurezza, cyber e nuove tecnologie sono ormai considerate questioni strategiche.

L’intelligenza artificiale ha accelerato ulteriormente questa attenzione. Non tanto perché l’automazione sia una novità, quanto perché le nuove tecnologie interagiscono direttamente con le persone attraverso il linguaggio, crescono rapidamente in capacità e rendono più difficile prevederne gli effetti.

La consapevolezza, però, «da sola non basta». Rigoni utilizza l’aviazione per spiegare il passaggio che manca. Un aereo viene progettato per tollerare guasti e anomalie, ma la sicurezza del volo dipende anche dalla capacità del pilota di leggere gli strumenti, valutare una situazione incerta e prendere la decisione corretta nel momento giusto.

Per le minacce digitali il problema è simile. Il board non può vedere direttamente un attacco cyber, così come un pilota non può affidarsi ai propri sensi per conoscere tutte le condizioni esterne al velivolo. Ha bisogno di pochi indicatori affidabili, informazioni tempestive e procedure che consentano di comprendere la situazione e valutare le alternative. «Noi oggi non abbiamo avuto il tempo e la maturità di sviluppare questi strumenti per aiutare gli organi apicali, i consigli di amministrazione, i comitati esecutivi, i comitati di rischio a prendere queste decisioni», afferma Rigoni.

Le regole europee hanno già costruito una base importante. A suo giudizio, quindi, non servono necessariamente altre norme: servono più standard e strumenti per applicarle, insieme a un salto culturale nella preparazione di chi deve decidere.

Anche qui l’analogia con l’aviazione diventa concreta. Un pilota non viene formato una volta per tutte. Quando emerge una nuova minaccia, torna al simulatore e prova a gestirla in condizioni controllate. Sul cyber e sull’AI, osserva Rigoni, questa cultura della simulazione è ancora giovane.

Non a caso Altirium ha portato a WeSec proprio un simulatore di volo. Non come elemento spettacolare, ma per rendere visibile il parallelo tra il pilota e chi governa un’organizzazione. Il pilota non è uno specialista di ogni componente dell’aereo: deve però conoscere lo stato complessivo del sistema e capire, attraverso un numero limitato di segnali, quali decisioni può prendere.

È la situational awareness, concetto nato in ambito militare e aeronautico che Rigoni trasferisce alla sicurezza digitale. La domanda rivolta ai manager che salgono sul simulatore è infatti molto concreta: quali sono gli indicatori che ogni giorno consentono alla funzione sicurezza di parlare con la leadership, rappresentare il rischio e spiegare quali opzioni siano disponibili?

Il fattore tempo rende il problema ancora più urgente. L’evoluzione tecnologica sta accelerando, mentre processi decisionali, organizzazioni e modelli di controllo si muovono necessariamente più lentamente. Secondo Rigoni bisogna quindi accorciare i tempi, semplificando dove possibile processi e adempimenti che rischiano di assorbire risorse senza migliorare la capacità effettiva di risposta.

WeSec, da questo punto di vista, ha mostrato che il primo passaggio è già avvenuto: non occorre più convincere i vertici che la sicurezza sia strategica. La sfida successiva è mettere chi decide nelle condizioni di governare minacce incerte e in rapida evoluzione, con strumenti che trasformino la consapevolezza in capacità operativa.