La settimana scorsa i frigoriferi di molti supermercati europei si sono spenti, alcuni voli sono stati dirottati per falsi allarmi bomba e un ministro ha detto che all'Italia servirebbero più hacker, ma costano troppo. Da giorni non si parla d'altro. Io, che di sicurezza informatica vivo, vorrei aggiungere un pezzo che nel dibattito manca.
Il ministro della Pubblica Amministrazione, Paolo Zangrillo, ha descritto gli hacker come ragazzi tra i 18 e i 25 anni, pieni di tatuaggi e orecchini, che guadagnerebbero in media un milione di euro l'anno. La pubblica amministrazione non può permetterseli, ha detto, perché c'è un tetto agli stipendi.
Ammetto che leggendolo mi è scappato un sorriso. Poi meno.
Un esperto di sicurezza informatica in Italia guadagna in media 40-50 mila euro lordi l'anno. I profili più esperti partono da circa 65 mila. Lo riporta un bell'articolo del Post, che spiega bene come il problema della pubblica amministrazione non siano tanto i soldi, quanto selezioni lente, carriere rigide e ambienti di lavoro in cui un tecnico bravo non ha stimoli per restare.
Che in Italia manchino persone competenti è vero, e non da ieri. Secondo Eurostat:
E molti di quei pochi, appena laureati, vanno all'estero.
Il dibattito di questi giorni riguarda i ministeri e l'Agenzia per la Cybersicurezza Nazionale. Giusto. Ma c'è una parte d'Italia molto più grande che resta fuori: le aziende da cinque, dieci, trenta persone. Quelle che fanno davvero l'economia di posti come le Marche.
Lì non c'è una carenza di esperti. Non ce n'è proprio nessuno.
Il "responsabile informatico" di solito è una di queste persone:
Nessuna di queste persone ha colpe. Semplicemente, la sicurezza non è il lavoro di nessuno. E quello che non è il lavoro di nessuno, nessuno lo controlla.
Non serve un attacco sofisticato. Le cose che capita di trovare sono quasi sempre le stesse:
È lo stesso schema dei frigoriferi dei supermercati: apparecchi mai aggiornati, raggiungibili da Internet, protetti dalla password di fabbrica. Nessuno li ha attaccati perché erano importanti. Li hanno attaccati perché erano aperti.
Ed è questo che molti imprenditori non sanno: nessuno sceglie proprio te. Ci sono programmi automatici che provano migliaia di aziende al giorno ed entrano dove trovano la porta aperta. Una piccola azienda non è un bersaglio minore. È solo un bersaglio meno protetto.
Una PMI non può permettersi un esperto di sicurezza a tempo pieno, e nella maggior parte dei casi non le serve. Stefano Zanero, che insegna sicurezza informatica al Politecnico di Milano, nell'articolo del Post dice che la pubblica amministrazione dovrebbe avere tecnici ben formati per il lavoro di base e rivolgersi all'esterno per le competenze più avanzate. Per una piccola azienda vale ancora di più.
In pratica servono tre cose.
Una persona con nome e cognome che sa quali sistemi avete, chi ci accede e quando sono stati aggiornati l'ultima volta. Non deve essere in azienda tutti i giorni. Deve esserci quando serve, e qualcuno deve sapere che è compito suo.
Quando succede qualcosa, le prime ore contano più di tutto il resto. Sapere già chi chiamare, invece di cercarlo su Google con il sito bloccato, fa la differenza tra un brutto giorno e un brutto mese.
Faccio questo lavoro qui perché credo che la sicurezza non debba essere un lusso per chi ha un reparto informatico. Le aziende del nostro territorio hanno gli stessi rischi di una multinazionale, con una frazione delle difese.
La carenza di esperti di cui si parla in questi giorni è reale. Ma per una piccola azienda la domanda giusta non è "dove trovo un hacker?". È più semplice: chi se ne occupa, da noi?
Se la risposta è "nessuno", è il momento giusto per cambiarla. Prima che lo decida qualcun altro.
Un sito che si comporta in modo strano, un accesso sospetto, un dipendente che ha cliccato il link sbagliato: chiamami o scrivimi. La prima analisi è gratuita, e ti dico in modo onesto se c'è un problema o no.