Antonio Point of View

3,136 subscribers

Antonio Ieranò

Information & Cybersecurity Strategist | Digital Sovereignty • AI Governance • Complex Systems | Author, Researcher & Occasional Philosopher | Views stubbornly my own. 🧠

October 14, 2026

Immaginate di entrare in una concessionaria.

Il venditore vi accompagna con orgoglio verso il nuovo modello. Linee eleganti, consumi ridotti, connettività avanzata, intelligenza artificiale, assistente vocale, aggiornamenti remoti, integrazione cloud e probabilmente un algoritmo capace di suggerirvi quale vino accompagnare al pesce.

A quel punto fate una domanda banale.

“Ha i freni?”

Il venditore vi guarda con un sorriso professionale.

“Certo.”

Tirate un sospiro di sollievo.

“Perfetto.”

Il venditore

“Naturalmente sono opzionali.”

Probabilmente pensereste di avere incontrato un pazzo.

O un consulente aziendale particolarmente creativo.

Eppure, ogni giorno, facciamo ragionamenti sorprendentemente simili.

Realizziamo piattaforme, digitalizziamo processi, colleghiamo impianti industriali, aggiungiamo sensori, apriamo accessi remoti, raccogliamo dati, automatizziamo decisioni e, quando il progetto è quasi terminato, arriva la domanda inevitabile:

“Va bene, ma adesso quanto ci costerebbe la sicurezza?”

Come se qualcuno avesse appena scoperto l’esistenza dei freni dopo aver progettato l’automobile.

La cosa interessante è che gli esseri umani adorano la sicurezza.

La pretendono.

La richiedono.

La esigono.

Purché si trovi nel contesto giusto.

Se acquistiamo un’automobile vogliamo ABS, ESP, airbag, frenata automatica, assistenza alla corsia, telecamere, sensori e possibilmente un piccolo esercito di ingegneri scandinavi nascosti nel bagagliaio pronti a intervenire in caso di necessità.

Se la stessa persona deve approvare un progetto industriale o digitale, improvvisamente la sicurezza diventa un argomento molto più filosofico.

Quasi poetico.

Qualcosa su cui riflettere in una fase successiva.

Magari nel prossimo budget.

Del resto siamo una specie affascinante.

Temiamo il furto della carta di credito e contemporaneamente pubblichiamo sui social fotografie della casa, della famiglia, delle vacanze, del cane, della macchina, del nuovo impianto fotovoltaico e del numero civico, il tutto geolocalizzato e corredato da una dettagliata descrizione delle nostre abitudini quotidiane.

Ci preoccupiamo che una banca possa sapere troppo di noi.

Poi compiliamo quiz online che ci chiedono il nome del primo animale domestico, della scuola elementare e della città di nascita.

Esattamente le stesse informazioni utilizzate da molti sistemi di recupero password.

Ma almeno la banca non ci spia.

La verità è che non percepiamo il rischio.

Raccontiamo storie sul rischio.

E le storie funzionano molto meglio delle statistiche.

Per questo esistono persone che non userebbero mai una carta di credito su Internet ma salgono tranquillamente in quattro su uno scooter, senza casco, perché devono fare soltanto duecento metri.

Il cervello umano ha una relazione piuttosto creativa con la probabilità.

Nelle aziende il fenomeno assume forme ancora più raffinate.

Chiunque abbia partecipato a una riunione conosce la magia.

• Una procedura nasce.
• Viene discussa.
• Approvata.
• Formalizzata.
• Pubblicata.
• Comunicata.
• Ribadita.
• Trasformata in policy.

Poi entra nella stanza qualcuno sufficientemente in alto nell’organigramma e improvvisamente quella procedura diventa una sorta di suggerimento letterario.

Una proposta.

Un’opinione.

Un contributo al dibattito.

È curioso perché nelle organizzazioni continuiamo ad agire come se l’autorità avesse proprietà quasi terapeutiche.

Più si sale nella gerarchia, più sembra diminuire il rischio di errore.

• L’operatore può sbagliare.
• Il tecnico può sbagliare.
• Il middle manager può sbagliare.
• Il direttore già molto meno.
• Il vicepresidente quasi mai.

Il CEO apparentemente raggiunge uno stato di grazia cognitiva che gli consente di derogare alle normali leggi della statistica.

La realtà, purtroppo, continua ostinatamente a rifiutarsi di collaborare.

Quando osserviamo molti incidenti aziendali, finanziari o informatici, scopriamo una cosa sorprendente.

• Raramente manca una procedura.
• Raramente manca una regola.

Molto più spesso qualcuno ha deciso che quella regola non si applicasse a lui.

O che l’urgenza fosse speciale.

O che il contesto fosse eccezionale.

O che il proprio giudizio fosse migliore del sistema costruito proprio per compensare gli inevitabili limiti del giudizio umano.

Qui nasce anche uno dei più grandi equivoci della cybersecurity.

Abbiamo finito per identificare la sicurezza con alcune professioni.

• L’ethical hacker.
• Il penetration tester.
• L’auditor.
• Il SOC.
• Il red team.
• Il blue team.
• Il purple team.

A volte ho l’impressione che presto arriverà anche il tartan team.

Tutte figure utili.

Tutte figure importanti.

Ma nessuna di esse è la sicurezza.

Esattamente come il crash test non è la sicurezza automobilistica.

Il crash test verifica che qualcuno abbia progettato bene il veicolo.

Non sostituisce il progetto.

Eppure continuiamo a trattare la sicurezza come una funzione.

• Come un reparto.
• Come una specializzazione.

Come se fosse qualcosa che si aggiunge.Una specie di accessorio aziendale.Un portabicchieri organizzativo.

La comprensione del rischio finanziario ha già superato questa fase da decenni.

Nessuno pensa che il rischio finanziario appartenga al CFO.

Il CFO ne è custode, interprete, misuratore.

Ma il rischio finanziario permea qualunque decisione.

Dalla strategia commerciale alla politica degli acquisti. Dalla fusione aziendale alla firma di un contratto.

La sicurezza dovrebbe occupare lo stesso spazio mentale.

Forse è questa la lezione che l’automotive ha imparato molto prima di noi.

Non ha reso gli automobilisti più intelligenti.

Non ha eliminato l’errore umano.

Ha semplicemente smesso di considerare l’infallibilità umana un requisito progettuale.

Una scelta sorprendentemente rivoluzionaria.

Il giorno in cui la domanda smetterà di essere

“Quanto costa la sicurezza?”

e diventerà

“Perché questo prodotto ne è privo?”

molte cose cambieranno.

NIS2, GDPR, CRA e tutte le altre sigle che oggi fanno tremare i consigli di amministrazione non diventeranno inutili.

Diventeranno noiose.

Che è il massimo complimento che si possa fare a una norma.

Significherà che la cultura ha finalmente raggiunto ciò che la regolamentazione stava cercando di ottenere.

E forse, solo forse, il vero segnale di maturità arriverà quando un CEO considererà l’assenza della sicurezza sorprendente quanto l’assenza dei freni su un’automobile.

Non perché sarà diventato un esperto di cybersecurity.

Ma perché avrà finalmente accettato una verità molto più semplice e molto più scomoda:

gli esseri umani sbagliano.

Anche quelli con l’ufficio più grande.