Gli attacchi ai sistemi di refrigerazione in Francia e in altri Paesi europei, Italia compresa, hanno acceso l'ennesimo allarme sul mondo OT e IoT.
E siamo di nuovo tutti lì a gridare al lupo.
Ma la paura non protegge un impianto. E un comunicato allarmato non sostituisce una misura di sicurezza.
NIS2 sulla carta, ma quanto siamo realmente sicuri?
Questi episodi ci costringono a chiederci quanta sicurezza sia «NIS2 sulla carta» e quanta si traduca realmente nella capacità di prevenire, resistere e riprendersi da un incidente.
Abbiamo costruito organizzazioni ossessionate dal risultato, investendo troppo poco nella protezione dei sistemi che quel risultato lo producono. Quando questi si fermano, scopriamo quanto fosse fragile la nostra sicurezza.
CISO e Security Manager: acquistare tecnologia non significa governare il rischio
C'è poi un nodo scomodo: in troppi contesti, CISO e Security Manager sembrano preoccuparsi più di tutelare sé stessi, acquistando tutta la tecnologia possibile, che di governare realmente il rischio.
Così, dopo un incidente, possono dire: «Avevo tutto. Che cosa potevo fare di più?»
La risposta è semplice, anche se scomoda: usare il know-how per progettare architetture robuste, conoscere i sistemi e i servizi erogati, comprendere le dipendenze operative, definire processi e governare il rischio.
La tecnologia senza know-how, progettazione e processi non costituisce una strategia di sicurezza.
Confondiamo l'acquisto con la strategia, la compliance con la resilienza, la dashboard con la gestione.
È il fallimento di un modello di sicurezza aziendale e di quella parte della classe dirigente — CEO compresi — che lo ha promosso o tollerato.
Dagli attacchi ai frigoriferi alla provocazione sulle lavatrici connesse
Una settimana fa ho lanciato una provocazione: e se il prossimo attacco fosse alle lavatrici connesse?
Ho spinto volutamente lo scenario all'estremo, immaginando che un attaccante potesse sfruttare vibrazioni e fenomeni di risonanza per compromettere persino la stabilità dei solai degli edifici storici.
Per alcuni una provocazione. Per altri un'esagerazione.
Certamente uno scenario estremo, la cui fattibilità richiederebbe verifiche ingegneristiche. Ma il punto non era prevedere il prossimo attacco: era richiamare l'attenzione sulle possibili conseguenze fisiche della compromissione di dispositivi connessi.
L'allarme ENISA sui dispositivi IoT domestici
E che cosa dice ENISA proprio in questi giorni?
Il suo direttore esecutivo, il 10 novembre 2026, ha indicato elettrodomestici e router domestici come possibili prossimi bersagli.
Certamente non ha fatto riferimento al mio scenario delle lavatrici smart, ma ha richiamato l'attenzione su un perimetro di rischio che continuiamo a sottovalutare.
Trent'anni di cybersecurity: prima il know-how, poi la tecnologia
Chi, come me, si occupa di sicurezza informatica da quasi trent'anni conosce bene la differenza tra un approccio fondato sull'esperienza e sulla gestione del rischio e quella sicurezza troppo spesso «urlata», nell'ultimo decennio, da alcuni vendor e dalle grandi società di consulenza.
Per me, prima vengono know-how, conoscenza delle infrastrutture, analisi dei rischi, progettazione e processi. Le soluzioni tecnologiche devono essere scelte per rispondere a esigenze concrete di sicurezza, non diventare il primo pilastro attorno al quale costruire tutto il resto.
Non bastano lauree, master, certificazioni o budget.
Servono competenza, esperienza, responsabilità, indipendenza di giudizio e il coraggio di prendere decisioni scomode prima dell'incidente.
Meno allarmismo. Meno acquisti per sentirsi coperti. Più governo effettivo della sicurezza.
Fonti e approfondimenti
