La cybersecurity sta riscrivendo le priorità della sicurezza aziendale, oltre che di quella di tutti noi. Ma adottarne bene le regole, applicare al meglio i metodi della prevenzione, è tutt’altro che facile. È’ come guidare una Ferrari, non una Panda. Si possono usare strumenti potenti ma sono anche molto impegnativi da governare. E se li usi male ti danno risposte sbagliate»: Paolo Pelosi, ex ufficiale dei Carabinieri riconvertito all’attività “corporate”, è oggi capo della sicurezza del Gruppo Grimaldi, anzi – più precisamente – “Head of Dpt Security Intelligence & Law enforcement and Cyber Security” del colosso armatoriale napoletano, 21mila dipendenti per 140 navi in 60 Paesi del mondo. E ha preso di petto la necessità inderogabile di dedicare alla sicurezza informatica la stessa attenzione, se non di più, che tradizionalmente lo “shipping” – ossia il trasporto marittimo – riserva alla sicurezza “tradizionale”, visto che l’attività di armamento è esposta come poche altre ai rischi del mare, dell’ambiente portuale che soprattutto nei Paesi i via di sviluppo è molto opaco e in generale ai pericoli connessi al commercio internazionale.
«La Nis2 è la nuova Direttiva Europea sulla cybersecurity che mira a rafforzare la sicurezza informatica e la resilienza di reti e sistemi informativi in tutta l’UE. Ebbene, questa direttiva ha portato un cambiamento sostanziale di approccio culturale all’aspetto cyber», spiega Pelosi, «perché il legislatore ha pensato bene che per garantire al sistema che le grandi aziende, giudicate ‘essenziali’ per la loro rilevanza anche nelle reti digitali, s’impegnassero seriamente, andavano responsabilizzate. Ossia, se una disattenzione, una trascuratezza di un’azienda nel prevenire gli attacchi al proprio ecosistema digitale determina danni alla collettività, ne risponde il management che si è reso colpevole di queste omissioni».
Una sorta di ”Legge 231” all’ennesima potenza, che colpevolizza i privati “imprudenti”: «ma il nostro Gruppo ha ritenuto di dare una lettura proattiva a questa impegnativa novità. Avremmo fatto comunque il massimo, ma con simili premesse, facciamo più del massimo. E coinvolgiamo tutti i nostri fornitori e partner nella stessa responsabilizzazione: il mercato ci chiede tanto e noi, che siamo ‘soggetto essenziale’, per non correre il rischio di avere un incidente informatico che impatti la business continuity dobbiamo adottare le massime precauzioni e richiedere a chi interagisce con noi requisiti informatici adeguati ai nostri. In una catena di responsabilità che ormai vincola molto, tutti».
La seconda fase del recepimento della Nis2 mostra infatti un quadro chiaro: le grandi aziende sono generalmente allineate, mentre le Pmi faticano, chiamate a sostenere investimenti spesso percepiti come sproporzionati rispetto al loro business. Eppure, l’obbligo è ormai strutturale. Chi partecipa a un appalto o offre un servizio deve esibire non solo Durc e documentazione amministrativa, ma anche requisiti e certificazioni informatiche specifiche. Anche se ci sono fughe di dati e se ne è corresponsabili, si risponde dei danni, anche verso clienti internazionali: «Se perdi i dati di un cliente francese, ti addebiterà immediatamente di avergli causato un danno», osserva Pelosi.
La cybersecurity non è però un traguardo ma un percorso in un ambito dinamico, dove gli standard evolvono di continuo e dove l’intelligence criminale aggiorna costantemente il quadro delle minacce, obbligando le aziende a un lavoro permanente di monitoraggio, formazione e prevenzione. Ed è qui che entra in gioco il fattore umano, determinante nonostante la crescente automazione. «Sì, l’aspetto umano è imprescindibile. Anche la persona più attenta, in un momento di stanchezza o stress, può abbassare la soglia di vigilanza. Per questo serve una formazione continua: il primo pericolo siamo noi stessi».
Un esempio? Un hacker cinese riuscì a inserirsi nella contabilità tentando una truffa. È stata l’attenzione di un operatore a sventare l’attacco. «Se cambi una ‘q’ con una ‘g’ sbagli contatto e paghi al destinatario sbagliato. Serve consapevolezza, non solo procedure». Il Gruppo Grimaldi dispone di una struttura dedicata – appunto il settore Security Intelligence and Law Enforcement (Sile) guidato da Pelosi – che lavora sulla cybersecurity. Il rischio principale resta il blocco dell’attività: attacchi ransomware che criptano dati e chiedono riscatti, spesso lanciati nel weekend per colpire il lunedì. Esistono società specializzate che intervengono, ma prevenire resta essenziale. Possibili, anche se rari, sono i tentativi di intrusione nei sistemi delle navi, possibili quando queste sono connesse in porto o via satellite. Più frequenti sono invece i tentativi di phishing, in cui un malintenzionato si spaccia per interlocutore commerciale o finanziario per indirizzare un pagamento fraudolento.
Un ruolo cruciale lo svolgono anche le terze parti che gestiscono documentazione e scambi commerciali: «Abbiamo filtri di sicurezza molto efficaci e conduciamo verifiche periodiche sulla nostra dorsale informatica, che è già strutturalmente solida. Ma l’aggiornamento è costante: attività di intelligence, tassonomie di indicatori, analisi delle anomalie».
La riflessione finale di Pelosi riguarda l’evoluzione dei conflitti. Le tecniche di guerra elettronica – disattivare radar, disturbare sistemi di guida – sono oggi parte di una guerra ibrida, che si estende al dominio digitale. «Oggi la guerra è diffusa, è come l’umidità in casa: ti penetra, fa danni, corrode. Per vincerla, la sfida è anche culturale – osserva ancora Paolo Pelosi – Bisogna andare oltre la differenziazione tra IT (information technology) e OT (operational technology), investire sulla formazione continua e leggere la sicurezza non come costo, ma come vantaggio competitivo. Una cultura che trasforma la cybersecurity in un elemento di resilienza e di reputazione internazionale».
In questa prospettiva, Pelosi insiste su un punto: «La sicurezza informatica non può più essere trattata come un adempimento tecnico, ma come una componente strategica della competitività aziendale. Ed è appunto la nostra visione, come Grimaldi Group. Un attacco informatico non compromette solo l’operatività quotidiana: incide sulla fiducia dei clienti, altera i rapporti con i partner internazionali, può bloccare una catena logistica globale generando perdite economiche ingenti. Nel settore marittimo, dove ogni ritardo ha un effetto moltiplicatore su porti, terminal, autotrasportatori e spedizionieri, l’impatto è ancora più evidente».
La sfida è quindi duplice: da un lato consolidare le difese tecnologiche, dall’altro elevare la maturità complessiva dell’organizzazione. Servono processi, controlli, esercitazioni, simulazioni di attacco. Serve comunicazione interna e una chiara distribuzione delle responsabilità. E serve, soprattutto, un cambio di mentalità che faccia percepire la cybersecurity come parte integrante della gestione industriale. «È questo», conclude Pelosi, «il salto culturale richiesto dalla Nis2: trasformare un obbligo normativo in un’opportunità di crescita, efficienza e affidabilità per l’intero sistema. Una trasformazione che richiede tempo e investimenti, ma che resta l’unica strada in un contesto globale dove la minaccia cyber non conosce confini. La resilienza digitale diventa parte essenziale della resilienza aziendale».
