Venerdì, ore 18:30. Il momento zero.

L'obbligo vi tiene fuori dal tribunale. Il processo vi tiene sul mercato.

La tesi della sessione, in due righe. Il resto sono novanta minuti per capire la differenza. La sessione è anche l'appendice del saggio Il Limes Invisibile.

1. L'illusione della compliance

   La carta non ferma i proiettili. Un manuale di sicurezza di trecento pagine in un cassetto fa felice l'auditor, l'attaccante lo ignora. La normativa, D.Lgs. 231 e NIS2, impone misure adeguate: è l'obbligo. Il processo è sapere esattamente chi ha l'autorità di staccare l'intero data center alle 18:32 per fermare il contagio.

2. Costruire il bunker

   Zero Trust, perché un dipendente distratto cliccherà sempre sul link sbagliato e il modello organizzativo deve isolare i danni. Lo scudo 231, l'unico strumento giuridico che separa il top management dall'incriminazione. ISO 27001, il manuale tattico: le procedure non si inventano durante l'incendio.

3. Il cavallo di Troia: la supply chain

   Siete impenetrabili. Il fornitore che gestisce le vostre buste paga o il CRM no. L'attaccante moderno calcola il ROI e entra dalla finestra lasciata aperta da qualcun altro. Caso di studio SolarWinds: fino a diciottomila clienti installano un aggiornamento compromesso e firmato con certificato legittimo, e il titolo perde circa il trentacinque per cento entro la fine del mese (SEC, 2023).

4. Le armi contrattuali

   Quando la difesa tecnologica fallisce entra in gioco quella contrattuale. Right to audit senza preavviso, SLA sulle vulnerabilità critiche entro 12-24 ore con penali pesanti, notifica di breach in poche ore, flow-down ai sub-fornitori, indennizzo, termination rights, SBOM, data residency, cooperazione durante la crisi. Una check list da esigere prima di firmare.

5. L'ultima scialuppa: cyber insurance

   Il rischio zero non esiste. Cosa copre una polizza tra danni propri, business interruption, forensics, cyber extortion, e danni a terzi, class action, sanzioni, crisis communication. E l'avvertimento sul questionario: le assicurazioni pretendono MFA, EDR e backup offline. Una mezza verità in fase di stipula trasforma la polizza in carta straccia.

6. La difesa moderna

   Dal proteggere il perimetro al presupporre che il breach sia già avvenuto: Zero Trust architecture, confidential computing, threat detection assistita dall'AI, threat hunting proattivo, backup immutabili. Non si tratta di costruire muri più alti, ma di rendere costoso per l'attaccante muoversi dentro l'organizzazione.

7. War room

   Ore 19:30. I server della holding sono cifrati, i dati dell'ultima acquisizione rubati, richiesta di due milioni in bitcoin entro l'apertura della borsa. Ogni partecipante ha un ruolo, dal CEO al DPO al Head of Communications, e deve dichiarare la prima mossa in chat. Poi si analizzano gli errori più comuni: pagare subito, staccare tutta la rete, chiamare per prima l'assicurazione, decidere da soli.

8. Il ROI della sicurezza

   Non è un costo, è sopravvivenza. Ogni euro risparmiato in contratti blandi o nell'elusione dei modelli organizzativi torna indietro moltiplicato, durante la crisi, in sanzioni, incident response, spese legali e danni reputazionali.