Il rischio che la politica chiama dettaglio

Dopo l’ultima trasmissione di Report, una domanda che non possiamo più evitare: chi controlla davvero il controllo remoto?

La puntata di Report andata in onda ieri, 25 Gennaio, ha acceso un faro su un tema che, fuori dai corridoi tecnici, raramente arriva nel dibattito pubblico: l’uso di strumenti di gestione e controllo remoto nei sistemi informatici della giustizia italiana.

Non si è parlato di “hacker con il cappuccio” o di scenari da serie TV, ma di qualcosa di molto più concreto e, proprio per questo, più scomodo: software legittimi, diffusi, progettati per semplificare la vita agli amministratori di sistema, che se configurati o governati male possono trasformarsi in un punto cieco della sicurezza.

Da lì, come spesso accade, è partito il solito rumore di fondo. Commentatori, sedicenti esperti, profili social pronti a liquidare la questione con una frase rassicurante: “È un tool ufficiale, quindi è sicuro.”

Una risposta semplice, pulita. E profondamente ingenua e insufficiente.

Una posizione che, a chi lavora davvero con la sicurezza informatica, suona da analfabeta informatico. 

Partiamo da un principio semplice, che in ogni manuale serio di sicurezza viene ripetuto fino alla nausea: non è il software in sé a essere sicuro o insicuro, ma il modo in cui viene configurato, governato e controllato.

Immaginiamo uno scenario tecnico, non fantascientifico ma assolutamente reale: un sistema che permette l’attivazione del controllo remoto senza il consenso preventivo dell’utente, consente l’esecuzione di comandi senza notifica e non lascia traccia verificabile delle azioni svolte.

In qualsiasi contesto professionale di cybersecurity, questo non viene chiamato “funzionalità”.

Viene trattato come superficie di attacco. Se non addirittura come comportamento da exploit.

Perché? 

Per un motivo banale: se qualcosa può essere usato in modo invisibile, prima o poi qualcuno lo userà in modo improprio. 

E non serve una felpa ed cappuccio alzato (roba da film), basta un account amministrativo compromesso, una gestione dei privilegi troppo larga o un sistema di logging configurato male.

In un sistema serio, ogni accesso amministrativo, ogni sessione remota, ogni comando critico deve lasciare una traccia chiara, non modificabile e verificabile da terze parti. Questo non è un vezzo da maniaci della sicurezza, è una richiesta esplicita di qualsiasi framework di compliance: ISO, NIST, e sì, anche GDPR.

C’è poi un altro equivoco che circola spesso: il GDPR riguarderebbe solo “nome, cognome e codice fiscale”. In realtà, il regolamento parla di protezione del trattamento dei dati in relazione al rischio.

In certi contesti, come quello giudiziario, sanitario o istituzionale, i sistemi informatici non trattano semplicemente dati personali. Trattano informazioni che possono avere impatti legali, sociali e persino politici. Questo alza l’asticella delle misure di sicurezza richieste.

Il punto, alla fine, non è Microsoft, non è il singolo software, non è nemmeno l’inchiesta di Report.

Il punto è culturale.

Viviamo in un’epoca in cui la tecnologia è ovunque, ma la comprensione reale di come funziona è data troppo spesso per scontata o riservata a pochi. Questo crea un paradosso pericoloso: strumenti potentissimi vengono discussi con lo stesso livello di profondità con cui si commenta una partita di calcio.

La sicurezza informatica non è un’opinione.

È una disciplina fatta di modelli di minaccia, analisi del rischio, controlli incrociati e verifiche indipendenti.

Quindi la vera domanda non è se “Questo tool è legittimo?”

Ma: “Chi garantisce, in modo verificabile, che venga usato solo nei limiti per cui è stato progettato?”

Finché non iniziamo a farci questa domanda, continueremo a confondere la fiducia con la sicurezza. E in certi contesti, questa confusione non è solo un errore tecnico. È un rischio sistemico da analfabeti della cybersecurity.