La sicurezza dei dati è responsabilità sociale d’impresa

Di questi tempi, tutti parlano di regolamento Europeo per la protezione dei dati (Gdpr) e della nuova legge sulla privacy come un «ennesimo adempimento» riguardo una materia complessa e farraginosa. Come sempre la prospettiva di una consulenza o di un incarico appetitoso muove improvvisati esperti, solerti avvocati, improbabili fornitori di programmi automatici di assessment e gestione del fatidico Gdpr.

Dal 1978 mi interesso di sicurezza informatica e dal 1997 me ne occupo professionalmente dopo un master e le certifiche Cisa e Gsm conseguite dall'Isaca, ente internazionale che si occupa delle problematiche del governo e della sicurezza dei sistemi informativi. La sicurezza dei dati e delle informazioni sarà il problema dei prossimi anni, lo sarà sia per le imprese come per i singoli cittadini, nessuno escluso. Quindi serve affrontarlo con una visione d'insieme, senza panico inutile.

Provo a elaborare una teoria che potrebbe rovesciare il paradigma, offrendo una lettura originale di un problema noto. Come tutti sanno, per difendere qualcosa da qualcuno serve avere chiaro cosa sia il qualcosa e dove si trovi. Lo insegnano le città della Grecia, gli accampamenti dei romani, i Castelli medioevali, le città fortificate del Rinascimento, le trincee... le porte corazzate delle nostre case. Ove vi sia qualcosa da difendere si erige un muro o uno strumento atto a difenderlo. Lo è stato fino a ieri anche per l'informatica, infatti lo strumento più conosciuto di difesa in ambito rete, spesso il solo, si chiama firewall, muro taglia fuoco.

Ma il problema di oggi è drammatico: qual è il perimetro da difendere? Ormai il confine tra dati aziendali, personali, sensibili, importanti, strategici, vitali, ...non esiste più. Non esiste nemmeno il confine fisico dell'azienda perché attraverso cloud, ipad, smartphone, chiavette, hard disk esterni ...non siamo più in grado di stabilire, o lo siamo con enorme difficoltà, dove stiano veramente i dati. In questa logica diventa difficile erigere difese e barriere perché non sappiamo più dove sia l'area da difendere e quanto sia grande e qui arriva la prima rivoluzione.

Se utilizziamo il criterio delle aree da difendere: l'area Aziendale, l'area personale, la casa, il PC, il telefono rischiamo di sottovalutare il problema dobbiamo cambiare scenario e allora parleremo di Sfere. La sfera aziendale, la sfera personale, la sfera domestica, la sfera degl'affetti...un poco come i cerchi olimpici le sfere si sovrappongono e dove si sovrappongono in quelle sezioni cambia tutto. Immaginate una sfera blu che si sovrappone ad una sfera gialla, la superfice in comune diventa verde cioè una cosa diversa che prima non c'era.

Ecco: lo stesso avviene con i dati: quando le sfere si sovrappongono (e possono essere molte le parti di sfera sovrapponibili) si hanno i big data, insieme di dati apparentemente senza alcuna connessione tra loro ma che danno vita a correlazioni nuove e a risultati nuovi, ad una cosa diversa come il verde che nasce dal blu e dal giallo. Capite allora quanto sia complesso entrare in questa logica ma ci dovremo entrare per forza perché è già così! Tuttavia difendere una sfera aiuta a concepire ambiti, strumenti e scenari diversi, non più statiche sequenze di misure ma sistemi evoluti che suggeriscono decisioni in base ai comportamenti della rete, alle dinamiche innescate dal flusso dei dati e dal combinarsi degli stessi tra loro. Parlare quindi oggi di perimetro da difendere è anacronistico ed inefficace.

Dobbiamo entrare nella logica delle sfere e quindi delle relazioni tra flussi di dati e delle relazioni tra le persone che li utilizzano. Difficile, molto difficile. Infatti non basta la tecnologia, servono le persone, serve che si capiscano e comprendano pochi termini ma fondamentali come: tutela, resilienza, etica, responsabilità.

Tutela è una parola molto usata, il suo significato deriva dal latino e vuoi dire: proteggere, difendere. Ma io preferisco darle un significato più moderno e quindi aggiungo: affidare, che presuppone una relazione tra chi affida e chi esercita la tutela. Sembra banale ma pensiamoci bene. Tutti noi affidiamo i nostri dati (che rappresentano le informazioni della nostra vita in tutte le forme: salute, sentimenti, fisicità, interessi, lavoro, affetti...) a qualcosa o qualcuno. A volte lo facciamo inconsciamente, quando memorizziamo una fotografia sullo smartphone, o consciamente, quando acconsentiamo il loro trattamento da parte della banca, dell'ospedale, dell'azienda. In tutti e due i casi i dati hanno lo stesso valore e quindi vanno tutelati nel medesimo modo con la medesima attenzione, anche perché spesso sul telefono non ci sono solo fotografie, ma anche mail, messaggi, password...e quando li gestiscono altri, anche se sono insieme a milioni di altre informazioni, restano i nostri e non ci piacerebbe venissero maltrattati.

Tutelare i dati diventa quindi un prerequisito da parte di chi li tratta, di chi li costudisce, di chi li elabora ecco che il concetto di Design espresso dal regolamento visto in quest'ottica assume tutta un'altra dimensione...diciamo metafisica. La custodia dei dati, così come la loro elaborazione, esce dal freddo dell'immateriale per entrare nella sfera della responsabilità.