La storia di come la sicurezza informatica ha imparato a difendere il confine e ha tardato a guardare dentro.
C'è un momento preciso in cui nasce la sicurezza informatica come la conosciamo oggi.
È il 2 novembre 1988. Un giovane ricercatore della Cornell University di nome Robert Tappan Morris lancia, quasi per caso, il primo worm della storia su ARPANET, la rete che diventerà internet. In poche ore, circa seimila macchine si bloccano: un decimo di tutta la rete allora esistente. Il danno è contenuto, ma il messaggio è chiarissimo: le reti sono vulnerabili dall'esterno.
La risposta del mondo tecnologico è immediata, intuitiva, comprensibile: costruiamo un muro.
Nei primi anni Novanta nasce il primo firewall commerciale. Il modello concettuale è semplice come una porta blindata: tutto quello che viene da fuori è potenzialmente pericoloso, tutto quello che è dentro è al sicuro. Si controlla il confine. Si filtra il traffico in entrata. Si blocca quello sospetto.
È una metafora potente. È visiva. È vendibile.
Ed è parzialmente sbagliata. Ma ci vorranno trent'anni per ammetterlo apertamente.
Il mercato che si costruisce intorno a una metafora
Negli anni Novanta e Duemila, l'industria della cybersecurity cresce a velocità straordinaria, e cresce quasi interamente intorno al perimetro.
Non parliamo solo di firewall e antivirus. L'ecosistema perimetrale che si sviluppa in quei decenni è articolato e sofisticato: firewall di nuova generazione con ispezione profonda del traffico, sistemi di intrusion detection e prevention, gateway di posta elettronica sicuri, proxy e web filtering, VPN per gli accessi remoti, DMZ per isolare i servizi esposti, autenticazione multifattore agli accessi perimetrali. A questi si aggiungono, negli anni successivi, soluzioni EDR per il controllo degli endpoint e SIEM per la correlazione degli eventi di sicurezza.
È un ecosistema imponente. E risponde sempre alla stessa domanda fondamentale: come impedisco a qualcuno di entrare, o come mi accorgo il prima possibile se ci è riuscito dall'esterno?
Non è una scelta cinica. È la logica naturale di un mercato che segue la domanda. Le aziende avevano paura di quello che veniva da fuori, e il mercato ha risposto con strumenti che proteggevano il confine.
C'è anche una ragione più sottile, e più importante.
Il perimetro è misurabile. Un firewall ha un cruscotto che mostra quante connessioni ha bloccato oggi, questa settimana, questo mese. Un sistema di monitoraggio produce report con grafici, trend, anomalie rilevate. Numeri che crescono, minacce neutralizzate, valore dimostrato. Un responsabile IT può portare quel report al management e dire: ecco cosa stiamo facendo, ecco quanto vale.
È esattamente il tipo di dato che un vertice aziendale vuole vedere. Concreto, quantificabile, rassicurante.
Il problema è che misurare quello che si blocca all'ingresso non dice nulla su quello che succede se qualcuno entra comunque.
Il presupposto che nessuno voleva mettere in discussione
La difesa in profondità, l'idea che la sicurezza debba funzionare a strati sovrapposti, ciascuno progettato per rilevare o contenere quello che il precedente non ha fermato, non è un concetto nuovo. In ambito militare esiste da secoli. Nei sistemi critici viene applicata da decenni. (Ne abbiamo scritto anche in L'importanza strategica della difesa in profondità.)
In ambito informatico aziendale è rimasta a lungo una nicchia. E c'è una ragione precisa.
Adottare la difesa in profondità significa accettare un presupposto scomodo: che il perimetro possa essere violato. Che qualcuno possa già essere dentro. Che gli strumenti installati, per quanto sofisticati, non siano sufficienti da soli.
Per un'azienda che aveva appena investito in un ecosistema perimetrale costoso e complesso, questa era un'ammissione difficile. Per chi aveva costruito il proprio business sulla promessa di tenere fuori le minacce, era quasi una posizione scomoda da sostenere. Per un responsabile IT che aveva costruito la propria credibilità sul perimetro, era un terreno scivoloso.
Il risultato è stato un ritardo culturale che ha attraversato tutta l'industria. Non per malafede o per inerzia, ma per la difficoltà umana, universale, di rimettere in discussione un modello in cui si è investito sia economicamente che psicologicamente.
Perché è difficile vendere l'invisibile
C'è un ultimo elemento che spiega questo ritardo, ed è il più onesto da ammettere.
La difesa in profondità è difficile da vendere perché il suo valore è invisibile finché non serve.
Un firewall che blocca diecimila connessioni sospette al giorno produce una metrica rassicurante ogni mattina. Una honeypot che non suona per sei mesi non produce nulla, fino al giorno in cui suona. E in quel momento vale più di qualsiasi altro strumento in produzione. (È lo stesso principio raccontato, con un'altra immagine, in Mura potenti. Nessun allarme.)
Ma "non è successo nulla di brutto" è un risultato che non entra facilmente in un report al vertice aziendale. Non si conta. Non si mostra. Non genera la gratificazione immediata che una lista di minacce bloccate riesce a dare.
Il mercato ha venduto quello che era misurabile. Le aziende hanno comprato quello che potevano mostrare. E per trent'anni, quello spazio tra il perimetro e i dati critici, lo spazio che una minaccia paziente attraversa in silenzio, è rimasto quasi sempre vuoto.
Trent'anni dopo
Il ritardo culturale si sta riducendo. La difesa in profondità entra finalmente nell'agenda del management, spinta dai costi crescenti degli incidenti, dall'evoluzione normativa, dalla visibilità pubblica degli attacchi ransomware.
Quello spazio vuoto tra il perimetro e i dati critici oggi si può presidiare. Senza un team dedicato, senza un budget da grande azienda, senza complessità di gestione.
Con qualcosa di semplice, silenzioso, già nella rete. Qualcosa che non fa nulla, finché qualcuno tocca quello che non dovrebbe toccare.
Hoxey è questo. Una honeypot progettata per le dimensioni e la realtà delle PMI italiane: falsi positivi quasi nulli, nessun rumore da interpretare. Un segnale pulito quando serve e silenzio quando tutto va bene.
Trent'anni dopo il primo firewall, la difesa in profondità è finalmente accessibile a chi ne ha più bisogno.