Post

Diecimila CVE al mese e una dashboard verde (ma la velocity era il KPI sbagliato)

Immagine
Il numero preferito dal comitato rischi, quando si parla di vulnerabilità, è una percentuale. Sistemi aggiornati entro trenta giorni: novantadue per cento (il numero me lo invento io, ma chi ha seduto in un comitato ne ha visto uno identico). Casella verde. Il CFO chiede se il dato è in linea con il trimestre precedente, qualcuno annuisce, si passa al punto successivo. Nessuno chiede quali siano i sistemi dell'otto per cento mancante. Tanto meno chi abbia deciso che potevano aspettare. L'8 settembre Microsoft rilascia, in un solo Patch Tuesday, le correzioni per 972 vulnerabilità, 113 delle quali critiche: più del doppio delle 415 di agosto, un record secondo l' analisi di CrowdStrike . Il mese dopo la percentuale scende. Il team non ha lavorato peggio: è cambiato il denominatore. E il denominatore non lo governa più nessuno. Con questi volumi, chi misura il patch management in velocità e in percentuale di copertura misura il rumore. La decisione che conta è un'altra, ...
di Andrea Lazzari
Posta un commento
Continua a leggere →

Agenti di OpenAI nei siti dei governi e nessun allarme (a fare la spia è il fornitore)

Immagine
Il primo ottobre di quest'anno il governo del New South Wales riceve una comunicazione da OpenAI. A giugno uno dei suoi agenti è entrato in un'applicazione web del National Parks and Wildlife Service. È l'ente dei parchi, e l'applicazione è quella che mostra la storia degli incendi. Con interrogazioni costruite ad arte ha ricavato informazioni sulla struttura del database che sta dietro la mappa ( OpenAI ). Dati personali, nessuno. Il dipartimento competente fa sapere che sta lavorando "with Cyber Security NSW and its technology service provider to investigate the matter and assess its impact" ( ABC News ). Tradotto: a ottobre si comincia a capire cosa è successo a giugno. E lo si capisce perché qualcuno da fuori ha bussato per dirlo. Nei titoli manca il dettaglio che conta: chi se n'è accorto? Né l'ente dei parchi né il suo fornitore, e nemmeno un analista insospettito da un picco di traffico alle tre di notte. Se n'è accorta l'azienda che l...
di Andrea Lazzari
Posta un commento
Continua a leggere →

Ripartiti in 24 ore, con i dati dei clienti già in vendita (il ransomware è cambiato)

Immagine
Immaginate il consiglio convocato due giorni dopo l'attacco. Il CIO ha le occhiaie di chi non dorme da tre notti. Porta però l'unica buona notizia della settimana: i sistemi sono tornati su in ventiquattro ore, i backup immutabili hanno tenuto, il piano di ripristino ha funzionato "come da manuale". Il CFO chiede se la polizza copre i costi (domanda legittima, ci mancherebbe). Si passa al punto successivo. La reazione istintiva la conosco bene, perché è quella di chiunque abbia firmato un piano di ripristino. Ventiquattro ore? Siamo pronti, allora! Peccato che in quella sala nessuno abbia chiesto cosa è uscito dalla rete nei giorni prima della cifratura. E soprattutto chi lo sta leggendo adesso? Il ransomware è diventato prima di tutto un problema di riservatezza, e solo dopo di disponibilità. I programmi di resilienza, però, misurano la parte dell'attacco che fa rumore, il lucchetto sui file, e quasi ignorano quella che non ne fa: i dati che escono. Ripartire in...
di Andrea Lazzari
Posta un commento
Continua a leggere →

Incidenti taciuti al board: novantuno su cento (e il problema non è chi tace)

Immagine
Novantuno per cento. Il 22 settembre 2026 VikingCloud ha pubblicato la sua ricerca annuale sulle grandi catene distribuite, supermercati, fast food e retail con più di 5.000 dipendenti e 500 sedi tra Stati Uniti ed Europa. Il 91% dei responsabili di sicurezza e IT intervistati ammette che almeno un incidente "materiale" non è mai arrivato all'executive o al board. Il 43% ne conta cinque o più. E il motivo più citato, per il terzo anno di fila, è sempre lo stesso: la paura di ripercussioni professionali, al 47% ( VikingCloud ). La reazione istintiva la conosco, perché è stata anche la mia. Ma come, ci stai dicendo che i CISO nascondono gli incidenti? Panico! E giù con uno scroscio di più controlli sul CISO (che per carità vanno bene), più dashboard, più obblighi di notifica; la solita ricetta "facile". Ecco, no: il punto non è chi omette. Quel 91% non misura la reticenza di chi fa sicurezza: misura quanto costa, in quelle organizzazioni, portare una cattiva not...
di Andrea Lazzari
Posta un commento
Continua a leggere →

OpenAI - Il piromane e il pompiere, stesso fornitore (ma l'estintore è gratis per sei mesi)

Immagine
Tre settembre 2026. OpenAI pubblica due pagine nello stesso giorno. Nella prima presenta GPT-6 Astra e scrive, nero su bianco, che è il primo modello della casa a raggiungere il livello "Critical" per le capacità offensive in ambito cyber. Traduzione, con parole loro: con gli strumenti e gli accessi giusti, il modello può trovare falle sconosciute e costruire il modo di sfruttarle "across many well-protected systems", senza che una persona guidi ogni passo ( OpenAI, safety overview ). Il modello viene comunque rilasciato su larga scala, con misure di sicurezza rafforzate. Nella seconda annuncia un miliardo di dollari per i "difensori in prima linea": acquedotti, reti elettriche, amministrazioni locali, piccole banche, maintainer open source. Accesso sovvenzionato ai modelli cyber di OpenAI, formazione, supporto tecnico ( OpenAI, Daybreak for Frontline Defenders ). Stesso giorno. Stesso fornitore. Da una parte l'incendio, dall'altra l'estinto...
di Andrea Lazzari
Posta un commento
Continua a leggere →

Un agente AI, un recinto basso e tre mesi di silenzio (da noi sarebbe reato?)

Immagine
Diciotto giugno di quest'anno. Un agente software di OpenAI deve trovare delle statistiche sulla spesa pubblica per i farmaci in Australia. Chiede i dati al portale statistico di Medicare. Il portale risponde di no. Richiede. Di nuovo no. Un umano, a quel punto, alzerebbe il telefono. L'agente invece trova un'altra strada, e ci passa attraverso OpenAI se ne accorge ad agosto, durante una revisione interna di quella che chiama, con un'eleganza che meriterebbe un premio, "misaligned model activity". Il governo australiano lo scopre il 10 settembre, da una email. Il mondo lo scopre il 24 settembre, da una conferenza stampa del primo ministro Anthony Albanese a New York ( Axios ). La dichiarazione dell'azienda sta in cinque parole: i suoi modelli "took actions we did not intend". Da allora il dibattito gira attorno a una domanda sola: è stato un hack o no? È la domanda sbagliata. La mia tesi è questa (e so che a qualcuno suonerà pedante): l'agen...
di Andrea Lazzari
Posta un commento
Continua a leggere →