freeuser.org

Il numero preferito dal comitato rischi, quando si parla di vulnerabilità, è una percentuale. Sistemi aggiornati entro trenta giorni: novantadue per cento (il numero me lo invento io, ma chi ha seduto in un comitato ne ha visto uno identico). Casella verde. Il CFO chiede se il dato è in linea con il trimestre precedente, qualcuno annuisce, si passa al punto successivo. Nessuno chiede quali siano i sistemi dell'otto per cento mancante. Tanto meno chi abbia deciso che potevano aspettare. L'8 settembre Microsoft rilascia, in un solo Patch Tuesday, le correzioni per 972 vulnerabilità, 113 delle quali critiche: più del doppio delle 415 di agosto, un record secondo l' analisi di CrowdStrike . Il mese dopo la percentuale scende. Il team non ha lavorato peggio: è cambiato il denominatore. E il denominatore non lo governa più nessuno. Con questi volumi, chi misura il patch management in velocità e in percentuale di copertura misura il rumore. La decisione che conta è un'altra, ...

Il primo ottobre di quest'anno il governo del New South Wales riceve una comunicazione da OpenAI. A giugno uno dei suoi agenti è entrato in un'applicazione web del National Parks and Wildlife Service. È l'ente dei parchi, e l'applicazione è quella che mostra la storia degli incendi. Con interrogazioni costruite ad arte ha ricavato informazioni sulla struttura del database che sta dietro la mappa ( OpenAI ). Dati personali, nessuno. Il dipartimento competente fa sapere che sta lavorando "with Cyber Security NSW and its technology service provider to investigate the matter and assess its impact" ( ABC News ). Tradotto: a ottobre si comincia a capire cosa è successo a giugno. E lo si capisce perché qualcuno da fuori ha bussato per dirlo. Nei titoli manca il dettaglio che conta: chi se n'è accorto? Né l'ente dei parchi né il suo fornitore, e nemmeno un analista insospettito da un picco di traffico alle tre di notte. Se n'è accorta l'azienda che l...

Immaginate il consiglio convocato due giorni dopo l'attacco. Il CIO ha le occhiaie di chi non dorme da tre notti. Porta però l'unica buona notizia della settimana: i sistemi sono tornati su in ventiquattro ore, i backup immutabili hanno tenuto, il piano di ripristino ha funzionato "come da manuale". Il CFO chiede se la polizza copre i costi (domanda legittima, ci mancherebbe). Si passa al punto successivo. La reazione istintiva la conosco bene, perché è quella di chiunque abbia firmato un piano di ripristino. Ventiquattro ore? Siamo pronti, allora! Peccato che in quella sala nessuno abbia chiesto cosa è uscito dalla rete nei giorni prima della cifratura. E soprattutto chi lo sta leggendo adesso? Il ransomware è diventato prima di tutto un problema di riservatezza, e solo dopo di disponibilità. I programmi di resilienza, però, misurano la parte dell'attacco che fa rumore, il lucchetto sui file, e quasi ignorano quella che non ne fa: i dati che escono. Ripartire in...

Novantuno per cento. Il 22 settembre 2026 VikingCloud ha pubblicato la sua ricerca annuale sulle grandi catene distribuite, supermercati, fast food e retail con più di 5.000 dipendenti e 500 sedi tra Stati Uniti ed Europa. Il 91% dei responsabili di sicurezza e IT intervistati ammette che almeno un incidente "materiale" non è mai arrivato all'executive o al board. Il 43% ne conta cinque o più. E il motivo più citato, per il terzo anno di fila, è sempre lo stesso: la paura di ripercussioni professionali, al 47% ( VikingCloud ). La reazione istintiva la conosco, perché è stata anche la mia. Ma come, ci stai dicendo che i CISO nascondono gli incidenti? Panico! E giù con uno scroscio di più controlli sul CISO (che per carità vanno bene), più dashboard, più obblighi di notifica; la solita ricetta "facile". Ecco, no: il punto non è chi omette. Quel 91% non misura la reticenza di chi fa sicurezza: misura quanto costa, in quelle organizzazioni, portare una cattiva not...

Tre settembre 2026. OpenAI pubblica due pagine nello stesso giorno. Nella prima presenta GPT-6 Astra e scrive, nero su bianco, che è il primo modello della casa a raggiungere il livello "Critical" per le capacità offensive in ambito cyber. Traduzione, con parole loro: con gli strumenti e gli accessi giusti, il modello può trovare falle sconosciute e costruire il modo di sfruttarle "across many well-protected systems", senza che una persona guidi ogni passo ( OpenAI, safety overview ). Il modello viene comunque rilasciato su larga scala, con misure di sicurezza rafforzate. Nella seconda annuncia un miliardo di dollari per i "difensori in prima linea": acquedotti, reti elettriche, amministrazioni locali, piccole banche, maintainer open source. Accesso sovvenzionato ai modelli cyber di OpenAI, formazione, supporto tecnico ( OpenAI, Daybreak for Frontline Defenders ). Stesso giorno. Stesso fornitore. Da una parte l'incendio, dall'altra l'estinto...