Conformità proporzionata: perché spuntare le caselle non protegge

C’è un’azienda formalmente conforme che viene comunque compromessa. La scena si ripete abbastanza spesso da smettere di essere un paradosso: certificazioni in ordine, checklist tutte spuntate, audit superati — e un attaccante che entra dallo stesso identico varco che nessuna casella aveva mai davvero chiuso.

Il motivo è semplice e scomodo: la conformità formale misura la presenza di controlli, non la loro efficacia. Sono due cose diverse, e confonderle è il modo più elegante per spendere molto e proteggersi poco.

La casella spuntata e la domanda giusta

Prendiamo un controllo classico: “esiste una policy di gestione delle patch”. La casella si spunta con un documento. Ma la domanda che conta è un’altra: quanto tempo passa, in media, tra la pubblicazione di una vulnerabilità critica sui sistemi esposti e la sua correzione effettiva? La prima risposta è un file. La seconda è una misura del rischio reale. Un’azienda può avere la policy perfetta e patch che arrivano con settimane di ritardo dove conta di più.

Questo scarto attraversa quasi ogni controllo. “Esiste un piano di risposta agli incidenti” non dice nulla su quanto reggerebbe alla prova dei fatti. “È attiva l’autenticazione a più fattori” non dice se copre tutti gli accessi privilegiati o solo la posta. La casella descrive l’intenzione; solo l’evidenza descrive lo stato.

Perché la conformità formale seduce

La conformità per checklist è attraente perché è netta, delegabile e dimostrabile. È binaria — fatto o non fatto — quindi facile da riportare a un vertice; si può affidare a un fornitore; e produce un artefatto ostensibile in caso di ispezione. Il rischio reale è l’opposto: continuo, sfumato, e non certificabile una volta per tutte. Fra qualcosa di facile da misurare e qualcosa che conta, le aziende sotto pressione scelgono quasi sempre ciò che è facile da misurare.

Le normative migliori lo sanno, e per questo insistono sulla proporzionalità e sull’efficacia. NIS2 chiede misure adeguate al rischio e la valutazione della loro efficacia; DORA impone test reali, non attestazioni; il CRA vuole prodotti effettivamente privi di vulnerabilità note sfruttabili, non dichiarazioni. Il legislatore, in altre parole, sta cercando di spostare la barra dalla presenza alla prova.

Proporzionata significa disuguale

Conformità proporzionata non vuol dire fare meno: vuol dire distribuire lo sforzo in proporzione all’esposizione. Non tutti i sistemi meritano la stessa protezione, e trattarli come uguali è di per sé un errore — disperde risorse sui sistemi marginali e le sottrae a quelli che, se cadono, fermano l’azienda o espongono i dati che contano. Proporzionare significa concentrare le difese dove un fallimento fa più male, e accettare consapevolmente un rischio maggiore dove l’impatto è contenuto. Una checklist applicata in modo uniforme è, paradossalmente, l’opposto della proporzionalità.

L’evidenza come fondamento

La via d’uscita non è abolire le checklist — restano utili come promemoria — ma pretendere, per ogni controllo che conta, un’evidenza che ne dimostri l’efficacia. Non “abbiamo i backup”, ma “l’ultimo ripristino di prova è avvenuto in questa data, ha impiegato questo tempo, ha recuperato questi sistemi”. Non “facciamo formazione”, ma “l’ultima simulazione di phishing ha prodotto questo tasso di clic, in calo rispetto alla precedente”. L’evidenza trasforma un’affermazione in una misura, e una misura si può seguire nel tempo.

È anche ciò che regge davvero in un contenzioso o in un’ispezione. Dimostrare di aver agito con diligenza non si fa esibendo policy, ma mostrando che i controlli venivano provati, misurati e corretti. L’evidenza è al tempo stesso ciò che protegge dall’attaccante e ciò che protegge dalla contestazione.

Misurare l’esposizione, non l’adempimento

Il passaggio di maturità è smettere di chiedersi “quante caselle abbiamo spuntato” e iniziare a chiedersi “quanto siamo esposti, e quella cifra sta scendendo?”. Poche metriche oneste sull’esposizione — tempo di correzione delle vulnerabilità critiche, copertura effettiva dei controlli chiave, tempi di rilevazione e risposta provati — dicono sul rischio più di un intero fascicolo di attestazioni. E, a differenza delle caselle, si muovono: raccontano se si sta migliorando o peggiorando.

Nessuna di queste misure va costruita da zero ogni trimestre: il valore sta nel seguirle nel tempo, con la stessa definizione, così che una variazione significhi qualcosa. Una metrica che cambia metodo di calcolo a ogni rilevazione non è una misura, è un aneddoto.

In sintesi

Spuntare le caselle è necessario ma non sufficiente: dimostra che i controlli esistono, non che funzionano. La sicurezza vive nella distanza tra i due, e quella distanza si colma solo con l’evidenza e con una misura onesta dell’esposizione. La conformità è il pavimento, non il soffitto — e confondere il pavimento con la casa è il modo più costoso di sentirsi al sicuro senza esserlo.