Il futuro dell'industria della Sicurezza

Intervento un po' lunghetto, ma vista l'autorevolezza dello speaker, vale la pena di seguirlo fino in fondo. Le considerazioni fatte da Bruce sono illuminanti e tracciano il futuro (se non già il presente) della Sicurezza Informatica come IT business.

Dunque in soldoni quello che ci viene detto è sostanzialmente: "l'abitudine di comprare sicurezza informatica da aggiungere a questo o a quel prodotto sta finendo. Da ora in poi pretenderemo dei prodotti gradevoli, funzionanti e sicuri."

L'analogia automobilistica paga sempre, per cui pensiamo ad un sistema software come ad una automobile. Comprare un'automobile e poi andare da un meccanico con la fatidica domanda "Quanto spenderei per renderla sicura?" sembrerebbe alquanto strano o no?

Il sistema informatico quindi verrà venduto con tutti i suoi accessori, funzionalità e garanzie di funzionamento e sicurezza. Chi vi garantirà sarà il produttore che si assumerà l'onere di garantire ciò che afferma. La sicurezza è una caratteristica intrinseca di tutti i prodotti che deve essere garantita dal produttore fin dalle fasi progettuali e non può essere aggiunta dopo come un qualsiasi "retrofit".

Altro discorso è come rivalersi nel caso di una mancanza di sicurezza che determini un danno poi all'utilizzatore del prodotto. In questo caso un'automobile è un dominio enormemente più consolidato e semplice da analizzare in un dibattimento giudiziario.

Il povero consulente tecnico (d'ufficio o di parte) che si trovi a dover analizzare un danno provocato da un'intrusione in un sistema informatico o una perdita di dati, dovrà considerare molti fattori, tra cui stabilire se c'è stata effettivamente una relazione tra la "presunta" difformità progettuale e/o realizzativa ed il danno causato. Insomma il "nesso causa-effetto".

Nella metafora automobilistica, stabilire se un danno è stato provocato dalla rottura del sistema ABS , per esempio, potrebbe essere più facile se paragonato invece ad una perdita di dati in un sistema informatico, dovuta forse ad una cattiva progettazione e/o realizzazione da parte del produttore. Stiamo parlando di due domini molto diversi che richiedono ambedue una preparazione tecnica non indifferente. Ma i sistemi informatici per loro natura seguono una curva evoluzionistica più ripida e questo, a parità di condizioni, complica notevolmente la questione.

Chiedere oggi dei danni ad un produttore perché non ha correttamente implementato la sicurezza nel sistema venduto, suonerebbe forse alquanto strano. Ma sono convinto che tra 20 anni questa sarà invece la normalità. Del resto in particolari ambiti, come quello elettromedicale, sono convinto che già ci sono aspetti contrattuali ben precisi a riguardo della sicurezza del sistema.

Insomma non più aziende di sicurezza che lavorano per il consumer, ma aziende di sicurezza che lavorano con i produttori per fornire prodotti che siano anche sicuri. Questo è quello previsto da Bruce! Vedremo se ha ragione o meno.