IT Security: c'è ancora spazio in Italia in questo momento di crisi?

La risposta è NO. Semplice e lineare.

In un momento di crisi è chiaro che le aziende decidano di puntare sul prodotto, limando i costi al contorno e assumendosi i rischi di eventuali incidenti di sicurezza. 

Giusto o sbagliato? 

Giusto se l'analisi del rischio viene fatta con criterio, sbagliato se l'analisi è una valutazione solo spannometrica del tipo "non ho un euro e della sicurezza non me ne importa nulla adesso".

Del resto come biasimarli? Quando il rischio è la chiusura dell'azienda...

Però la colpa non è solo della crisi. La colpa è anche del mercato che si è creato attorno all'IT Security , pieno di commerciali (nulla contro la categoria) e di pochi tecnici preparati. Chiaramente quando si ha bisogno di "vendere" e il profilo tecnico è basso (come è logico in una figura commerciale), quello che si vende deve per forza di cose essere una sorta di black box, e nel caso di un servizio, configurato magari mediante "black box". 

Del resto per chi compra, magari anche lui poco preparato, è più semplice capire il concetto "c'è uno scatolotto che risolve tutti i tuoi problemi: lo attacchi alla rete e tutto funziona". 

Non è così. Gli "scatolotti" hanno quasi sempre dei log che vanno analizzati e un sistema che va configurato e ottimizzato. Questo implica risorse umane e costi che nella fase di esercizio non vengono poi destinati.

Risultato? Si vendono e si comprano scatole quasi sempre con scarsa utilità per la sicurezza dei sistemi o delle reti, ma non si comprano servizi di alto livello. 

Non mi stancherò mai di dirlo. L'obiettivo oggi non è hackerare un PC interno o un server, l'obiettivo vero sono i dati aziendali, le carte di credito, la continuità del servizio. Come risolvere tutto questo con uno scatolotto? Semplice: non si risolve. Serve competenza e qualche danaro. 

Non si hanno i soldi? E allora è meglio non fare nulla. E se poi lo scatolotto serve come foglia di fico, beh allora sappiate che questo valeva 20 anni fa, adesso anche il più beota sa che non serve un "firewall-router-ids-ips-faccio-tutto-io-sulla-rete-tu-managerz-dormi-sonni-tranquilli".

Per le aziende invece che fanno sicurezza una preghiera: mandate più tecnici in giro e meno commerciali. Fatturare è importante ma quando vendere un firewall è come vendere un cesso, avete perso!