Ciao, e benvenuto nella nona puntata della cinquantaduesima stagione. Oggi facciamo un passo indietro, e guardiamo la sicurezza non più una difesa alla volta, ma nel suo insieme, con l'onestà che merita. Perché c'è una verità che sta sotto tutto ciò che abbiamo detto, e che va guardata in faccia: nessuna difesa, da sola, tiene per sempre. Oggi capiamo la difesa a strati: dai per scontato di essere violato.
Partiamo dalla verità scomoda, perché cambia l'atteggiamento. La sicurezza perfetta non esiste. Nessun muro è invalicabile, dato abbastanza tempo, abbastanza tentativi, abbastanza ingegno o abbastanza fortuna dall'altra parte. Chi ti dice di poterti rendere inviolabile, o non capisce, o ti sta vendendo qualcosa. L'obiettivo realistico non è essere impenetrabili: è rendere gli attacchi costosi, e contenere il danno quando, non se, ma quando, qualcosa va storto. Cambia tutto, partire da qui: non presumere di non essere mai violato, ma prepararsi a esserlo.
Voglio darti la prima idea che nasce da qui, perché è il titolo. La prima idea è la difesa a strati. Non affidare la tua sicurezza a un'unica barriera, per quanto robusta, perché se cade quella, cade tutto. Metti più strati, uno dietro l'altro, così che il fallimento di uno non sia il fallimento di tutti. Se il primo controllo viene aggirato, ce n'è un secondo. Se un attaccante supera il muro, trova un altro muro. Nessuno strato è perfetto, ma insieme rendono il cammino dell'attaccante lungo, rumoroso e difficile, e ti danno il tempo di accorgertene.
Voglio darti la seconda idea, perché limita i danni. La seconda idea è dare a ciascuno il minimo potere necessario. Ogni componente, ogni chiave, ogni servizio riceve solo i permessi che gli servono per fare il suo lavoro, e non uno di più. Perché così, se quel pezzo viene compromesso, l'attaccante eredita solo quel poco potere, non le chiavi di tutto. È la differenza tra una spia che, catturata, sa solo la sua piccola parte, e una che sapeva ogni segreto. Riducendo il potere di ogni pezzo, riduci il raggio dell'esplosione quando un pezzo salta.
Voglio unire le due idee, perché insieme sono la strategia. Messe insieme, queste due idee dicono una cosa sola: progetta il sistema partendo dal presupposto che qualche parte, prima o poi, cederà, e fai in modo che quando cede il danno resti piccolo e circoscritto. Non una fortezza con un solo grande muro, ma tante piccole stanze chiuse, ognuna con la sua serratura, ognuna che contiene poco. Così una breccia non è mai la fine: è un incidente locale, spiacevole ma sopravvivibile, invece di un crollo totale.
Voglio darti anche un attacco che questo previene, perché lo illustra. C'è un attacco insidioso che questo modo di pensare aiuta a contenere: il tuo stesso servizio, ingannato, che agisce per conto dell'attaccante. Un componente interno, di cui gli altri si fidano proprio perché è interno, viene manipolato per fare richieste al posto del cattivo, sfruttando la fiducia che gli altri gli danno. La difesa a strati e il minimo potere sono la risposta: se anche quel componente fidato viene piegato, può fare solo il poco che gli era concesso, e trova comunque altri controlli sulla sua strada.
Voglio darti l'immagine che rende chiara questa idea, perché è marinara. Pensa a come è costruita una nave. Non ha un unico grande scafo che, se si buca, la fa affondare tutta. È divisa in tanti compartimenti stagni, chiusi l'uno dall'altro. Se l'acqua entra in uno, quella falla allaga solo quel compartimento, e la nave resta a galla. È progettata partendo dal presupposto che, prima o poi, una falla ci sarà. Non punta a uno scafo perfetto: punta a sopravvivere alla falla. La sicurezza matura ragiona così, a compartimenti.
Voglio trarre la lezione generale, perché è la sintesi del mestiere. La lezione è che la sicurezza matura non promette l'invulnerabilità: la dà per impossibile, e si organizza di conseguenza. Strati, così che un fallimento non sia totale. Potere minimo, così che una breccia resti piccola. E il presupposto, umile e realistico, che sarai violato, che sposta lo sforzo dal sogno di non cadere mai alla saggezza di cadere bene. La domanda giusta non è come rendo tutto impenetrabile, ma: quando qualcosa cederà, quanto sarà grave, e riuscirò a contenerlo?
Per oggi ci fermiamo qui. Abbiamo guardato la sicurezza nel suo insieme, con onestà. La verità scomoda: la sicurezza perfetta non esiste, e l'obiettivo non è essere impenetrabili, ma rendere gli attacchi costosi e contenere il danno quando, non se, qualcosa va storto. Da qui due idee. La difesa a strati: più barriere, così che il fallimento di una non sia il fallimento di tutte. E il minimo potere a ciascuno, così che una breccia eredita poco e resta circoscritta. Insieme: progetta dando per scontato che qualcosa cederà, e fai sì che il danno resti piccolo. Come una nave a compartimenti stagni, che sopravvive alla falla. La lezione: non promettere l'invulnerabilità, ma imparare a cadere bene. Nella prossima e ultima puntata tiriamo le somme. Nelle note trovi qualche spunto. Se ti è utile, condividila. Grazie per l'ascolto, e ci sentiamo alla prossima.