1

Intervista a Marco Castaldo, Amministratore Delegato di CSE-Cybsec

Due chiacchiere un’azienda italiana di eccellenza ‘nel campo della cybersecurity.

In questo Blog, sempre più spesso affrontiamo temi legati all’evoluzione del “cyberspazio”, e nel mio penultimo libro “Il sex appeal dei corpi digitali” pongo l’accento sui pericoli – anche per la salute del nostro organismo – di un abuso degli strumenti digitali nella nostra vita quotidiana. Di pari passo con lo sviluppo del digitale, cresce sempre di più la portata delle minacce cibernetiche, alla sicurezza di dati e infrastrutture tecnologiche, militari e statuali, ma anche aziendali e private. Nel 2017 si è costituita – fusione di precedenti esperienze professionali di eccellenza – un’azienda al 100% italiana nel campo della cyber security: Cybsec S.p.A, che inaugurerà mercoledì 24 a Roma la sua nuova sede. Ho intervistato in anteprima Marco Castaldo, Amministratore Delegato di Cybsec.
 

Dott. Castaldo innanzitutto, cos’è la Cyber Security, nella vostra visione?

Grazie per questa domanda solo apparentemente scontata. L’innovazione e la digitalizzazione sono elementi sempre più indispensabili per l’esistenza stessa di un’impresa: ricerche di grandi società di consulenza, come The Boston Consulting Group, mostrano numeri alla mano che le aziende più innovative e più digitalizzate sono quelle che hanno annualmente maggiori incrementi di produttività, di profitti e di quote di mercato, quelle meno innovative sono a rischio di espulsione dal mercato.
Ma, c’è un ma: il web è stato costruito pensando alla connessione e non alla sicurezza; assicura dunque i vantaggi imprescindibili dell’immediatezza e orizzontalità, che qualche anno fa erano impossibile anche soltanto immaginare, ma comporta anche dei rischi che vanno affrontati e ridotti ad un livello accettabile, dotandosi di strumenti efficaci di difesa cibernetica ed implementando “una cultura della sicurezza” all’interno delle organizzazioni e delle aziende.
Per usare una metafora: è come se grazie allo sviluppo della tecnologia digitale avessimo costruito negli ultimi dieci anni automobili che rispetto alle precedenti vanno dieci volte più veloci e consumano dieci volte di meno, dimenticando però di dotarle di un airbag speciale e di freni al titanio, che a certe velocità fanno la differenza tra il salvarsi la vita oppure no in caso di incidenti.

 
Non stiamo quindi parlando di ambiti squisitamente tecnologici, “cose da ingegneri e programmatori”, insomma…

Esatto: la cyber security ha un ineludibile aspetto tecnologico; ma non si esaurisce in esso. In Cybsec riteniamo infatti che per difendere i propri sistemi digitali – ma meglio sarebbe dire i propri asset patrimoniali più strategici – e incrementare i vantaggi della digitalizzazione si debba adottare, implementare ed aggiornare in continuazione soluzioni e strumenti capaci di prevenire e/o resistere efficacemente ad attacchi informatici. IL focus è proprio su questo: sulla protezione degli asset e dei “valori” delle aziende.

 
Questo è un elemento distintivo rispetto alla concorrenza. Ve ne sono altri?

Possiamo dire che il nostro approccio – conformemente al pensiero del nostro CTO, Pier Luigi Paganini: uno dei massimi esperti in campo internazionale nel settore – è quello di una strategia di security che parte da due poli: il punto di vista del vertice operativo del cliente sugli asset critici da proteggere e sugli obiettivi di sviluppo dell’organizzazione, e il punto di vista dell’attaccante, che mira ad abbattere le difese per motivi legati al profitto criminale, ad interessi politici – sempre più spesso geo-politici – o a visioni ideologiche estreme ed anti-sistema. Ci caratterizziamo quindi per un servizio “chiavi in mano” – di tipo tecnologico, ma anche legale, assicurativo e di formazione – che non è mai modellato su “soluzioni standard”.

 
La società in questi primi mesi ha stipulato “alleanze”?

Abbiamo lanciato un progetto di ricerca congiunto con l’Università del Sannio, considerata un’eccellenza nel campo della cyber security e focalizzato sull’uso del machine learning e dell’intelligenza artificiale per l’implementazione di strumenti di difesa cibernetica; abbiamo sottoscritto un contratto di partnership con uno dei più affermati Studi legali dello Stato di Israele, consociato con una primaria società di Venture Capital specializzata in particolare sul finanziamento di start up nel settore della Cyber Security. Oggetto del mandato, è lo scouting di start-up d’eccellenza, in particolare con focus sulle soluzioni per la GDPR (General Data Protection Regulation), Threat Intelligence e soluzioni per i SOC – Security Operation Center, per poi lanciare partnership finalizzate a veicolare sul mercato italiano le specifiche soluzioni, con marchio CSE. Inoltre, abbiamo promosso e contrattualizzato sin dalla partenza alleanze operative con tre brand internazionali: Orrick Legal, Grant Thorton Consulting, e NTT Data. Abbiamo inoltre costituito un Malware Analys Lab  dal nome “Zlab” – per la scoperta e l’analisi dei malware di nuova generazione, con analisti di altissima specializzazione, che sta rapidamente imponendosi all’attenzione della comunità internazionale della cyber security. É a firma dello ZIab la pubblicazione di una immediata analisi preliminare del malware BAD RABBIT che ha creato scompiglio a livello internazionale, uscendo, primi al mondo, in contemporanea con il colosso internazionale Kaspersky, analisi che è stata subito ripresa e rimbalzata sui social come Twitter e sui siti specializzati a livello internazionale.

 
In qualche misura, voi specialisti in Cyber Security “prevedete il futuro”: una costante pratica di simulazione di scenario per mitigare i rischi. Partendo da questa metafora, cosa vede in prospettiva, nel prossimo periodo, nello scenario degli attacchi cyber a livello internazionale?

Le rispondo così: tentare di “prevedere scenari futuri” è parte intrinseca della natura umana, anzi, forse ne è la principale caratteristica distintiva. Ma quella che stiamo vivendo in questo appassionante dominio è una condizione del tutto “innaturale”: ci sforziamo di fare previsioni ma siamo smentiti dai fatti in tempo reale. Tutto l’impegno profuso dalle migliori “menti tecnologiche” nello sviluppare il mondo digitale che ci circonda – in qualsiasi campo, dalla scienza al marketing, dalla medicina all’istruzione, dalla produzione al risparmio energetico, dalla riduzione dell’analfabetismo alla diffusione della democrazia – ha il suo opposto nello sviluppo di nuove capacità di attacco da parte dei “cattivi”, i quali– ricordiamolo – hanno dalla loro due enormi vantaggi strategici: da un lato una superficie attaccabile che si allarga a dismisura – mentre scrivo ci sono lanci di agenzia che parlano della minaccia alla rete mondiale del malware Okiru di cui il nostro Chief Technology Officer Pierluigi Paganini è stato il primo al mondo a dare l’allarme, insieme ad un’altra figura di riferimento mondiale dell’arena degli hacker etici, Odisseus – e dall’altro la possibilità di scegliere in totale autonomia il momento in cui attaccare. Senza dimenticare il bassissimo livello di rischio personale, stante la difficoltà da parte delle vittime di un attacco di poter riconoscere con precisione e senza dubbio i responsabili dell’attacco.
La strada maestra per difendersi è quindi “fare sistema”: occorre un cambiamento culturale radicale che ci convinca a mettere il problema della sicurezza cibernetica ai primi posti delle nostre priorità, con la conseguente necessaria spinta verso un processo urgente di innovazione tecnologico, organizzativo, legislativo, finanche militare, a un livello sicuramente sovranazionale.
Noi nel nostro quotidiano come ho detto mettiamo in campo competenze eccellenti, facciamo progetti di ricerca, importiamo tecnologie all’avanguardia dai paesi più avanzati in cyber security; mettiamo tutto il nostro impegno nella difesa del paese, delle sue strutture critiche e degli asset patrimoniali delle imprese pubbliche e private.




Concita De Gregorio: «Noi, tutte sorrisi nei selfie pieni di like. Senza più sapere chi siamo»

Reputazione e identità sono due storie ben diverse. Ma è sempre più difficile distinguerle, nell’epoca dell’auto-rappresentazione sui social tutta tesa al consenso. La giornalista e scrittrice, dopo avere raccontato le «ragazze del secolo scorso» nel documentario “Lievito madre”, passa alle «ragazze di questo secolo» nel libro “Chi sono io?”




Attacchi hacker e insulti su Facebook, la crociata online dei nazionalisti cinesi

La brigata Little Pink combatte su web e social network. Dal Dalai Lama a Hong Kong, nel mirino i «nemici di Pechino»

Alcuni li dipingono come Guardie Rosse 2.0. Rispetto ai tempi della Rivoluzione culturale i metodi sono certamente meno cruenti: per difendere la Cina e il Partito comunista sono armati di uno smartphone e di tanta retorica nazionalista. I Little Pink – xiao fenhong, in cinese – hanno scelto la Rete come campo di battaglia e il loro zelo patriottico è infarcito da un tocco pop, fatto di e-moji e meme che si scambiano online. Il nome di questa brigata di agit-prop digitali deriva dallo sfondo rosa del forum di letteratura Jinjiang, dove sono comparsi anni fa. Quando dai romanzi si è passati alla discussione politica, i toni si sono infiammati: invettive anti-giapponesi, proclami contro l’indipendenza di Taiwan, del Tibet e di Hong Kong, l’attacco al sistema democratico.

Anche lo sport è non è sfuggito all’attenzione dei Little Pink. Nel corso delle Olimpiadi di Rio, quando il campione olimpico di nuoto Mack Horton accusò il collega cinese Sun Yang di doping, la rete della Repubblica popolare non la prese bene: le pagine social del nuotatore australiano furono riempite da una galleria di insulti. Subito dopo essere stata eletta presidente di Taiwan, in poche ore anche la bacheca Facebook di Tsai Ing-wen fu sommersa da oltre 40 mila post contro l’indipendenza dell’isola. Secondo alcune ricerche, i Little Pink sono soprattutto ragazze tra i 18 e i 24 anni. «Figlie, sorelle, la ragazza di cui ci siamo presi una cotta», le definì in un post la Lega della gioventù comunista. Altri identificano i troll cinesi più motivati tra gli studenti delle Università Usa o europee: dove possono accedere con più facilità a Facebook, Instagram e Twitter, bloccati nella Repubblica popolare. «I media occidentali attaccano continuamente la Cina», lamenta Zhang Xiaolin, che però ritiene i metodi dei Little Pink un po’ estremi. Per anni, la propaganda di Pechino sui social è stata alimentata da un esercito di funzionari pagati per sostenere il Partito comunista o per far cambiare argomento quando le conversazioni online viravano su temi sensibili. Secondo le stime contenute in uno studio dell’Università di Harvard, il cosiddetto esercito-dei-cinquanta-centesimi inonda ogni anno la rete di 448 milioni di post.
Nei giorni scorsi anche il Vietnam ha annunciato di aver reclutato 10 mila uomini per combattere le «idee sbagliate» che si diffondono online. A differenza dell’esercito-dei-cinquanta-centesimi, i messaggi dei Little Pink sono più autentici: un segnale che tra questi giovani cresce la percezione dell’ascesa della Repubblica popolare e del declino delle democrazie occidentali. All’ultimo Congresso del Partito comunista, Xi Jinping aveva spronato la Cina a diventare più sicura di sé, molti lo stanno prendendo alla lettera.




Investire sulla reputazione rende il 10%

Una ricerca condotta da Mediobanca e Cineas ci dice che la tutela della reputazione aziendale ha ritorni non soltanto tangibili, ma anche misurabili e pesanti. L’analisi di Giovanni Landolfi e Giampietro Vecchiato.

Gestire i rischi vale il 30% del Roi

L’Osservatorio sul risk management, condotto da Mediobanca per il Cineas prende in considerazione 277 imprese familiari italiane in rappresentanza di 2.600 medie imprese manifatturiere, con fatturati tra 20 e 355 milioni di euro e da 50 a 499 dipendenti. L’analisi ha l’obiettivo di capire se e come queste aziende gestiscono i rischi, quali rischi prendono in considerazione, con quali priorità e con quali esiti in termini di risultati aziendali. La sorpresa sta qui: le imprese dotate di un sistema strutturato di risk management ottengono profitti di oltre il 30% superiori rispetto alle altre. Quindi, la gestione dei rischi non ha soltanto un valore industriale, volto a salvaguardare gli investimenti e la continuità aziendale, ma può anche generare un ritorno finanziario significativo.
E quali sono i dieci rischi più temuti dalle medie imprese italiane? Al primo posto c’è la sicurezza sul lavoro. Subito dopo, il cyber risk, la difettosità dei prodotti, il rischio reputazionale e quello ambientale. Al sesto posto, le competenze professionali. Quindi, le interruzioni di fornitura, la compliance normativa (legge 231), l’imitazione del prodotto e, al decimo posto, le catastrofi naturali.
“Emerge una correlazione chiara tra la gestione dei rischi e la redditività aziendale”, ha spiegato, presentando i dati, Gabriele Barbaresco, autore della ricerca e direttore dell’Ufficio studi Mediobanca: “anche se non è provata la causalità tra la gestione dei rischi e una redditività migliore. Potrebbe anche essere che le imprese con una migliore redditività abbiano anche una maggiore attenzione alla gestione dei rischi”. Ciò non toglie che un differenziale del 31% in termini di Roi (dati 2017: nel 2016 il dato era addirittura del 38%) rappresenti un valore tutt’altro che trascurabile.

La reputazione come rischio da gestire

Il caso della reputazione poi è peculiare perché non riguarda i processi aziendali né gli obblighi normativi su cui da sempre si concentra l’attenzione delle imprese, e appena due anni fa non rientrava nemmeno nelle prime 20 posizioni: era al 21° posto su 22 aree di rischio principali indicate dalle aziende del campione. “Naturamente, la percezione del rischio da parte degli imprenditori varia sensibilmente in funzione della tipologia di attività dell’azienda”, prosegue Barbaresco. “Nell’alimentare ci si sente più esposti all’imitazione del prodotto, alla difettosità, al rischio reputazionale e alle calamità naturali. Per i beni per la persona e la casa in cima alla lista dei pericoli ci sono le calamità naturali. Il chimico farmaceutico teme il rischio di disastro ambientale e si sente molto meno esposto al cyber risk e al rischio reputazionale. Per il meccanico, a contare di più sono le competenze professionali, mentre nel metallurgico la sicurezza sul lavoro”. Ma è interessante questo secondo passaggio: “A mano a mano che ci si sposta verso la gestione di rischi che esulano dall’obbligatorietà legale, ma che attengono più propriamente all’attivazione di leve competitive, si amplia il differenziale in termini di redditività industriale a vantaggio delle imprese che dedicano a essi presidi efficaci. È il caso delle competenze professionali (+8%), degli aspetti reputazionali (+10%), della sicurezza informatica evoluta e protezione dall’hackeraggio (14%), fino al presidio della qualità del prodotto e quindi della sua non replicabilità (+21%)”.

Cigni neri e conti in rosso

Il punto chiave è che le imprese dotate di strumenti manageriali evoluti ricorrono a modelli di risk management che non si limitano ad analizzare dati probabilistici e serie storiche sugli accadimenti possibili ma si spingono a immaginare rischi non tradizionali o che possono nascere da situazioni non predeterminabili. Un modo per evocare i cosiddetti cigni neri, che Nassim Taleb ci ricorda essere eventi a bassissima probabilità ma con un impatto potenzialmente devastante. Guardiamo alla cosa in termini di esposizione: il 60% delle aziende analizzate da Mediobanca ha un sito aggiornato, ottimizzato e utilizza il web ai fini commerciali. Vuol dire che il nome di queste imprese arriva a un numero di contatti inimmaginabile soltanto dieci anni fa e, in caso di situazioni o incidenti che compromettano la credibilità dell’azienda, tutti questi contatti rischiano di diventare nostri nemici o giudici, di prendere le distanze da noi o di diventare addirittura attivisti per la messa al bando del nostro brand. È possibile difendersi? Certamente, ma non a prezzo di saldo. Il rapporto Aon 2017 sulla gestione del rischio nelle aziende, stima che una società quotata in borsa possa perdere almeno il 20% del proprio valore azionario in caso di danni di immagine consistenti, come scandali, incidenti, cause legali. Mentre la rivista specializzata Reputation Management rileva che l’80% degli utenti di e-commerce dichiara di non fare acquisti presso esercenti con recensioni negative. Se questo è il conto da pagare, è indubbiamente preferibile agire d’anticipo, affrontare quest’area di rischio in ottica strategica e adottare una politica di prevenzione dei rischi reputazionali. Anche perché si tratta di un investimento sicuro. Mediobanca docet.




NASCE TORINO SOCIAL IMPACT: SOCIALE, TECNOLOGIA E FINANZA PER UNA NUOVA CITTÀ

NASCE TORINO SOCIAL IMPACT: SOCIALE, TECNOLOGIA E FINANZA PER UNA NUOVA CITTÀ

E’ stato firmato questa mattina, presso gli spazi di Toolbox, il Memorandum of Understanding “Torino Social Impact”.

Si tratta di un accordo che sancisce l’alleanza tra istituzioni pubbliche e private per fare di Torino il miglior ecosistema europeo per l’imprenditorialità e gli investimenti ad impatto sociale e ad elevato contenuto tecnologico.

La strategia è basata sull’idea che all’intersezione tra la storica vocazione all’imprenditorialità sociale della città, la densità di capacità tecnologiche sul territorio e la presenza di importanti investitori orientati all’impatto sociale, risieda una interessante opzione di sviluppo sociale ed industriale per la città. Nello stesso tempo, è evidente come si stia affermando, a livello globale, una nuova generazione di innovatori, imprese ed investitori finanziari che, sfruttando le nuove opportunità tecnologiche, sanno coniugare la capacità di produrre intenzionalmente impatti sociali positivi con la sostenibilità e la redditività economica e finanziaria delle loro iniziative.

Torino è una città nella quale sono compresenti tutte le risorse necessarie per intercettare questa opportunità: un robusto sistema di competenze scientifiche e tecnologiche, un terzo settore che coniuga una consolidata vocazione sociale civile e religiosa con significative capacità imprenditoriali, un sistema industriale ancora fortemente caratterizzato dal saper fare e profondamente radicato nella società, una nuova generazione di incubatori e acceleratori sociali ed infine importanti capitali orientati all’impatto sociale. Con la presenza di un sistema finanziario unico rispetto alla capacità di orientare gli investimenti alla missione di impatto sociale: fondazioni di origine bancaria, banche specializzate, fondi di investimento ad impatto sociale, filantropi. Risorse che insieme e opportunamente combinate possono costituire un ecosistema difficilmente riproducibile in molte altre città europee.

L’ipotesi è rafforzata da alcune evidenze. Il recente rapporto presentato dalla Commissione Europea e da Nesta, “Digital Social Innovation”, misura a Torino una densità di progetti di innovazione sociale basati sulle tecnologie digitali inferiore solo a poche grandi capitali europee. Torino è stata la prima città italiana a organizzare un’iniziativa politica strutturata sull’innovazione sociale (Torino Social Innovation) e quella che più di tutte in Italia ha saputo attrarre finanziamenti pubblici per l’innovazione sociale; ha inoltre catalizzato l’interesse e gli investimenti di importanti banche e fondi di investimento nel settore e ha prodotto imprese sociali che hanno sistematicamente primeggiato nelle competizioni europee. A Torino è nato il primo centro per l’innovazione sociale in Italia, Socialfare, e nel fulcro di un’ampia rigenerazione urbanistica, sostenuta da ingenti fondi europei, si sono insediati Open Incet ed Impact Hub, che rappresentano avanzati modelli di accelerazione d’impatto sociale. Grazie alla preesistenza di questo fertile sistema, Torino ha potuto attrarre, unica in Europa, l’insediamento della più importante think tank mondiale nel campo dell’innovazione sociale, Nesta.

I promotori e firmatari del Memorandum Torino Social Impact sono il Comune di Torino, il Comitato per l’imprenditorialità sociale della Camera di commercio di Torino – in rappresentanza di Politecnico di Torino, Università di Torino, Legacoop, Confcooperative, delle associazioni di volontariato e delle rappresentanze sindacali – , la Compagnia di San PaoloNesta Italia, il Comitato Torino Finanza della Camera di commercio di TorinoImpact Hub TorinoOpen IncetSocialfareTorino Wireless e gli incubatori universitari I3P e 2i3T. Tra i possibili futuri aderenti la Fondazione CRT.

Dopo la firma dei soggetti promotori, l’adesione al MoU sarà aperta a tutti i soggetti che intenderanno contribuire all’iniziativa.

Tra i primi passi di Torino Social Impact, il 15 dicembre un convegno organizzato da Nesta Italia, l’Università di Torino e dalla Città di Torino sul tema blockchain dal titolo: “Blockchain for Social Good”.