Come in un combattimento aereo: il ciclo OODA della cybersicurezza
“Operare all’interno dei cicli di osservazione-orientamento-decisione-azione dell’avversario per intrappolarlo in un mondo di incertezza, dubbio, sfiducia, confusione, disordine, paura, panico, caos e/o ripiegarlo su sé stesso, così che non riesca a far fronte agli eventi e agli sforzi man mano che si sviluppano.” Così John Boyd , pilota da caccia e stratega militare, sintetizzava la sua idea più celebre: il ciclo OODA — Observe, Orient, Decide, Act (Osservare, Orientarsi, Decidere, Agire) — e la convinzione che, in un conflitto, la vittoria non spetti al più forte, ma a chi riesce a completare questo ciclo più rapidamente. Boyd pensava ai combattimenti aerei ravvicinati, ma nessuna immagine descrive meglio ciò che sta accadendo, in questi mesi, alla cybersicurezza aziendale.
Nella prima parte di questa serie abbiamo visto che, grazie agli ultimi sviluppi dell’intelligenza artificiale, la velocità e la facilità con cui è possibile individuare vulnerabilità di sicurezza all’interno del perimetro aziendale sono aumentate enormemente. Nella seconda , che il terreno di gioco sta diventando sempre più geopolitico. Resta la domanda più concreta: come si combatte una battaglia in cui sia l’attacco sia la difesa operano alla velocità dell’intelligenza artificiale? La risposta non risiede in un elenco di strumenti da acquistare, ma in un cambiamento del modello stesso: i processi, i ruoli, il modo in cui un’organizzazione osserva, si orienta, decide e agisce.
Il vecchio modello di sicurezza era, in sostanza, il seguente: eseguire periodicamente una scansione, aprire un ticket, pianificare una correzione, applicare la patch. Un ritmo misurato in settimane e talvolta in mesi, tollerabile finché anche gli attaccanti si muovevano con la stessa frequenza. Oggi quel presupposto è crollato. Quando un modello di intelligenza artificiale individua migliaia di vulnerabilità in poche settimane e un attaccante può passare dalla scoperta allo sfruttamento in poche ore, qualsiasi processo che operi su una scala temporale settimanale rischia di diventare, di fatto, obsoleto.
Da un ciclo periodico a un ciclo continuo
Il primo cambiamento è quindi di natura temporale. Storicamente, i miglioramenti nella difesa erano limitati dalla velocità con cui era possibile scoprire nuove vulnerabilità. Oggi il collo di bottiglia si trova altrove: nella rapidità con cui le organizzazioni riescono a verificare, divulgare e correggere l’enorme quantità di vulnerabilità che l’intelligenza artificiale sta già individuando e continuerà a individuare. Ogni vulnerabilità identificata ma non risolta diventa una porta aperta nota, proprio il tipo di opportunità che gli attaccanti sono nella posizione migliore per sfruttare. Se l’intelligenza artificiale ne scopre mille alla settimana e l’organizzazione riesce a chiuderne cento, le altre novecento non scompaiono: rimangono lì, un arretrato di porte aperte che si accumula più velocemente di quanto possa essere smaltito. Paradossalmente, un’azienda che individua solo cento vulnerabilità ma le risolve tutte potrebbe essere più sicura di una che ne trova diecimila e ne corregge la metà, con implicazioni tutt’altro che trascurabili anche per il mercato delle assicurazioni cyber.
Si devono allora ripensare alcune metriche classiche: non più quante vulnerabilità abbiamo trovato, ma il tempo medio e la capacità effettiva di remediation: quante vulnerabilità riusciamo a chiudere, con quale rapidità e con quale arretrato residuo. E questo ci porta al punto più scomodo, quello che la velocità delle macchine rende esplosivo. Lo stesso strumento di intelligenza artificiale che ha individuato una vulnerabilità potrebbe, in teoria, correggerla generando la relativa patch. Ma applicare una patch significa spesso intervenire su sistemi di produzione: riavviarli, modificarli, talvolta persino fermarli. Quando la remediation era un processo lento e umano, questo rischio veniva diluito nel tempo: una patch alla volta, testata con calma, all’interno di una finestra di manutenzione concordata. Automatizzare la correzione per tenere il passo con l’attaccante, invece, significa introdurre modifiche nei sistemi vitali dell’azienda alla stessa velocità con cui vengono generate.
Una correzione errata, o applicata nel momento sbagliato, può gettare la produzione nel caos con la stessa rapidità con cui avrebbe eliminato la vulnerabilità. Migliaia di patch alla settimana implicano un ritmo che i tradizionali cicli di patch management semplicemente non sono in grado di sostenere, senza contare il contesto open source, dove gli aggiornamenti dipendono da manutentori volontari. E, nella realtà, non tutte le patch possono essere generate automaticamente, anzi, si tratta di un’eventualità piuttosto rara. Nella maggior parte dei casi è il fornitore della soluzione interessata a doverle rilasciare, secondo i rispettivi termini contrattuali.
Il rischio, in sintesi, non è più soltanto “per quanto tempo lasciamo la porta aperta,” ma anche “quanti danni operativi possiamo causare chiudendola troppo in fretta.”
Ruoli e confini che si dissolvono
Il secondo cambiamento è invece di natura organizzativa. Nel nuovo modello, la sicurezza smette di essere una sequenza di eventi periodici e diventa un flusso continuo: un ciclo OODA che non si interrompe mai. E se il ciclo procede alla velocità delle macchine, l’essere umano non può più trovarsi all’interno di ogni singola decisione, altrimenti diventa il collo di bottiglia dell’intero processo.
Il modello che sta emergendo è quindi quello dell’essere umano “sopra” il ciclo anziché “dentro” il ciclo: non più l’esecutore di ogni singola azione, ma il supervisore che definisce le regole del gioco. L’analista non esamina più ogni singolo allarme; definisce i limiti e le soglie di autonomia entro cui gli agenti di intelligenza artificiale possono osservare, decidere e agire in autonomia, intervenendo solo sulle eccezioni. È un profondo ribaltamento culturale. Il valore della persona si sposta dall’esecuzione al giudizio, dalla reazione al singolo evento alla progettazione del sistema che reagisce. Il Security Operations Center (SOC) diventa una sala di controllo che orchestra flotte di agenti, anziché una stanza piena di persone che leggono log.
Di conseguenza, è ragionevole aspettarsi che cambi anche l’organigramma delle future organizzazioni IT e di cybersicurezza. Il confine tra sicurezza e ingegneria del software diventerà sempre più sottile: se l’intelligenza artificiale è in grado di proporre correzioni, riscrivere componenti e verificare il codice prima del rilascio, la sicurezza tenderà a spostarsi “a monte,” nel processo di sviluppo, invece di rimanere un controllo applicato alla fine. Emergeranno quindi nuove competenze e nuovi ruoli, come quello dell’addestratore di agenti di intelligenza artificiale: una figura che dovrà necessariamente integrare solide competenze di cybersicurezza. E, soprattutto, il Chief Information Security Officer cesserà di essere principalmente un acquirente di strumenti tecnologici e diventerà il direttore di team ibridi composti da persone e agenti.
Resilienza, non (solo) prevenzione
Il nuovo modello deve quindi tenere insieme almeno tre elementi: capacità di rilascio graduale, validazione automatizzata e possibilità di ripristinare immediatamente la versione precedente (rollback). Tutti e tre richiedono di stabilire in anticipo quando la criticità cyber debba prevalere sulla continuità operativa, invece di improvvisare la decisione durante un incidente, sotto pressione. Si tratta di una scelta di governance, non di una scelta tecnologica. E tutto questo converge verso un principio che ribalta decenni di impostazione difensiva: l’obiettivo non è più impedire ogni violazione, ma sopravvivere senza danni sistemici. Se si assume, come è necessario fare, la presenza di un avversario che opera alla velocità dell’intelligenza artificiale, la partita si gioca sul contenimento: limitare l’estensione di un attacco, isolare rapidamente e, soprattutto, ripristinare in tempi brevi. La resilienza diventa la vera misura del successo.
Per riuscirci, l’azienda che si difende deve sfruttare al massimo il proprio principale vantaggio, piccolo ma non trascurabile: conoscere i propri sistemi meglio di chiunque altro. E deve ricordare che questo vantaggio dura solo finché riesce a trasformarlo in un ciclo OODA più rapido di quello dell’attaccante.
Ed è questo, in definitiva, il filo che lega insieme le tre parti di questo Trending Topic. La violazione è inevitabile; il terreno è geopolitico; lo stato di allerta è permanente. Ma “permanente” non significa “ingovernabile.” Le organizzazioni che usciranno vincitrici da questa fase non saranno quelle dotate degli strumenti più potenti. Saranno quelle che avranno riprogettato il proprio modo di osservare, orientarsi, decidere e agire, trasformando uno scenario che appare caotico in una condizione di normalità operativa.
Le opinioni e le riflessioni presentate in questi articoli si basano su una serie di discussioni svoltesi negli ultimi mesi nell'ambito del Corporate Information Security Roundtable , un'iniziativa che coinvolge Chief Information Security Officer europei e statunitensi, nonché sulle attività di ricerca del DEVO Lab , il laboratorio della SDA Bocconi dedicato allo studio dell'innovazione e dell'adozione delle nuove tecnologie nelle imprese.
