Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

Traduttore: Morena Agnoletti Revisore: Gabriella Patricola

Oggi, parlerò di un argomento che causa vergogna.

Questo è successo a molti di noi, ed è imbarazzante,

Today, I'm going to talk about a shameful topic.

ma se non ne parliamo, niente cambierà mai.

Riguarda essere hackerati.

This has happened to many of us, and it's embarrassing,

Alcuni di noi hanno cliccato su link phishing e scaricato un virus.

but if we don't talk about it, nothing will ever change.

Altri hanno subito un furto d’identità.

It's about being hacked.

E chi di noi è sviluppatore di software

Some of us have clicked on a phishing link and downloaded a computer virus.

potrebbe aver scritto un codice non sicuro contenente bug di sicurezza.

senza rendersene conto.

Some of us have had our identities stolen.

And those of us who are software developers

Come esperta in cybersecurity,

ho lavorato con innumerevoli aziende per migliorarne la sicurezza informatica.

might have written insecure code with security bugs in it

without realizing it.

Esperti in cybersecurity come me hanno offerto consulenza alle aziende

As a cybersecurity expert,

I have worked with countless companies on improving their cybersecurity.

sulle buone pratiche della cybersecurity,

strumenti di controllo

e corretta condotta degli utenti.

Cybersecurity experts like me have advised companies

Ma in realtà vedo un problema molto più grande che nessun strumento può risolvere:

on good cybersecurity practices,

la vergogna che deriva dagli errori che facciamo.

monitoring tools

and proper user behaviors.

But I actually see a much bigger problem that no tool can fix:

Ci piace pensare di essere competenti ed esperti di tecnologia,

ma poi compiamo questi errori che possono impattare negativamente

the shame associated with the mistakes that we make.

su noi e le nostre aziende --

We like to think of ourselves as competent and tech savvy,

in modi diversi: da semplice fastidio,

al richiedere molto tempo per risolverlo,

and when we make these mistakes that can have a really bad impact

al costare a noi e ai nostri datori di lavoro molti soldi.

on us and our companies --

anything from a simple annoyance,

Nonostante i miliardi di dollari che le aziende spendono per la cybersecurity,

to taking a lot of time to fix,

to costing us and our employers a lot of money.

i professionisti come me vedono gli stessi problemi, ancora e ancora.

Despite billions of dollars that companies spend on cybersecurity,

Lasciate che vi dia degli esempi.

L’hacking del 2015 delle utility ucraine

practitioners like me see the same problems over and over again.

che ha sospeso la corrente a 225.000 clienti

Let me give you some examples.

e che ha richiesto mesi per ristabilire la piena operatività

The 2015 hack of Ukrainian utilities

è iniziata con un link phishing.

that disconnected power for 225,000 customers

A proposito, 225.000 clienti significa molto più di 225.000 persone.

and took months to restore back to full operations

started with a phishing link.

I clienti possono essere di vario tipo: da un condominio

ad un impianto industriale

By the way, 225,000 customers is a lot more 225,000 people.

o un centro commerciale.

La violazione dei dati del 2017 di Equifax

Customers can be anything from an apartment building

che ha svelato informazioni personali identificabili

to an industrial facility

di 140 milioni di persone

to a shopping mall.

The 2017 data breach of Equifax

e che alla fine è costata ad Equifax una cifra intorno a 1,4 miliardi di dollari:

that exposed personally identifiable information

of 140 million people

questa è stata causata dallo sfruttamento di una ben nota vulnerabilità

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

nella sezione reclami dei consumatori del sito dell’azienda.

In sostanza, si tratta di tecnologia e innovazione.

that was caused by an exploitation of a well-known vulnerability

in the company's customer consumer complaint portal.

L’innovazione è cosa buona; migliora le nostre vite.

Gran parte delle auto di oggi sono computer su ruote, in sostanza.

Fundamentally, this is about technology and innovation.

Innovation is good; it makes our lives better.

Ci dicono come evitare il traffico, quando effettuare la manutenzione

Most of the modern cars we drive today are fundamentally computers on wheels.

e poi ci offrono ogni sorta di comfort moderni.

They tell us where to go to avoid traffic, when to take them in for maintenance

Molti usano dispositivi medici connessi in rete come pacemaker

e glucometri con microinfusori d’insulina.

and then give us all kinds of modern-day conveniences.

Questi dispositivi migliorano la vita delle persone

Many people use connected medical devices like pacemakers

e, a volte, addirittura la prolungano.

Ma tutto ciò che può essere connesso in rete può anche essere hackerato.

and glucose monitors with insulin pumps.

These devices make these people's lives better

and sometimes even extend their lives.

Sapevate che l’ex vicepresidente degli Stati Uniti Dick Cheney

But anything that can be interconnected can be hacked when it's connected.

ha scollegato il pacemaker dal Wi-Fi prima di sottoporsi ad un trapianto di cuore?

Vi lascio immaginare perché.

Did you know that the former US Vice President Dick Cheney

In un mondo interconnesso, i rischi informatici sono letteralmente ovunque.

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

I will let you figure out why.

Per anni, io e i miei colleghi abbiamo parlato di questo

In a digitally interconnected world, cyber risks are literally everywhere.

concetto elusivo della cultura della cybersicurezza

La cultura della cybersicurezza è quando tutti nell’organizzazione

For years, my colleagues and I have been talking about

credono che la cybersecurity sia il loro lavoro,

this elusive notion of cybersecurity culture.

sanno cosa fare e cosa non fare

e fanno la cosa giusta.

Cybersecurity culture is when everybody in the organization

Sfortunatamente, non posso dirvi quali aziende lo stanno facendo bene,

believes that cybersecurity is their job,

perché così facendo, metterei sulle loro schiene un bersaglio allettante

knows what to do and what not to do

and does the right thing.

per hacker ambiziosi.

Unfortunately, I can't tell you which companies do this well,

Ma ciò che posso fare è rendere la cybersecurity meno misteriosa,

because by doing so, I would put a juicy target on their backs

portarla alla luce e parlarvene.

for ambitious attackers.

Non dovrebbe esserci alcun mistero o segreto all’interno di un’organizzazione.

But what I can do is make cybersecurity less mysterious,

bring it out into the open and talk about it.

Quando qualcosa è invisibile e funziona,

There should be no mystery or secrecy within an organization.

non sappiamo che è lì finchè non c’è più.

Un po’ come la carta igienica.

When something is invisible and it's working,

Quando è iniziata l’epidemia di COVID-19,

we don't know that it's there until it's not there.

ciò che è sempre stato lì d’improvviso è diventato importantissimo

Kind of like toilet paper.

perché non riuscivamo più a trovarlo.

When the COVID-19 pandemic began,

La cybersecurity funziona così:

quando sta funzionando non lo sappiamo e non ci interessa.

what has been there all of a sudden became super important

Ma quando non sta funzionando

because we couldn't find it anywhere.

può essere davvero, davvero terribile.

Cybersecurity is just like that:

La carta igienica è un esempio abbastanza immediato.

when it's working, we don't know, and we don't care.

La cybersecurity è misteriosa e complessa.

But when it's not working,

it can be really, really bad.

E in realtà penso che cominci con la nozione di sicurezza psicologica,

Toilet paper is pretty straightforward.

nozione divulgata da una specialista del comportamento organizzativo,

Cybersecurity is mysterious and complex.

And I actually think it starts with the notion of psychological safety.

Amy Edmondson.

Ha studiato i comportamenti di team medici in situazioni rischiose come in ospedale,

This notion was popularized by an organizational behavior scientist,

dove errori possono essere fatali.

Amy Edmondson.

Ed ha scoperto che le infermiere si trovavano a disagio

Amy studied behavior of medical teams in high-stakes situations like hospitals,

a dare suggerimenti ai medici

per paura di contestare la loro autorità.

where mistakes could be fatal.

And she found out that nurses were not comfortable

Amy ha contribuito a migliorare l’équipe medica

rendendo le infermiere più a loro agio nel dare ai medici suggerimenti sul

bringing up suggestions to the doctors

because of the fear of questioning authority.

trattamento dei pazienti

senza la paura di essere sgridate o sminuite.

Amy helped improve medical teams

A tal fine, i medici avevano bisogno di ascoltare ed essere ricettivi --

to make nurses more comfortable bringing up suggestions to the doctors

senza giudicare.

for patient treatment

without the fear of being scolded or demeaned.

La sicurezza psicologica è quando tutti sono a proprio agio a parlare liberamente

For that to happen, doctors needed to listen and be receptive --

e far notare le cose.

without judging.

Voglio che sia così anche la cybersecurity

Psychological safety is when everybody is comfortable speaking up

Voglio che gli esperti in cybersecurity si sentano a loro agio a dare suggerimenti

and pointing things out.

agli alti dirigenti o sviluppatori di software,

I want cybersecurity to be the same.

senza essere liquidati come quelli che parlano in continuazione di

And I want cybersecurity practitioners to be comfortable bringing suggestions up

orrori ed errori,

to senior executives or software developers,

e dicono di no.

Non farlo è davvero difficile

without being dismissed as those people who continue to talk about

per gli individui che sono responsabili della creazione di prodotti digitali

horrors and errors,

and say no.

perché, in sostanza, è una questione di orgoglio e gioia delle loro creazioni.

Not doing so is really hard

for the individuals who are responsible for the creation of digital products

una volta ho provato a parlare con un responsabile sviluppo software

because fundamentally, it's about their pride and joy in their creations.

sulla necessità di una migliore sicurezza.

Sapete cosa ha detto?

“Insinui che stiamo sviluppando codici non sicuri?”

I once tried talking to a senior software development executive

In altre parole, quello che ha recepito è stato: “Tuo figlio è brutto.”

about the need to do better security.

E se piuttosto che concentrarci su cosa non fare,

You know what he said?

"Are you telling me we're developing insecure code?"

In other words, what he heard was, "Your baby is ugly."

ci concentrassimo su cosa fare?

Ad esempio, come possiamo sviluppare un software migliore

What if instead of focusing on what not to do,

e allo stesso tempo proteggere le informazioni dei nostri clienti?

we focused on what to do?

O come possiamo assicurarci che la nostra organizzazione sia in grado di gestire

Like, how do we develop better software

and protect our customer information at the same time?

le crisi, gli attacchi o le emergenze?

E se premiassimo in qualche modo le buone pratiche della gente nella cybersecurity

Or how do we make sure that our organization is able to operate

e le incoraggiassimo a farlo,

in crisis, under attack or in an emergency?

ad esempio segnalando incidenti di sicurezza,

And what if we reward good things that people do in cybersecurity in some way

segnalando potenziali email pishing,

o trovando e correggendo bug di sicurezza del software

and encourage them to do so,

like reporting security incidents,

nei software che sviluppano?

reporting potential phishing emails,

E se vincolassimo le buone pratiche di sicurezza alle valutazioni di prestazioni

or finding and fixing software security bugs

per renderle davvero importanti?

in the software that they develop?

Mi piacerebbe che trasmettessimo queste buone pratiche di cybersecurity

And what if we tied these good security actions to performance evaluations

e le incoraggiassimo in una specie di comunicazione aziendale

to make it really matter?

come newsletters, blog, siti web, micrositi --

I would love for us to communicate these good cybersecurity things

qualsiasi cosa usiamo per comunicare con la nostra organizzazione.

and encourage them in some sort of company-wide communications

E se un’azienda bandisse un concorso per chi trova più bug di sicurezza

like newsletters, blogs, websites, microsites --

whatever we use to communicate to our organization.

e li risolve in uno sprint di sviluppo di due settimane

What if a company announced a competition for who finds the most security bugs

e annunciasse il vincitore del trimestre

in un grande consiglio virtuale,

and fixes them in a two-week development sprint

e poi premiasse queste persone, questi vincitori, con qualcosa di significativo

and then announces the winner of the competition for the quarter

come una settimana di ferie o un bonus.

at a large company virtual town hall,

Altri vedranno la celebrazione e il riconoscimento,

and then rewards these people, these winners, with something meaningful,

e vorranno fare lo stesso.

Nell’industria dell’energia,

like a week's vacation or a bonus.

c’è davvero una forte cultura della sicurezza.

Others will see the celebration and recognition,

Le persone tengono a questa cultura, sono orgogliosi di essa,

and they'll want to do the same.

e c’è un rafforzamento collettivo di questa cultura per

In the energy industry,

there is a really strong culture of safety.

assicurarsi che nessuno si faccia male.

People care about this culture, are proud of it,

Uno dei modi in cui esibiscono e rendono manifesta questa cultura della sicurezza è

and there is a collective reinforcement of this culture

contare e tenere esposti i giorni passati dall’ultimo incidente di sicurezza.

to make sure that nobody gets hurt.

One of the ways they exhibit and keep this safety conscious culture going

E poi tutti lavorano duramente per non far tornare il conteggio a zero

is by counting and visibly displaying days since the last safety incident.

perché significa che qualcuno si è fatto male.

La cybersicurezza equivale a sicurezza.

And then everybody works really hard not to have that count go back to zero

E se tutti fossimo d’accordo

a contare i giorni trascorsi dall’ultimo incidente di cybersicurezza

because that means that somebody did get hurt.

Cybersecurity is the same as safety.

per sempre

e quindi lavorare molto duramente per non farli azzerare?

What if we all agree

to keep that count of days since the last cybersecurity incident

E poi certe cose sono da evitare,

e dobbiamo comunicare chiaramente alla nostra organizzazione quali sono

going on forever

and then work really hard not to have it reset to zero?

in maniera facilmente assimilabile e magari anche divertente,

And then certain things are a no-no,

come la gamification o la simulazione,

and we need to clearly communicate to our organizations what they are

per essere certi ce le persone possano ricordarselo.

in an easily digestible and maybe even fun way,

E se qualcuno fa qualcosa che non dovrebbe fare,

like gamification or simulations,

dovrebbero esserci delle conseguenze.

Così, per esempio, se un dipendente compra un equipaggiamento su Amazon o eBay

to make sure that people can remember this.

And if somebody does something they're not supposed to do,

oppure usa il suo Dropbox personale per le questioni aziendali,

they should face some sort of consequences.

So, for example, if an employee buys equipment on Amazon or eBay

allora dovrebbero esserci delle conseguenze.

Quando accade, i dirigenti dovrebbero subire lo stesso trattamento

or uses personal Dropbox for their company business,

dei normali impiegati,

perchè se non accade, allora la gente non crederà che sia reale

then they should face some sort of consequences.

e tornerà a comportarsi come prima.

And when this happens, executives should get the same treatment

Va bene parlare degli errori,

as regular employees,

ma è come un adolescente che viola le regole e ce lo confessa,

because if they don't, then people won't believe that it's real

and will go back to their old behaviors.

noi apprezziamo che ne abbia parlato,

It's OK to talk about mistakes,

ma dovrebbe comunque esserci qualche conseguenza.

but just like a teenager who violates the rules tells us about it,

La cybersecurity è un viaggio.

we appreciate that they told us about it,

Non è una destinazione,

but there should still be some sort of consequences.

e dobbiamo continuare a lavorarci.

Mi piacerebbe che celebrassimo chi si occupa della cybersecurity

Cybersecurity is a journey.

come gli eroi che sono.

It's not a destination,

Se ci pensiamo, sono vigili del fuoco,

and we need to keep working on it.

medici e infermieri di pronto soccorso

I would love for us to celebrate cybersecurity people

forze dell’ordine, risk executive e business strategist

like the heroes that they are.

If we think about it, they are firefighters,

tutti nello stesso individuo.

E ci aiutano a proteggere la vita moderna che ci piace così tanto.

emergency room doctors and nurses,

law enforcement, risk executives and business strategists

Proteggono le nostre identità, invenzioni, la proprietà intellettuale,

all in the same persona.

And they help us protect our modern life that we like so much.

la nostra rete elettrica, dispositivi medici,

auto connesse e una miriade di altre cose.

They protect our identities, our inventions, our intellectual property,

Mi piacerebbe essere in quel team

Quindi stabiliamo che questa faccenda è con noi per rimanere,

our electric grid, medical devices,

connected cars and myriad other things.

creiamo un ambiente sicuro per imparare dai nostri errori,

And I'd like to be on that team.

ed impegniamoci a migliorare le cose.

So let's agree that this thing is with us to stay,

Grazie.

let's create a safe environment to learn from our mistakes,

and let's commit to making things better.

Thank you.