IsacaRoma (IR): Ciao Corrado e grazie di essere di nuovo con noi. Come risalta dalle tue pagine web pur essendo la sicurezza delle informazioni la tua occupazione principale ti occupi però di molteplici temi; ne butto là qualcuno: divulgazione scientifica, giochi logici e matematici, fantascienza, fotografia, editoria ed addirittura sei stato doppiatore in un film. C’è un filo rosso che lega queste tue esperienze e sperimentazioni? O vai là dove ti conduce il cuore?

Corrado Giustozzi (CG): Bella questa espressione, mi ci ritrovo pienamente e la faccio senz’altro mia! Sì, vado dove mi conduce il cuore: mi piace fare sempre cose nuove, mettermi continuamente alla prova, sfidarmi a fare cose che non ho mai fatto prima. Non smetterei mai di sperimentare, esplorare, imparare. Sono essenzialmente un inguaribile curioso: mi sento come quella proverbiale vecchietta del folklore romanesco che, pur essendo anzianissima, proprio non voleva rassegnarsi a morire perché ogni giorno scopriva ed imparava una cosa nuova! E sì, c’è un importante filo rosso che lega tutto quanto: cerco sempre di divertirmi in tutte le cose che faccio, anche e soprattutto sul lavoro!

IR: Prima di parlare del presente vorrei chiederti qualcosa sul futuro (prossimo). Come vedi la sicurezza delle informazioni nei prossimi mesi ed anni? C’è sicuramente, a livello globale, una fortissima accelerazione su questi temi e la consapevolezza comune che si tratti di un elemento imprescindibile è ormai assodata. Eppure la confusione pare regnare sovrana. Fuori dai nostri confini la sicurezza è ormai un tema strategico qui in Italia sembra tutto ridursi alle misure minime di sicurezza della privacy. Che ne pensi?

CG: Hai toccato un tema importantissimo. Purtroppo siamo in Italia e qui da noi le cose si fanno solo se sono obbligatorie per legge ed a rischio di pesantissime sanzioni; anche in questo caso comunque si fanno controvoglia, con ritardo ed al minimo essenziale, giusto quanto basta per non andare in galera. Quando poi è lo Stato il primo a disattendere le sue stesse leggi è chiaro che il cittadino ne ricava la percezione che le leggi in questione, e tutto i temi che girano loro intorno, siano irrilevanti o addirittura inutili. La legge sulla privacy, che pure era fatta bene e diceva cose straordinariamente sensate anche in merito alla pura e semplice sicurezza del business aziendale, a causa del ridicolo balletto di proroghe e proroghe delle proroghe è stata percepita come l’ennesima norma futile e astratta, da rispettare tutt’al più nella forma ma non certo nella sostanza. Nel resto del mondo la sicurezza è considerata una risorsa strategica mentre qui da noi è vista ancora come un costo pressoché inutile: il problema è culturale, ma con queste premesse non sarà facile risolverlo…

IR: Quali pensi che saranno le prossime sfide in ambito security? Wi-Fi, RFID, cellulari che sono veri e propri PC, spionaggio industriale e vera e propria cyberwarfare… Che ne pensi? Di cosa dovrebbe realmente preoccuparsi un CIO italiano?

CG: Io vedo essenzialmente due scenari diversi a seconda della dimensione (e quindi della struttura) dell’organizzazione che deve proteggersi. Quelle piccole e piccolissime, quali gli studi professionali, dovrebbero temere soprattutto le intrusioni di worm finalizzate a trasformare i computer locali in zombie utilizzati per inviare spam o sferrare attacchi per conto terzi: si tratta di una minaccia molto diffusa ed in fortissima crescita, a causa della scarsa cultura informatica degli utenti e dei livelli bassissimi di protezione offerti dagli ISP sui propri collegamenti ADSL di tipo SOHO o "Office". Le aziende medie e grandi dovrebbero invece preoccuparsi maggiormente dei rischi interni, legati ad esempio a comportamenti illeciti o impropri da parte dei propri utenti (violazione del diritto d’autore, utilizzo non consono delle risorse informatiche aziendali, …). In ogni caso il problema della sicurezza non è nella tecnologia in sé ma nell’uso che ne fanno gli utenti.

IR: Ti definisci un Security Evangelist. Cosa intendi? Occorre ancora convincere i clienti della necessità (o opportunità) di adottare idonee misure di sicurezza? Oppure la denominazione si rivolge al grande pubblico? Cosa dobbiamo insegnare ai nostri figli? Come prepararli ad essere i cittadini (consapevoli) del futuro?

CG: La necessità di una capillare "evangelizzazione" secondo me c’è sempre, anche se diversificata ai vari livelli. Alle aziende, ad esempio, non è più necessario spiegare che dovrebbero adottare misure di sicurezza: molto probabilmente questo l’hanno già fatto. Tuttavia moltissime aziende sono ancora legate al vecchio paradigma della difesa perimetrale e non vedono i nuovi rischi interni, oppure percepiscono la sicurezza ancora come costo e non come risorsa. È qui che serve un evangelista. Alla gente invece bisogna spiegare altre cose: come approcciare l’uso delle tecnologie avanzate, come difendersi dalla criminalità informatica, come fare acquisti sicuri sul Web o come evitare rischi sui chat. Anche questa è evangelizzazione ed il fine ultimo è quello di dare all’uomo della strada fiducia nella tecnologia e adeguati strumenti concettuali per sopravvivere nel cyberspazio.

IR: Parliamo ancora di divulgazione scientifica. Come facilitare l’awareness nel grande pubblico? La tua esperienza di giornalista scientifico ti è stata di aiuto a riguardo? E come evitare il rischio del pressappochismo? Il web offre migliaia di risorse dedicate alla sicurezza. Ci possiamo fidare di tutti? Qual è il ruolo che le istituzioni possono giocare a riguardo?

CG: Come noto, è assai più difficile per un attore far ridere (bene) che far piangere. Allo stesso modo per un autore è molto più difficile fare divulgazione (buona) che non scrivere saggi ponderosi e complicati. Divulgare infatti non vuol dire snaturare, spettacolarizzare, banalizzare: vuol dire invece spiegare in modo semplice cose difficili, senza perdere di rigore e possibilmente in modo interessante ed accattivante. Facile a dirsi ma non a farsi! Purtroppo capita troppo spesso di vedere trasmissioni o conferenze di divulgazione affidate a grandi luminari che… non sanno divulgare! Magari sono perfettamente a loro agio in un’aula di università, ma parlare alla gente non è come fare lezione ai dottorandi. Per non parlare del Web: oramai quasi ogni bravo tecnico pensa di essere automaticamente anche un bravo divulgatore, e pubblica pagine o blog dall’utilità quanto meno discutibile. Da questo punto di vista ben venga ogni iniziativa seria e controllata, meglio ancora se pubblica, finalizzata a fare buona divulgazione: occorre solo umiltà e serietà, e ricordarsi che in questo settore, come in quello della scienza più generale, ci sono in giro tanti bravi scienziati e tanti bravi giornalisti, ma… pochi Piero Angela!

IR: Hai pubblicato mille articoli nei tuoi venticinque anni (ed oltre) di attività come giornalista scientifico. Per un periodo hai smesso di scrivere e recentemente sei tornato alla macchina da scrivere (per modo di dire). Cos’era successo? E cosa ti ha fatto cambiare idea?

CG: Si sa, l’assassino ritorna sempre sul luogo del delitto! La divulgazione è stata la mia attività principale per tanti anni ed è rimasta una grande passione anche quando il mio percorso professionale si è orientato verso altre direzioni. E devo dire che il mio background mi ha certamente aiutato molto anche ne fare il consulente e l’evangelista. Poi ad un certo punto ho avuto semplicemente nostalgia della carta stampata ed appena mi si è presentata l’occasione di curare una rubrica fissa (di sicurezza, ovviamente…) su una famosa rivista di settore l’ho accettata senza riserve. Nel frattempo non avevo mai smesso di pubblicare articoli e saggi sul Web, ma la carta è tutta un’altra cosa.

IR: Di cosa parla il tuo recente saggio sui robot antropomorfi pubblicato su Tangram?

CG: Questa non è un’intervista, è un terzo grado! Dimmi la verità, mi hai messo uno spyware nel computer…

IR: Torniamo alla sicurezza anzi all’intelligence. Collabori con le forze dell’ordine per le indagini telematiche ed anche con agenzie private. Al di là dei polveroni che occupano le prime pagine dei giornali in questo periodo qual è il tuo pensiero sulla intelligence informativa? Per le aziende ed i cittadini è un rischio o una opportunità? La privacy è minacciata? Dobbiamo tutti imparare a comportarci con più prudenza?

CG: Ogni società civile ha sempre dovuto in qualche maniera gestire l’eterno conflitto tra il diritto dei singoli alla riservatezza ed il diritto della collettività alla sicurezza. Il problema in questo caso non è tanto la legittimità dell’azione in sé, quanto la misura in cui potersi fidare della liceità delle azioni di coloro che violano istituzionalmente la privacy altrui in nome del bene comune. All’altro estremo si trova invece l’intelligence privata, ossia quella fatta da un singolo per tutelare i propri interessi: in questo caso ci sono profili di illegittimità proprio nella stessa azione, in quanto nessuno può farsi giustizia da sé e quindi neppure violare attivamente e preventivamente la privacy altrui per proprio tornaconto. In mezzo ci sono tutte quelle violazioni non premeditate e non "attive", quali ad esempio le telecamere di sorveglianza puntate verso i portoni dei palazzi ma che inquadrano anche la strada circostante: tecnicamente si tratta di misure "eccessive" e dunque illecite, ma come tutti sanno spesso sono utili alle forze dell’ordine per catturare qualche criminale ed allora il Garante chiude uno o entrambi gli occhi. Una cosa è certa: mai come oggi, per via dell’utilizzo massiccio dei più svariati sistemi di comunicazione ed interazione elettronica, la gente lascia in giro tracce della propria attività, il che non è sempre un bene. Occorre sicuramente imparare a "muoversi" nella società dell’informazione con un po’ più di prudenza.

IR: Hai scritto "Segreti, spie, codici cifrati" (Apogeo, 1999) e "Sicurezza e privacy in azienda" (Apogeo, 2001). Stai preparando qualcos’altro?

CG: In effetti ho appena consegnato all’editore il manoscritto (tastierascritto?…) di un nuovo libro, scritto negli ultimi mesi ma frutto di quasi cinque anni di maturazione più o meno inconscia sui temi trattati. Si occupa di sicurezza, ovviamente, ma non è l’ennesimo testo tecnico sulla materia: piuttosto è una riflessione allargata sul ruolo delle varie "sicurezze" nell’azienda moderna e nell’intera società, e rappresenta la mia visione di come dovrebbe essere organizzata la tutela "del business" in senso generale. Il mio intento è quello di stigmatizzare il vecchio modello di sicurezza esclusivamente perimetrale sul quale è purtroppo rimasta ancorata la maggior parte delle aziende contemporanee, basato su assunzioni che al giorno d’oggi semplicemente non sono più valide. Il libro, che dovrebbe uscire a marzo, si chiama "La sindrome di Fort Apache" proprio per mettere in chiaro sin dal titolo che la sicurezza aziendale non si fa più con le palizzate, perché i buoni non sono necessariamente tutti dentro ed i cattivi tutti fuori…

IR: Anche tu sei socio Mensa. Che attività svolgi per l’associazione? Che ne pensi?

CG: Mi spiace innanzitutto che il Mensa abbia raggiunto la notorietà presso il grosso pubblico solo per il recente successo de "La pupa e il secchione"! Non è certamente un "club di cervelloni" seriosi e snob, come molti pensano. Anzi, tutt’altro: è un’associazione di simpatici svitati, persone di tutti i tipi accomunate solo da una grande curiosità intellettuale e dalla capacità di prendersi molto poco sul serio. Tra una cena e la visita ad un museo o monumento, troviamo anche il tempo di organizzare al nostro interno piccole conferenze periodiche nelle quali invitiamo a parlare relatori dalle più disparate competenze. Anche io ho talvolta contribuito con serate dedicate ad alcune delle mie passioni: la storia della crittografia, l’opera artistica di Escher, la ludolinguistica informatica, la Guida Galattica per Autostoppisti… niente sicurezza però, quella è lavoro!

IR: Nel tuo passato ci sono MCmicrocomputer e Byte Italia: due pietre miliari della storia delle riviste informatiche in Italia. Cosa rimane di quelle esperienze?

CG: Direi tre cose: innanzitutto tanta passione per il lavoro fatto bene e con umiltà artigiana; poi la convinzione che la capacità complessiva di un gruppo di lavoro multidisciplinare e bene assortito è superiore alla somma delle capacità dei singoli; ed infine la certezza che la ricerca della qualità in tutto ciò che si fa è importante e ripaga sempre!

IR: Ed i tuoi Intelligiochi? Torneranno?

CG: Chi lo sa? Mi piacerebbe, ma temo di non avere più il tempo sufficiente per farlo. Un progetto che ho invece da qualche tempo nel cassetto è quello di ripubblicare sul Web le puntate di quella storica rubrica, andata avanti ininterrottamente per quindici anni (mamma mia, un record!) e di cui ho riacquisito i diritti dopo il fallimento della casa editrice che aveva acquisito e pubblicato MCmicrocomputer nei suoi ultimi anni di vita, dopo la mia uscita dal gruppo dirigente originario. O, se non proprio tutte e centosessantasei almeno quelle più significative da un punto di vista storico. È un sacco di lavoro, ma credo ne varrebbe davvero la pena …

IR: Consigli per qualche sana lettura? Come passi il week end?

CG: Sono un lettore onnivoro, anche se ho sempre troppo poco tempo per gustarmi un libro in santa pace. Quando posso leggo soprattutto fantascienza, oppure saggi scientifici o storici. Sono anche un appassionato dei grandi gialli cerebrali del passato, soprattutto Nero Wolfe. Un consiglio però ce l’ho: uno dei libri più tristemente esilaranti che mi siano capitati negli ultimi anni, una satira che sarà apprezzata da tutti coloro che hanno avuto la ventura di lavorare in una grande azienda governata dagli uomini del marketing: si chiama infatti "L’uomo di marketing e la variante limone", di Walter Fontana. Si legge in una serata, e si annuisce tutto il tempo… I weekend cerco di dedicarli alla famiglia, anche se troppo spesso mi capita di dover dedicare parte del fine settimana a finire cose rimaste incomplete o a preparare qualche articolo o qualche lezione…

IR: Come nasce il Nightgaunt?

CG: È un nickname cui sono molto affezionato, che mi porto appresso da esattamente vent’anni: da quando cioè, agli albori dell’era telematica, cominciai a frequentare prima le BBS e poi la mitica MC-link, di cui fui tra i fondatori e gli animatori. I Nightgaunt, tradotti in italiano come "Gaunt della notte" o "magri notturni", sono creature fantastiche dovute alla fantasia onirica di uno scrittore che amo molto, H. P. Lovecraft. Sono esseri magrissimi, col volto privo di lineamenti; la loro pelle è nera e lucida come quella dei cetacei, ed hanno una lunga coda a freccia ed un paio di ampie ali membranose. Vivono una vita notturna nei reami del sogno, e la loro attività preferita è quella di rapire i viandanti sollevandoli in aria e facendo loro il solletico sino a farli morire. Cominciai ad usare questo alias per via delle mie abitudini notturne e della mia relativa magrezza, e da allora mi è rimasto attaccato addosso fino a diventare parte di me stesso (oggi in effetti non sono più altrettanto magro ma sono rimasto inguaribilmente nottambulo…). È incredibile come tante persone si ricordino di me ancora oggi solo come "il Gaunt"!

IR: Ciao Corrado e grazie.

CG: Grazie a te per la gradita ospitalità, e a tutti i lettori per… la pazienza nell’averci seguito fin qui! E spero di poterci rincontrare presto.

Chi è Corrado Giustozzi?

Corrado Giustozzi è giornalista scientifico (UGIS), esperto e consulente di sicurezza informatica (CISM, Lead Auditor BS7799 e ISO27001); collabora con il Comando Generale e con il Reparto Operativo Speciale dell'Arma dei Carabinieri, fa parte del Comitato Scientifico della Polizia delle Telecomunicazioni ed è perito del
Tribunale Penale di Roma in materia di criminalità informatica. Ha condotto importanti progetti di audit ed assessment e progettato infrastrutture di sicurezza presso grandi aziende e pubbliche amministrazioni. Per IsacaRoma Newsletter ha scritto: Certificazione Lead Auditor BS7799 - manuale di sopravvivenza
Può essere contattato attraverso il suo sito web

Creative Commons

Questo articolo è pubblicato secondo la licenza di utilizzo di Creative Commons CC-BY 2.5 (Attribuzione 2.5 Italia)