Prima dell’estate ho letto una notizia che mi ha fatto posare il caffè. Negli Stati Uniti, uno dei più grandi sistemi sanitari pubblici al mondo, quello di New York, ha scoperto di avere avuto degli ospiti indesiderati nella propria rete. Non per qualche ora: per circa un mese. Trenta giorni in cui qualcuno è entrato, si è guardato intorno con calma e ha portato fuori i dati di 1,8 milioni di pazienti. La cosa che mi ha colpito non è come siano entrati. È che il rilevamento attacchi informatici non sia scattato per settimane.
Un mese in casa, e nessuno che bussasse
Pensiamoci un attimo. Un mese è il tempo di un’intera bolletta, di un ciclo di stipendi, di quattro riunioni del lunedì mattina. In tutto quel tempo qualcuno era dentro la rete, con le mani fra i dati più sensibili che esistano (cartelle cliniche, diagnosi, storie di persone vere) e si muoveva indisturbato. Il gatto dormiva, e i topi hanno ballato per un mese intero.
Il settore sanitario non è un bersaglio casuale: secondo il Cost of a Data Breach Report di IBM è da tredici anni il comparto con il costo medio per violazione più alto, oltre dieci milioni di dollari a incidente. Una cartella clinica, sul mercato nero, vale molto più di una carta di credito. Ma il numero che dovrebbe interessare a chi gestisce una PMI italiana non è il bottino. È quel mese di silenzio.
Il muro alto e la porta sul retro
Qui scatta il riflesso classico: “Noi siamo piccoli, chi vuoi che ci attacchi?”. È esattamente il ragionamento che rende le PMI un bersaglio comodo, perché gli attacchi oggi sono automatizzati e opportunistici: la rete viene setacciata da programmi che cercano la porta più facile, non il nome più importante sulla targa.
E qui c’è il fraintendimento di fondo. Quasi tutti, quando pensano alla sicurezza, immaginano un muro alto: un buon firewall, un antivirus aggiornato, una password robusta. Tutte cose giuste e necessarie. Ma il muro ti protegge da chi prova a entrare. Non ti dice nulla su chi è già dentro e cammina in punta di piedi. Mi è capitato più volte, durante un primo sopralluogo a casa di un cliente, di trovare tracce di qualcosa di vecchio che nessuno aveva mai notato: file infetti rimasti lì per mesi, accessi dimenticati. È la stessa dinamica del caso di New York, solo in scala diversa.
Rilevamento attacchi informatici: contare quanto restano dentro
Esiste un numero, nel nostro mestiere, che racconta tutta la storia: il tempo medio di rilevamento, in inglese MTTD (Mean Time To Detect). È quanto passa, in media, tra il momento in cui un attaccante entra e quello in cui qualcuno se ne accorge. A livello globale parliamo di oltre duecento giorni. Più di sei mesi. New York, con il suo mese scarso, è stata persino fortunata.
Il punto è che un buon rilevamento attacchi informatici non si ottiene comprando una scatola e dimenticandola. Serve guardare anche dentro la rete, non solo il confine. Un firewall SonicWall configurato seriamente, per esempio, non si limita a bloccare il traffico in ingresso: con l’ispezione approfondita dei pacchetti analizza anche quello che esce, e fa scattare un allarme se rileva flussi anomali verso destinazioni sconosciute, anche piccoli, anche distribuiti su più connessioni. A questo si affiancano una segmentazione della rete che impedisca a chi entra da un punto di raggiungere tutto, log centralizzati che qualcuno legga davvero, e strumenti di protezione degli endpoint (EDR, Endpoint Detection and Response) che suonino quando un computer inizia a comportarsi in modo strano. Non è una spesa una tantum: è un’infrastruttura viva, da rivedere periodicamente.
La vera difesa: il rilevamento attacchi informatici è un’abitudine
La domanda che dovremmo farci tutti non è “il mio muro è abbastanza alto?”. È un’altra, più scomoda: “se qualcuno fosse nella mia rete da tre settimane, me ne accorgerei?”. Se la risposta ci lascia anche solo un dubbio, è lì che vale la pena guardare. Il rilevamento attacchi informatici non è un prodotto che si installa e si archivia: è un’abitudine, fatta di monitoraggio costante e di revisioni periodiche, perché il problema vero non è essere presi di mira, quello capita a tutti, ma non accorgersene finché non è troppo tardi.
Se anche tu non sapresti dire con certezza cosa sta succedendo nella tua rete in questo momento, parliamone.
🧩 Kaos Informatica ti può aiutare
Se vuoi, Kaos Informatica può aiutare la tua azienda a:
✅ Monitorare il traffico che esce dalla vostra rete
✅ Centralizzare la raccolta e la lettura dei log
✅ Segmentare la rete per limitare i movimenti interni
Contattaci e parliamone insieme
