Licenzi due persone. Loro ti bruciano il business. Sveglia.

Il dito sul tasto "Delete" ce l'ha un tuo dipendente. E tu dormi sonni tranquilli?

Mettiamo in chiaro una cosa, subito. La storia dei due fratelli che, una volta licenziati, hanno piallato 96 database del governo non è un film. È il promemoria, scritto col sangue digitale di qualcun altro, che la tua azienda è probabilmente un colabrodo. E la falla più grande non è il firewall ultimo modello che ti ha venduto il consulente in giacca e cravatta. La falla è seduta alla scrivania, sorseggia un caffè e ha le password per mandare tutto a gambe all'aria.

Qui in agenzia, quando leggiamo notizie come quella su Ars Technica, non ci sorprendiamo. Scuotiamo la testa. Perché per ogni disastro che finisce sui giornali, ce ne sono cento che vengono nascosti sotto il tappeto. Il problema è sempre lo stesso: una fiducia cieca nel perimetro, procedure di offboarding che fanno acqua da tutte le parti e la convinzione che "a noi non succederà mai".

Sbagliato. Sta già succedendo.

I numeri della mattanza: non sono gli hacker a farti più male

Parliamoci chiaro, le minacce interne non sono un concetto astratto per spaventare i consigli di amministrazione. Sono un costo vivo, che sanguina. Nel 2026, parliamo di una media di 19,5 milioni di dollari l'anno per ogni azienda colpita. Un dato che è cresciuto del 123% dal 2018. Ma il punto veramente tragico è questo: il 55% di questi disastri non viene da un sabotatore con il dente avvelenato. Viene dalla negligenza. Da un errore umano. Da una password non revocata perché "ci pensiamo domani".

Il costo medio globale di una violazione dei dati, qualsiasi essa sia, oscilla tra i 4,4 e i 4,88 milioni di dollari. Ma la beffa è che la parte più salata del conto non è sistemare il casino tecnico. È il "business perso". I clienti che scappano, la reputazione in fumo. E ogni giorno che passa, il conto sale. Ci vogliono in media 277 giorni per accorgersi di una falla e chiuderla. Se te ne accorgi entro 30 giorni, il danno è di 14,2 milioni. Se superi i 90, arrivi a 21,9. Un salasso.

E dove si annida il rischio peggiore? Nell'abuso di credenziali privilegiate. Un singolo furto di password di un amministratore costa, in media, 779.707 dollari. Con lo smart working diventato la norma, il rischio è esploso. Le minacce interne sono aumentate del 58%. Il 63% delle aziende ammette che il lavoro da remoto ha contribuito direttamente a una violazione. E il 75% dei professionisti della sicurezza sa benissimo che il vero mal di testa, oggi, è la forza lavoro ibrida.

Zero Trust: ovvero, il sano pessimismo applicato all'IT

La storiella dei due fratelli è la lapide sul modello di sicurezza "castello e fossato". Quell'idea per cui una volta che sei dentro le mura, sei un amico fidato. Una cazzata, per dirla in parole povere. Specialmente oggi, con gente che lavora dal bar, dal coworking, dal divano di casa, e con l'infrastruttura spalmata sul cloud.

Ecco perché si parla tanto di Zero Trust. Non è un software che compri. È un cambio di mentalità. È partire dal presupposto che la violazione non sia una possibilità, ma una certezza. "Mai fidarsi, sempre verificare". Ogni singolo accesso, di chiunque, da qualsiasi dispositivo, interno o esterno, deve essere trattato come una potenziale minaccia. Autenticato, autorizzato, con il minimo privilegio indispensabile per fare il suo lavoro. E niente di più.

Per una PMI, questa non è un'opzione. È sopravvivenza. Gli attacchi di phishing e social engineering, potenziati dall'AI, sono diventati così sofisticati che il vecchio antivirus non basta più. Entro il 2026, il 10% delle grandi aziende avrà un programma Zero Trust maturo. Oggi, è l'1%. Le PMI che si muovono ora non stanno solo mettendo una pezza. Stanno costruendo un vantaggio competitivo.

L'unica soluzione seria all'offboarding: PAM e automazione. Punto.

Il caso dei database piallati ci sbatte in faccia una verità scomoda: quando una persona se ne va, le sue chiavi digitali devono sparire. Istantaneamente. Ed è qui che il Privileged Access Management (PAM) smette di essere un acronimo per nerd e diventa una questione strategica. Il PAM ti permette di controllare chi accede a cosa, quando e perché, su tutta la tua infrastruttura. Non solo l'admin di sistema, ma anche lo sviluppatore che accede alla produzione, le chiavi API, le identità macchina. Tutto.

I vantaggi non sono teorici. Un buon sistema PAM porta a casa un ROI medio di 816.000 dollari l'anno, semplicemente risparmiando sui costi di gestione degli incidenti. Ma la tecnologia, da sola, è un ferrovecchio. La vera svolta è l'automazione dell'offboarding. Le aziende che l'hanno implementata hanno visto un crollo del 60% delle violazioni legate a ex dipendenti. Sessanta per cento.

Il processo deve essere stupido e a prova di errore: il sistema delle Risorse Umane è il Vangelo. Quando l'HR inserisce la data di fine rapporto, deve partire in automatico una sequenza che revoca ogni accesso. Senza un ticket, senza un intervento manuale, senza un "me ne sono dimenticato". A Kampala abbiamo dovuto imparare questa lezione sulla nostra pelle. Quando un dev se ne va da un giorno all'altro, non hai tempo per le procedure manuali. O hai un sistema automatico o preghi.

La nostra filosofia, da Rosignano a Kampala: il software o è sicuro o è un soprammobile costoso

Come ThinkPink Studio, abbiamo un punto di osservazione privilegiato. A Rosignano vediamo la solidità e le sfide delle PMI italiane, spesso convinte che a loro "non possa succedere". A Kampala, invece, lavoriamo in un ecosistema dove l'innovazione è feroce e la resilienza è l'unica cosa che conta. Il problema è lo stesso: la sicurezza viene vista come un costo, un fastidio, un freno. L'Italia sta investendo nel digitale, nell'AI, nella cybersecurity. Ma comprare tecnologia non basta. Bisogna cambiare il modo di pensare.

La nostra esperienza ci insegna che una piccola azienda toscana e una startup ugandese affrontano le stesse minacce, solo su scala diversa. L'AI non è solo un giocattolo per fare attacchi più furbi; è uno strumento pazzesco per la difesa, se sai come usarlo per scovare le anomalie e automatizzare la risposta.

Smettetela di chiamarlo costo. È l'assicurazione sulla vita della vostra azienda.

Investire in sicurezza non è come pagare le tasse. È come mettere le fondamenta a un palazzo. Puoi tirare su i muri più belli del mondo, ma se le fondamenta cedono, viene giù tutto. Implementare controlli granulari, automatizzare l'offboarding e adottare un framework Zero Trust non sono optional. Sono i pilastri di un software fatto per durare, non di un accrocchio tirato su in fretta e furia. Se non parti da qui, il tuo software non sarà obsoleto tra un anno. Sarà semplicemente una bomba a orologeria in attesa di esplodere.