Tra le tante frasi che nella vita professionale mi è capitato di sentire, poche sono tossiche come quel "non si può" pronunciato con un tono che non ammette replica. È il canto stonato della conservazione, l'inno sommesso di chi difende l'immobilismo in un mondo che, invece, brucia gomme sull'asfalto del progresso.

Se pensiamo che questo atteggiamento sia tipico solo dei nostri tempi, sbagliamo. E qui entra in gioco un signore fiorentino vissuto mezzo millennio fa: Niccolò Machiavelli. Nel "Principe", l'autore ci regala una lucida, spietata, attualissima lezione su quanto sia difficile cambiare le cose. E quanto chi prova a farlo debba armarsi non solo di coraggio, ma anche di un discreto fegato.

"Non è cosa più difficile a trattare, né più dubbia a riuscire, né più periculosa a maneggiare, che farsi capo a introdurre nuovi ordini."

(Niccolò Machiavelli – Il Principe, cap. VI)

Machiavelli e la cyber security? Davvero?

Sì, davvero. Perché se oggi volessimo tradurre quella sua frase nella lingua delle aziende contemporanee, potremmo leggerla così:

"Non c'è nulla di più difficile che convincere un'azienda a cambiare approccio sulla sicurezza informatica, soprattutto se fino ad ora è 'andata bene'."

Eppure, i segnali sono ovunque. Gli attacchi aumentano, le minacce si evolvono, la superficie d'attacco si espande come il traffico su una tangenziale il venerdì sera. Ma quando si propone un cambio di paradigma, magari introducendo un modello Zero Trust, una gestione più rigorosa degli accessi privilegiati, una visione risk-based anziché compliance-driven, ecco arrivare il mantra del conservatore: "Eh ma… da noi non si può fare."

Il muro del "non si può"

Il "non si può" è spesso la punta dell'iceberg. Sotto quella frase si nascondono abitudini incancrenite, silos organizzativi, budget blindati, mancanza di cultura del rischio e soprattutto, anche se non lo si ammette, paura. Non paura dell'attacco informatico, sia chiaro. Quella è una paura astratta, "statistica". No, qui si tratta di una paura più concreta: la paura del cambiamento.

Cambiare significa esporsi, prendere decisioni impopolari, dire a qualcuno che dovrà usare l'MFA anche se "è scomodo", ammettere che i firewall comprati nel 2010 non sono più una linea Maginot, o che l'IT non può continuare a essere l'unico baluardo difensivo in una guerra asimmetrica e continua. E come ci insegna Machiavelli, chi prova a cambiare le cose ha sempre contro i "beneficiati dall'ordine antico" e un appoggio tiepido da parte di chi potrebbe trarne beneficio, ma ancora non lo sa.

L'inerzia travestita da prudenza

Quante volte hai sentito frasi come:

  • "Abbiamo sempre fatto così."
  • "Non possiamo bloccare certi accessi, altrimenti il business si ferma."
  • "Lo facciamo l'anno prossimo, quando avremo budget."
  • "La sicurezza è importante, ma adesso c'è da chiudere l'anno fiscale."

Tutte varianti del solito concetto: non muoviamo le acque. Non adesso. Non qui. Non così.

Il paradosso è che questa "prudenza" è in realtà un rischio mascherato. È un po' come decidere di non aggiornare un software critico per paura che qualcosa si rompa. Spoiler: qualcosa si romperà comunque. Ma sarà un ransomware a farlo, e senza chiedere permesso.

Machiavelli direbbe: serve un principe. O almeno un CISO con gli attributi.

Nel capitolo dedicato ai "principati nuovi", Machiavelli suggerisce che il cambiamento riesce solo a chi ha virtù (cioè capacità, intelligenza strategica) e fortuna (il tempismo giusto). Nel nostro contesto, la virtù è la competenza tecnica e manageriale del security leader. La fortuna, invece, è trovare l'apertura giusta (una crisi, un attacco subito da un concorrente, una revisione organizzativa) per far passare idee che fino al giorno prima sembravano utopia.

Ma attenzione: il Principe deve anche essere disposto a "non essere buono", se serve. In altre parole, chi guida il cambiamento deve accettare di essere impopolare, di rompere equilibri, di creare frizioni. Non si cambia cultura accarezzando l'inerzia.

Dal Machiavellismo al Machia-CISO

Ecco, quindi, la figura che serve oggi: un Machia-CISO. Una persona capace di leggere i segnali, capire dove si annidano i poteri conservatori, tessere alleanze (magari col CFO o con il responsabile legale) e proporre un futuro diverso. Non perfetto, ma più resiliente.

Un CISO che sa che non bastano i firewall, ma serve anche politica. Che capisce che la sicurezza non è (solo) tecnologia, ma narrazione, visione e gestione del consenso.

E soprattutto, un CISO che non si arrende di fronte a un "non si può", ma lo prende come una sfida. Perché dietro quel "non si può" c'è quasi sempre un "non voglio". E allora, come direbbe Machiavelli, serve convincere o costringere. Con diplomazia, certo. Ma anche con fermezza.

Conclusione: o si cambia, o si viene cambiati

Viviamo tempi in cui l'attacco informatico non è più una possibilità remota, ma una certezza ciclica. In questo contesto, l'immobilismo non è neutralità: è complicità col rischio.

Machiavelli ci ha insegnato che il cambiamento è duro, sporco e pericoloso. Ma è anche inevitabile. E chi lo affronta con lucidità, strategia e coraggio potrà ritrovarsi, magari tra molte fatiche, non solo salvo, ma anche più forte.

Chi invece si barrica dietro il "non si può", prima o poi, verrà travolto. Non dalla politica, ma da uno script kiddie. E a quel punto sarà troppo tardi per citare Machiavelli.