La CIA che non ti spia: riservatezza, integrità e disponibilità in una giornata qualunque

Mercoledì 17 settembre 2025, ore 7:10. Il telefono vibra sul comodino prima della sveglia. È una mail dell'ufficio del personale: «Corso obbligatorio sulla CIA, oggi alle 17, durata 45 minuti, presenza verificata». Per qualche secondo, con un occhio ancora chiuso, valuti l'ipotesi che la tua azienda sia stata acquisita dai servizi segreti americani. Poi ti ricordi del collega che l'anno scorso ha cliccato sul link della finta multa e ha fatto spegnere i server per tre giorni, e capisci: è il corso di sicurezza.

CIA, in sicurezza, non vuol dire Langley. Sono le iniziali di tre parole inglesi: Confidentiality, Integrity, Availability. In italiano: riservatezza (solo chi deve sapere, sa), integrità (le cose sono quelle giuste e nessuno le ha alterate) e disponibilità (le cose ci sono quando servono). È la triade su cui si regge tutta la sicurezza delle informazioni. L'idea è vecchia: già nel 1975 due ricercatori, Jerome Saltzer e Michael Schroeder, dividevano i problemi di sicurezza in tre famiglie: qualcuno legge quello che non dovrebbe, qualcuno modifica quello che non dovrebbe, qualcuno ti impedisce di usare quello che ti spetta.

Il corso è alle 17. Hai una giornata intera per scoprire che la CIA, quella vera, la incontri ogni dieci minuti. E non c'entra niente con i computer.

7:40, la chiave sotto lo zerbino

Esci di casa e, come ogni mattina, noti che la vicina del secondo piano tiene la chiave di riserva sotto lo zerbino. Il nascondiglio più famoso del mondo, subito dopo il vaso di gerani accanto alla porta e il bordo superiore dello stipite. Un segreto che conoscono tutti, compreso chi non dovrebbe, non è un segreto: è un'abitudine.

Al portone, il codice del citofono è 1-9-7-0. Lo sai perché qualcuno lo ha scritto a penna sul muro, proprio sopra la tastiera, «per i corrieri». E qui c'è il primo principio della riservatezza: un segreto vale quanto il posto più debole in cui è scritto.

Se ti sembra un problema da condominio, pensa alle valigie. Le serrature «approvate TSA» che vendono in aeroporto hanno una caratteristica: la sicurezza aeroportuale americana possiede delle chiavi universali per aprirle tutte senza rompere niente. Nel novembre 2014 il Washington Post, per un articolo sul percorso dei bagagli, pubblicò una foto ad alta risoluzione di quelle chiavi, appoggiate su un tavolo. La foto venne tolta, ma troppo tardi. Nel settembre 2015 qualcuno ricavò dall'immagine le misure esatte e pubblicò online i file per stamparle in 3D. Nel giro di poche ore c'era già chi apriva la propria valigia con una chiave di plastica stampata in cinque minuti. Bastava una fotografia.

Best practice: non fotografare e non pubblicare chiavi, documenti, carte d'imbarco, biglietti e badge. E se un segreto è condiviso, chiediti con quante persone e in quanti posti.

8:20, il bar e il conclave

Al bar paghi il cappuccino con la carta. Il POS è sul bancone, girato verso la fila, e mentre digiti il PIN senti il fiato di quello dietro di te, che guarda la tastiera con l'attenzione che di solito si riserva alle partite di calcio. Si chiama shoulder surfing, sbirciare da sopra la spalla, ed è la tecnica di attacco più antica, economica ed efficace che esista. Copri la tastiera con l'altra mano. Non è maleducazione: è riservatezza.

Se vuoi vedere come la fanno i professionisti, ripensa a maggio. Prima del conclave che il 7 maggio 2025 ha riunito 133 cardinali elettori nella Cappella Sistina, il Governatorato della Città del Vaticano ha annunciato che dalle 15 di quel giorno i ripetitori della telefonia mobile sul suo territorio sarebbero stati spenti. I cardinali hanno consegnato i telefoni, la cappella è stata ispezionata alla ricerca di microspie, e tutti, compresi i circa ottanta collaboratori, hanno giurato di mantenere il segreto. È la riservatezza fatta con tre strati: le persone (il giuramento), le cose (via i telefoni) e il canale (niente segnale). Tre strati perché uno solo, prima o poi, cede.

9:30, la posta e la regina

Passi in portineria a ritirare una raccomandata. Il portiere ti chiede «È lei il signor…?» e tu dici sì senza mostrare niente. Lui te la consegna. Il canale (il portiere) si fida di te, e tu ti fidi del canale. Funziona benissimo, finché il canale non lavora per qualcun altro.

Nel 1586 Maria Stuarda, regina di Scozia, era prigioniera in Inghilterra da diciotto anni. Comunicava di nascosto con un gruppo di congiurati guidati da Anthony Babington, che progettavano di uccidere Elisabetta I e metterla sul trono. Le lettere erano cifrate, e uscivano e entravano nel castello nascoste nel tappo dei barili di birra. Un sistema perfetto, con un unico difetto: il corriere, Gilbert Gifford, lavorava per Francis Walsingham, il capo dei servizi segreti di Elisabetta. Ogni lettera veniva copiata e passata a Thomas Phelippes, un esperto di cifrari, che la decifrava. Quando Maria rispose approvando il piano, la sua sorte era segnata, e Phelippes aggiunse perfino un poscritto falso alla lettera per farsi dare i nomi degli altri congiurati. Maria fu giustiziata l'8 febbraio 1587.

Due lezioni in una storia sola. La prima: la cifratura non serve se il canale è in mano al nemico. La seconda la vedrai fra poco: quel poscritto falso non era più un problema di riservatezza. Era un problema di integrità.

11:00, il sigillo della farmacia

In farmacia compri un flacone di sciroppo. Lo apri a casa e trovi quel dischetto di alluminio sotto il tappo, quello che si stacca con fatica e che maledici ogni volta. Prima di maledirlo ancora, sappi da dove viene.

Alla fine di settembre del 1982, nella zona di Chicago, sette persone morirono dopo aver preso capsule di Tylenol, un comune antidolorifico. Qualcuno aveva preso le confezioni dagli scaffali, ci aveva messo del cianuro e le aveva rimesse al loro posto. Il colpevole non è mai stato trovato. Nel giro di poche settimane l'agenzia americana dei farmaci, la FDA, impose che i medicinali da banco avessero confezioni che rendono visibile ogni manomissione: sigilli, pellicole, tappi con l'anello che si rompe. Il produttore tornò nei negozi con una confezione a tripla chiusura.

Ecco il punto più importante sull'integrità: spesso non puoi impedire che qualcuno manometta una cosa, ma puoi fare in modo che te ne accorga. È lo stesso principio della ceralacca sulle lettere dei re, dei piombini sui contatori del gas e del bollino sul barattolo di omogeneizzati che fa «clic». Se il sigillo è rotto, non ti fidi. Semplice, e salva la vita.

12:15, l'IBAN cambiato

Ti chiama l'amministrazione. È arrivata una mail del vostro fornitore di carta: «Vi informiamo che da questo mese le coordinate bancarie sono cambiate, ecco il nuovo IBAN». Logo giusto, firma giusta, tono gentile. La fattura è di dodicimila euro. Cosa facciamo?

Prima di rispondere, una storia portoghese. Nel 1925 Artur Virgílio Alves dos Reis, un truffatore di Lisbona, ebbe un'idea geniale: invece di stampare banconote false, ne fece stampare di vere. Con un contratto falsificato, che fingeva di arrivare dal Banco de Portugal, convinse la Waterlow & Sons di Londra, la stessa tipografia che stampava le vere banconote portoghesi da 500 escudos, a stamparne una nuova partita. Le banconote erano autentiche: stessa carta, stesse lastre, stessa tipografia. Era falso solo l'ordine. Il castello crollò alla fine dell'anno, quando saltarono fuori banconote con numeri di serie duplicati, e la banca centrale portoghese fece causa alla tipografia e vinse.

Quella truffa ha lo stesso schema della mail sull'IBAN. Non serve falsificare i soldi o la fattura: basta falsificare l'istruzione. E il rimedio è antico quanto il telefono: verificare la richiesta su un canale diverso da quello da cui è arrivata. Chiami il fornitore al numero che hai già in rubrica, non a quello scritto nella mail. Se l'IBAN fosse davvero cambiato, te lo confermano in trenta secondi. Se non lo è, hai appena risparmiato dodicimila euro e una riunione molto imbarazzante.

13:00, tazze, grammi e un aereo senza carburante

A pranzo provi una ricetta americana che dice «una tazza di farina». Tu usi la bilancia, e il risultato è un mattone. Non c'è niente di manomesso: i dati erano giusti, ma l'unità di misura era un'altra. Anche questo è un problema di integrità: un'informazione corretta in un contesto diventa sbagliata in un altro.

Il 23 luglio 1983 un Boeing 767 nuovo di zecca dell'Air Canada, volo 143 da Montréal a Edmonton, rimase senza carburante a 41.000 piedi. Il 767 era il primo aereo della compagnia che misurava il carburante in chili invece che in libbre, e gli indicatori di bordo erano guasti. A terra il carburante venne calcolato a mano con un fattore di conversione, 1,77, che però trasformava i litri in libbre, mentre tutti pensavano di ottenere chili. Il risultato: l'aereo partì con meno della metà del carburante necessario. I piloti, Robert Pearson e Maurice Quintal, lo portarono planando fino a Gimli, una vecchia base militare in Manitoba. La parte finale della pista era diventata un circuito per gare di dragster, e quel fine settimana c'erano i piloti con le loro famiglie, accampati in tenda. L'aereo si fermò prima di raggiungerli. Dei 61 passeggeri e 8 membri dell'equipaggio nessuno morì, e nessuno riportò ferite gravi. Da allora quell'aereo si chiama il Gimli Glider, l'aliante di Gimli.

La commissione d'inchiesta non diede la colpa a una persona sola, ma a una catena: indicatori guasti, procedure poco chiare, nessun controllo incrociato. Best practice: quando un numero passa di mano, deve viaggiare insieme alla sua unità di misura e qualcuno deve ricontrollarlo. Vale per il carburante e vale per la farina.

16:00, chi ha la chiave dell'archivio?

Nel pomeriggio ti serve un contratto cartaceo dall'archivio. L'archivio è chiuso a chiave. La chiave ce l'ha solo una persona, che è in ferie alle Canarie fino a lunedì. Il contratto è al sicuro, nessuno l'ha letto e nessuno l'ha modificato. Riservatezza e integrità sono perfette. Peccato che a te serva adesso.

Benvenuto nella terza lettera, la disponibilità. È la più sottovalutata, perché quando funziona non la nota nessuno. Il nemico qui ha un nome tecnico, single point of failure: il punto unico di guasto, l'elemento che, se si rompe, ferma tutto.

A volte il punto unico di guasto è un albero. Alle tre di notte del 28 settembre 2003, durante un temporale, una linea elettrica ad alta tensione in Svizzera fece contatto con un albero e si staccò. La corrente si spostò sulle altre linee verso l'Italia, che si sovraccaricarono e saltarono una dopo l'altra, come tessere di un domino. In pochi minuti l'Italia intera rimase al buio, Sardegna esclusa. A Roma era la notte bianca, con le strade piene di gente fino all'alba, e la città si spense nel mezzo della festa.

A volte il punto unico di guasto è una nave. Il 23 marzo 2021 la portacontainer Ever Given, lunga 400 metri, si incastrò di traverso nel canale di Suez e lo bloccò per sei giorni. Secondo le stime di Lloyd's List, ogni giorno restavano fermi circa 9,6 miliardi di dollari di merci. Una nave, un canale, e una fetta enorme del commercio mondiale in coda.

E a volte non si sa subito di chi sia la colpa. Il 28 aprile di quest'anno, poco dopo mezzogiorno e mezzo, Spagna e Portogallo sono rimasti senza corrente per ore: semafori spenti, treni fermi, ascensori bloccati, pagamenti con la carta impossibili. Il rapporto del governo spagnolo, a giugno, ha parlato di una cascata di sovratensioni che la rete non è riuscita a controllare, e ha escluso un attacco informatico. Le persone che se la sono cavata meglio, quel giorno, erano quelle con una radio a pile e qualche banconota nel portafoglio.

Best practice: per ogni cosa importante, chiediti «e se questa cosa non c'è?». Una copia della chiave affidata a una seconda persona di fiducia. I documenti importanti in due posti diversi. Una torcia che funziona davvero, non quella con le pile scariche dal 2019. E soprattutto: provare il piano di riserva prima che serva. Un generatore di emergenza che non hai mai acceso non è un generatore: è un soprammobile.

17:00, il corso e i tre litiganti

Il corso comincia. Il formatore mostra una slide con un triangolo, e alla terza slide hai capito che hai già vissuto tutto. Ma c'è un'ultima cosa che il triangolo non dice chiaramente: le tre lettere non vanno d'accordo.

Pensa alla cassaforte della nonna, quella con la combinazione che sapeva solo lei. Riservatezza massima: nemmeno i nipoti sanno cosa c'è dentro. Poi la nonna dimentica la combinazione, e la disponibilità va a zero. Chiami un fabbro, che la apre col trapano: ora la cassaforte è disponibile, ma non più riservata, e non più integra.

Ogni scelta di sicurezza sposta un peso da una lettera all'altra. Più persone hanno la chiave dell'archivio, più è disponibile e meno è riservato. Più controlli metti sui bonifici, più sono integri e più sono lenti. La sicurezza non consiste nel massimizzare tutte e tre le lettere, che è impossibile. Consiste nel decidere, per ogni cosa, quale delle tre conta di più. Per la cartella clinica conta la riservatezza, per la dose di un farmaco l'integrità, per l'ossigeno in sala operatoria la disponibilità.

Il formatore chiude con un quiz. Domanda numero uno: «Che cosa significa CIA?». Rispondi senza pensarci: la vicina dello zerbino, il conclave, la regina nella birra, lo sciroppo, il truffatore di Lisbona, l'aliante di Gimli e la nave di traverso. Il formatore ti guarda perplesso. Gli spieghi che stavi riassumendo.

La checklist da attaccare al frigo

Riservatezza

• Niente chiavi sotto lo zerbino, niente codici scritti accanto alla tastiera. Il PIN non va sul retro del bancomat (nemmeno «al contrario per confondere i ladri»).
• Copri la tastiera quando digiti un codice, al bancomat come al citofono.
• Non pubblicare foto di chiavi, documenti, carte d'imbarco, badge, biglietti. Una foto ad alta risoluzione è una copia.
• Dai le informazioni solo a chi serve, quando serve. «Per sicurezza lo dico a tutti» è il contrario della sicurezza.

Integrità

• Sigillo rotto o confezione strana? Non si usa, si riporta indietro.
• Cambi di IBAN, di indirizzo, di istruzioni: si verificano sempre su un altro canale, con un numero che avevi già.
• I numeri viaggiano con la loro unità di misura, e i calcoli importanti si fanno controllare da un'altra persona.
• Firma e data sui documenti importanti, copie conservate. L'originale deve poter essere confrontato.

Disponibilità

• Ogni chiave importante ha una copia, affidata a un'altra persona di fiducia.
• Nessuno deve essere l'unico a sapere come si fa una cosa essenziale: scrivetelo, e insegnatelo a qualcun altro prima delle ferie.
• Torcia, pile, un po' di contanti, una radio, i numeri importanti anche su carta.
• Il piano B si prova. Almeno una volta. Prima.

E se domani ti arriva una mail che ti invita a un corso sulla NSA, prima di cliccare chiama l'ufficio del personale. Al numero che hai già in rubrica.