Quando invece andate dal parrucchiere non state comprando le forbici. Dentro quel servizio ci sono anche loro, certo, ma soprattutto ci sono vent'anni di mestiere: la mano che sa dove tagliare, l'occhio che capisce quale taglio funziona sulla vostra faccia. Pagate il risultato, non lo strumento.

Nella cybersecurity succede qualcosa di simile, e quasi nessuno lo dice ad alta voce: quando comprate un prodotto di sicurezza non state comprando le competenze per usarlo. Quelle restano dalla parte di chi ve lo ha venduto.

Per questo in Orizon non sviluppiamo prodotti, ma servizi. E un servizio, a differenza di un prodotto, non si descrive con una scheda tecnica: si racconta come un percorso. Quello che segue è il nostro, in quattro domande.

Per renderlo concreto useremo un'azienda di fantasia — la chiameremo Acme Enterprise & Co.: centottanta dipendenti, tre stabilimenti, un portale per i fornitori, un gestionale in cloud e un reparto IT di quattro persone che, come quasi ovunque, si occupa di tutto. Non è un caso reale, ma ogni passaggio è plausibile, e probabilmente ne riconoscerete qualcuno.

E non è il ragazzo col cappuccio nel seminterrato: quell'immagine ci ha fatto danni, perché ci ha abituati a pensare a un fenomeno casuale e artigianale. Chi vi attacca oggi è un'organizzazione, con un modello di business, dei ruoli e degli obiettivi di redditività. Prima di investire studia il mercato: quanto fatturate, quanto vi costa un giorno di fermo, quanto siete esposti, chi sono i vostri fornitori. Fa esattamente quello che fareste voi prima di aprire una trattativa.

La prima domanda, quindi, è la loro: che cosa vede chi mi sta guardando da fuori?

RECON Essentials risponde a questa. È un servizio di External Attack Surface Management: analizza ciò che la vostra azienda espone su Internet guardandola dall'esterno, esattamente come farebbe un attaccante, in modo completamente passivo. Nessun agente da installare, nessuna credenziale da consegnare, nessun impatto sui sistemi. Servono il dominio principale e la partita IVA; per i gruppi si aggiungono i domini delle singole società e si ottiene una vista consolidata.

In pochi minuti il motore enumera domini e sottodomini, risolve gli indirizzi IP, individua porte e servizi esposti, riconosce le tecnologie in uso e le correla con le vulnerabilità note — le CVE — con punteggio CVSS e segnalazione di quelle presenti nel catalogo CISA KEV, cioè quelle di cui è documentato lo sfruttamento reale. Il risultato è un punteggio di rischio aggregato e un report leggibile anche da chi non è tecnico, con la classificazione rispetto a NIS 2.

Acme Enterprise & Co. scopre così sessantatré sottodomini, non i dodici che pensava di avere. Tra questi c'è il portale fornitori di un progetto chiuso due anni fa, ancora online, ancora raggiungibile. E c'è un concentratore VPN con una versione di firmware che compare nel catalogo delle vulnerabilità sfruttate.

Nessuno aveva nascosto niente. Semplicemente, nessuno stava guardando da quella parte.

Non è un'ipotesi di scuola. Un attaccante che compromette un singolo computer — una credenziale rubata, un allegato aperto, una sessione sottratta — non si ferma lì: si muove lateralmente verso tutto il resto. E dall'interno il panorama è diverso: configurazioni errate, software mai aggiornato, host dimenticati, servizi che nessuno sta monitorando.

RECON Internal guarda la rete da quel punto di vista. È il corrispettivo interno di Essentials: una macchina virtuale dedicata viene avviata nella rete aziendale e, da quel momento, lavora da sola. Mappa host e dispositivi su indirizzi IP privati, porte e servizi interni, riconosce lo stack tecnologico di ogni asset, correla le vulnerabilità da più fonti e rileva le configurazioni errate. Un passaggio di Evidence Gating scarta automaticamente i falsi positivi, perché un elenco pieno di rumore non aiuta nessuno. La macchina virtuale analizza in sola lettura, senza modificare i sistemi.

Il report ha lo stesso formato di Essentials, con in più il confronto fra la vista esterna e quella interna: ed è proprio quel confronto l'elemento più utile, perché mostra la distanza fra ciò che si espone e ciò che si rischia.

In Acme Enterprise & Co. la vista interna racconta un'altra storia. Il server che gestisce le commesse ha un servizio di condivisione file con una configurazione lasciata aperta durante una migrazione del 2023. Due macchine di reparto hanno un sistema operativo fuori supporto, tenute in vita perché pilotano un macchinario che il fornitore non aggiorna più. Nessuna di queste compare nella vista esterna. Nessuna è un errore clamoroso. Insieme, sono un corridoio.

Per anni il rischio l'abbiamo misurato in bit — vulnerabilità, punteggi di gravità, report da trecento pagine con migliaia di righe rosse. Ma sapere di avere una vulnerabilità racconta metà della storia. L'altra metà è sapere se quella vulnerabilità, nel vostro contesto specifico, è davvero sfruttabile, e che cosa succederebbe se lo fosse.

Il rischio non è un attributo tecnico: è un vestito che vi calza addosso. Stessa vulnerabilità, conseguenze completamente diverse per una banca, per uno studio professionale con tre dipendenti, per un'azienda manifatturiera che consegna su commessa.

Fireline risponde a questa terza domanda. È il penetration test potenziato dall'intelligenza artificiale: prende la superficie e le vulnerabilità candidate e le mette alla prova come farebbe un attaccante — con autorizzazione scritta, in un ambiente isolato, senza installare nulla e senza interrompere il lavoro dell'azienda.

Il motore lavora per fasi: ricognizione, validazione delle CVE da più fonti, filtraggio dei falsi positivi, costruzione del grafo d'attacco con le catene complete mappate su MITRE ATT&CK, e infine validazione attiva sugli obiettivi reali. La priorità non è data solo dalla gravità teorica, ma dalla probabilità che quella vulnerabilità venga effettivamente sfruttata, misurata con l'indice EPSS.

Il principio che regge tutto il servizio è la disciplina con cui un risultato viene dichiarato: nulla viene gonfiato oltre ciò che è stato dimostrato. In un'analisi tipica il motore parte da centinaia di segnalazioni potenziali e ne scarta la grande maggioranza perché irrilevanti o non sfruttabili. Quello che resta nel report è ciò che conta, verificato uno per uno.

Per Acme Enterprise & Co. il risultato non è un elenco, ma una frase: dal portale fornitori dimenticato si arriva, in tre passaggi, alle credenziali del gestionale. Il concentratore VPN non è sfruttabile come si temeva, perché una regola di accesso lo protegge. Le due macchine fuori supporto non sono raggiungibili dall'esterno, ma lo sono dalla rete degli uffici.

Il piano che ne esce è ordinato per tempo: che cosa fare adesso, che cosa entro la settimana, che cosa nel prossimo ciclo di manutenzione. Non è una lista teorica: è una lista di cose da fare.

Un attacco non è un istante. È un evento che si svolge nel tempo, spesso di notte, spesso con credenziali valide e strumenti legittimi, spesso senza lasciare tracce evidenti su un singolo sistema. Per coglierlo serve qualcuno che guardi in modo continuo.

Oversight è il nostro SOC as a Service: un Security Operations Center gestito, attivo 24 ore su 24, 7 giorni su 7. Raccoglie i log dalle fonti già presenti in azienda — endpoint ed EDR, firewall, server, identity provider, ambienti cloud e applicazioni — li normalizza secondo uno schema comune, li correla e li conserva in un Security Data Lake. Quando qualcosa emerge, gli alert correlati vengono ricomposti in un'attack story: la ricostruzione coerente di un attacco, dal primo segnale all'ultimo passo osservato.

Ed è qui che il servizio si distingue da ciò che molti clienti hanno conosciuto. Un SOC tradizionale rileva, qualifica e notifica: "attività sospetta sul server X, si consiglia di isolare la macchina". Da lì in poi, l'azienda è sola. Oversight consegna invece un'indagine già istruita: la cronologia dei fatti, le evidenze, i sistemi e gli account coinvolti, e le indicazioni per la remediation — che cosa correggere, su quali sistemi, in quale ordine e come verificare che l'intervento abbia funzionato.

Il servizio può essere esteso con tre add-on: DX Data Explorer, che permette al cliente di interrogare in autonomia gli stessi dati su cui lavorano gli analisti; Cold Storage, che conserva i log in un archivio cifrato con controlli di integrità ben oltre la finestra breve dei SIEM tradizionali, per gli audit e le indagini che arrivano mesi o anni dopo; e Dark Web Intelligence, che individua credenziali e sessioni aziendali esposte prima che vengano usate.

In Acme Enterprise & Co., qualche mese dopo, un accesso VPN notturno da un indirizzo mai visto apre una sequenza che in passato sarebbe passata inosservata. Stavolta no: viene vista mentre accade, ricostruita, e l'azienda riceve non un allarme, ma un piano.

Sapere che cosa esponete apre la domanda su che cosa succede se qualcuno entra. Sapere che cosa c'è dentro apre la domanda su che cosa sia davvero sfruttabile. Sapere che cosa è sfruttabile apre l'ultima, la più scomoda: e mentre sistemiamo tutto questo, chi se ne accorge se succede qualcosa?

RECON Essentials vi mostra come vi vedono da fuori. RECON Internal vi mostra che cosa rischiate da dentro. Fireline vi dice che cosa può davvero colpirvi, e in quale ordine intervenire. Oversight veglia, ogni giorno, su ciò che accade davvero.

Non è obbligatorio percorrerlo tutto, e non è obbligatorio percorrerlo in questo ordine: ogni servizio ha senso da solo. Ma il filo esiste, ed è la ragione per cui questi servizi sono stati costruiti sulla stessa piattaforma e sullo stesso ecosistema, anziché essere quattro prodotti da far parlare fra loro.

L'AI non è né la soluzione né il problema: è un moltiplicatore. Moltiplica la capacità di chi vi attacca — e lo si vede nella qualità crescente delle campagne di phishing e nella velocità degli attacchi. E moltiplica la nostra capacità di difendervi, a una condizione: che sia governata.

Noi la usiamo per fare ciò che una macchina fa meglio e più in fretta di una persona: correlare grandi volumi di dati, scartare il rumore, ricostruire sequenze, svolgere il lavoro ripetitivo di indagine. Ma dietro c'è sempre qualcuno. Gli specialisti del nostro SOC guidano l'AI, ne leggono gli output e decidono — perché un modello può sbagliare, e in sicurezza un errore non ha mai lo stesso peso in entrambe le direzioni.

Lo stesso livello di servizio che eroghiamo a una grande organizzazione è accessibile alla media impresa, alla piccola azienda e allo studio professionale. Non perché esista una versione ridotta, ma perché abbiamo cambiato il modo in cui questi servizi si erogano e si acquistano.

È un punto pratico, non ideologico. Oggi, in Italia, le competenze di sicurezza sono difficili da trovare e ancora più difficili da trattenere: si assume, si forma, e dopo due anni quella persona se ne va portandosi via la conoscenza del vostro ambiente. Il servizio, in questo scenario, non è un ripiego rispetto al fare in casa. Spesso è l'unica strada percorribile.

Veniamo a dirvi un'altra cosa: quando succederà — e prima o poi succede a tutti — la differenza non sarà se ne uscite indenni, ma quanto ne uscite in piedi. I sistemi si ripristinano da backup, con un buon piano, in qualche giorno; la fiducia dei clienti, dei partner, delle banche si ricostruisce in anni. Sempre che si ricostruisca.

Il nostro mestiere è ridurre la probabilità che quel momento arrivi e, se arriva, gestirlo in modo che costi il meno possibile.