Avevano definito ventidue anni della mia vita “legacy thinking”. Era un martedì mattina, in una sala riunioni di vetro che costava più del mio stipendio annuale, quando Brandon Pierce, trentacinque anni, MBA a Stanford e aria da ragazzo prodigio della Silicon Valley, mi sorrise con quella calma studiata che insegnano nei corsi di leadership. “Jim,” disse, appoggiandosi allo schienale come se possedesse il mondo, “parliamo della tua revisione della retribuzione. ”
Avevo chiesto un aumento del dodici per cento.
Non mi sembrava una follia per chi aveva costruito da zero l’intera infrastruttura di sicurezza dell’azienda. Non mi sembrava assurdo per chi, nell’ultimo anno, aveva sventato tre seri tentativi di violazione. Ma Brandon aveva altri piani. “Vedi,” continuò, “ci stiamo muovendo verso un modello di sicurezza più agile.
Rilevamento delle minacce basato sull’intelligenza artificiale, sistemi di risposta automatizzata. Il consiglio ritiene che dobbiamo investire in soluzioni di nuova generazione, piuttosto che in approcci legacy. ”
Approcci legacy. Così chiamava ventidue anni in cui avevo tenuto al sicuro i loro dati.
Mi spiegò che l’azienda doveva modernizzare il proprio modo di pensare. Che il mio approccio metodico ai protocolli di sicurezza stava rallentando l’innovazione. Che non potevano giustificare una retribuzione più alta per qualcosa che l’intelligenza artificiale poteva fare più in fretta e a costo minore. Poi arrivò il colpo finale.
Mi suggerì di “considerare una transizione verso un ruolo di consulenza, o magari esplorare le opzioni di pensionamento anticipato”. Lo disse con lo stesso sorriso di prima, come se mi stesse facendo un favore. Io rimasi seduto ad ascoltare quel ragazzo che non aveva mai affrontato una vera crisi di sicurezza spiegarmi perché la mia esperienza era superata. Era lo stesso tipo che il mese prima mi aveva chiesto perché non potessimo semplicemente “scaricare più antivirus” quando i nostri sistemi perimetrali avevano rilevato un attacco sofisticato.
“Apprezzo il feedback,” gli dissi. Tutto qui. Niente discussioni, niente resistenza. Raccolsi la mia cartella e uscii.
Ma dentro di me qualcosa si era rotto. Per ventidue anni ero stato quello che restava fino a tardi per correggere le vulnerabilità. Quello che rispondeva al telefono alle tre di notte quando scattavano gli allarmi. Quello che scriveva rapporti dettagliati che nessuno leggeva, finché qualcosa non andava storto.
Ero stato invisibile perché avevo reso la sicurezza un gioco facile. Tornato alla mia scrivania, fissai lo schermo senza vederlo davvero. La dashboard di monitoraggio della rete mostrava tutto perfettamente funzionante. Luci verdi ovunque.
Zero incidenti, zero tempi di inattività, zero titoli sui giornali. Tutto perché avevo passato anni a costruire sistemi che funzionavano anche quando le persone sbagliavano. Intorno a me, l’ufficio ronzava della solita energia. Tastiere che cliccavano, telefoni che vibravano, conversazioni su sprint agili e innovazione dirompente.
Le stesse parole che Brandon mi aveva lanciato come armi. Per tutti gli altri era solo un altro giorno di lavoro. Per me, qualcosa era già finito. Riaprii la cartella.
Pagina dopo pagina di valutazioni delle minacce, rapporti sulle vulnerabilità, audit di conformità. Prove di problemi che avevo fermato prima che diventassero catastrofi. Numeri che non significavano nulla per chi misurava il successo dalla velocità con cui pubblicavi nuove funzionalità, non da quanto bene proteggevi ciò che avevi già costruito. Il telefono si illuminò con un altro avviso.
Anomalia minore nei modelli di traffico esterno. Il genere di cosa che di solito risolvevo in pochi minuti. Manutenzione di routine delle pareti digitali che tenevano al sicuro l’azienda. Questa volta, fissai la notifica per un lungo momento prima di occuparmene.
Quel pomeriggio feci qualcosa che non facevo da anni. Aprii il mio computer personale e scorrendo le vecchie email trovai un messaggio di Rebecca Torres, responsabile della sicurezza informatica di CyberShield Consulting. Mi aveva contattato sei mesi prima chiedendomi se avessi mai pensato di cambiare. Allora l’avevo ignorato.
La lealtà mi teneva legato a un’azienda che evidentemente vedeva quella lealtà come una debolezza. Questa volta risposi. La sua risposta arrivò nel giro di un’ora. Professionale ma calorosa.
“Possiamo fissare una chiamata? Niente di formale, solo una conversazione tra due professionisti della sicurezza che capiscono cosa significa davvero questo lavoro. ”
La chiamata fu diversa da qualsiasi conversazione avessi avuto al lavoro negli ultimi mesi. Rebecca non mi chiese quanti anni avessi o se riuscissi a starmi dietro con le minacce moderne.
Mi chiese dei tentativi di violazione che avevo fermato, dei framework di conformità che avevo costruito, dei protocolli che avevano tenuto i dati dei suoi concorrenti fuori dalle mani dei criminali. “Abbiamo bisogno di qualcuno che capisca che la sicurezza non significa muoversi in fretta e rompere le cose,” disse durante la videochiamata. “Significa capire che quando le cose si rompono nel nostro settore, le persone si fanno male. ”
Parlò dell’approccio di CyberShield.
Di come valorizzassero la conoscenza istituzionale. Di come capissero che gli attacchi più sofisticati spesso usavano tecniche vecchie che i giovani analisti non avevano mai visto. L’esperienza non era un costo, era il loro vantaggio competitivo. Quando menzionò la retribuzione, la cifra era superiore del quaranta per cento a qualsiasi cosa avessi guadagnato in vita mia.
Ma ciò che contava di più veniva dopo i soldi. Autorità reale per costruire team e definire politiche. Un titolo che significava qualcosa. Direttore senior dell’architettura di sicurezza.
Soprattutto, offriva qualcosa che Brandon non mi aveva mai dato. Rispetto per ciò che l’esperienza significa davvero. Non accettai subito. Ventidue anni di abitudine mi dicevano di pensarci, di valutare tutti gli aspetti.
Ma quella sera, seduto al tavolo della cucina con mia moglie Linda, la decisione mi sembrò ovvia. “Non vedono ciò che impedisci,” disse Linda, mescolando lentamente il caffè. “Vedono solo ciò per cui pagano. ”
Aveva ragione.
Nessuno viene promosso per i disastri che non accadono. Presentai le dimissioni la mattina dopo. Due settimane di preavviso. Professionale e pulito.
Niente drammi, niente accuse. Solo una lettera semplice in cui dichiaravo che il mio ultimo giorno sarebbe stato venerdì quindici novembre. La portai personalmente alle risorse umane e la consegnai a Sarah Martinez, che gestiva i miei benefit da otto anni. “Jim, di cosa si tratta?
” chiese, scorrendo la lettera con sincera sorpresa. “È ora di cambiare,” dissi. “Nulla di personale. ”
La notizia si diffuse in fretta nell’ufficio open space.
A pranzo, Brandon aveva convocato una riunione d’emergenza. La stessa sala riunioni di vetro, gli stessi mobili costosi. Ma ora la sua arroganza sembrava forzata. “Questo è inaspettato,” cominciò, come se le mie dimissioni fossero una catastrofe naturale.
“Dobbiamo davvero discutere la pianificazione della transizione. ”
Pianificazione della transizione. Ventidue anni di conoscenza istituzionale e ora volevano che fosse documentata in due settimane. “Cosa servirebbe per farti riconsiderare?
” chiese, sporgendosi in avanti con improvviso interesse. “Potremmo rivedere la questione della retribuzione. ”
Troppo tardi per quello. Il rispetto offerto sotto pressione non è rispetto.
“Mi impegno ad aiutare con il passaggio di consegne,” dissi. “Gary Walsh sembra la scelta logica per assumere le responsabilità principali. ”
Gary era solido. Quarantacinque anni, capiva le reti, era in azienda da sette anni.
Ma non aveva mai costruito un framework di sicurezza da zero. Non aveva mai vissuto un attacco importante né testimoniato davanti ai regolatori per problemi di conformità. Le due settimane successive furono surreali. Documentai tutto ciò che potei, ma ventidue anni di esperienza non si trasferiscono in trecentoventi ore.
Una parte della conoscenza vive nella testa, guadagnata attraverso notti insonni, risposte alle crisi e errori che nessun altro ricorda. Gary assorbì ciò che poteva. Faceva buone domande, prendeva appunti accurati, restava fino a tardi per capire i sistemi di monitoraggio che avevo costruito. Ma vedevo il peso che si accumulava su di lui.
La consapevolezza di ereditare la responsabilità di sistemi che non aveva progettato, protocolli che non aveva testato, rapporti con fornitori che non aveva mai gestito. “Il panorama delle minacce cambia così in fretta,” disse durante una delle sessioni di passaggio di consegne. “Come fai a starti dietro con tutto? ”
“Non devi starti dietro,” gli dissi.
“Devi starti avanti. Devi dare per scontato che ogni sistema verrà attaccato. Che ogni utente sbaglierà. Che ogni fornitore ti deluderà prima o poi.
Poi costruisci di conseguenza. ”
Lui annuì, ma capii che quella filosofia lo sopraffaceva. Ci vogliono anni per sviluppare quel tipo di mentalità difensiva. Non la scarichi insieme alla documentazione.
Il mio ultimo giorno, svuotai la scrivania mentre l’ufficio ronzava della solita energia. Le stesse conversazioni sugli obiettivi degli sprint e le metriche di coinvolgimento degli utenti. La stessa fiducia che tutto sarebbe continuato a funzionare senza intoppi. Non avevano idea che la rete di sicurezza stava per sparire.
Brandon si fermò apposta alla mia scrivania per un saluto pubblico. Stretta di mano decisa, sorriso professionale, auguri per il futuro successo. Tutta la messa in scena sembrava vuota, ma io recitai la mia parte. “Non fare lo sconosciuto,” disse.
“Potremmo avere opportunità di consulenza in futuro. ”
Annuii educatamente e non menzionai che avevo già firmato una lettera d’offerta con CyberShield. Il mio primo mese nella nuova azienda fu come uscire alla luce del sole dopo anni sottoterra. Il team di Rebecca faceva domande invece di pretendere soluzioni rapide.
Pianificavano gli scenari peggiori invece di sperare nel meglio. Quando proposi audit completi di sicurezza per i nuovi clienti, nessuno chiese quanto sarebbe costato o quanto tempo ci sarebbe voluto. Chiesero quanto sarebbe stato approfondito. Il lavoro era stimolante in modi che avevo dimenticato fossero possibili.
Problemi veri con soluzioni complesse. Clienti che capivano che la sicurezza non era una funzione da aggiungere alla fine, ma una base da costruire da zero. Nel frattempo, notizie dalla mia vecchia azienda cominciarono ad arrivare attraverso ex colleghi. Gary faceva del suo meglio, ma la curva di apprendimento era ripida.
Problemi di prestazioni della rete che prima venivano risolti in pochi minuti ora richiedevano ore. Rapporti di conformità che generavo automaticamente ora richiedevano ricerca e revisione manuale. Nulla di catastrofico, solo attriti. Il genere di cose che rallenta tutto senza che nessuno capisca perché.
Tre settimane dopo il mio nuovo lavoro, Gary mi chiamò un sabato mattina. La sua voce portava lo stress che riconoscevo dai miei primi anni. “Jim, stiamo vedendo modelli di traffico insoliti. Sembra che qualcuno stia sondando le nostre interfacce esterne.
Ho implementato contromisure di base, ma non sono sicuro di cos’altro cercare. ”
Potevo sentire tastiere che cliccavano in sottofondo. Più persone al lavoro di sabato. Il tipo di risposta di tutti i presenti che succede quando qualcosa sembra più grande della manutenzione di routine.
“Qual è il modello? ” chiesi. “Scansione sistematica delle porte, ma lenta. Quasi come se cercassero di non attivare le nostre difese automatizzate.
E provengono da più intervalli IP che sembrano non correlati. ”
Riconoscimento classico. Il tipo di sondaggio paziente e metodico che precede gli attacchi sofisticati. L’avevo visto dozzine di volte, sempre seguito da tentativi più seri.
“Hai scalato a Brandon? ”
“Dice di gestirlo internamente. Non vuole allarmare il consiglio a meno che non sia una minaccia confermata. ”
Brandon classico.
Non segnalare i problemi finché non diventano disastri. Guidai Gary attraverso i passi immediati per documentare i tentativi di intrusione. Come tracciare i modelli di traffico, quali firme cercare nei registri. Ma capivo che era sopraffatto.
Stava cercando di gestire una partita a scacchi con l’esperienza di un giocatore di dama. “Dovrei coinvolgere consulenti esterni? ” chiese. “Non è più di mia competenza,” dissi.
“Ma documenta tutto. Timestamp, indirizzi IP, vettori d’attacco. Qualunque cosa accada dopo, vorrai quella traccia cartacea. ”
Dopo aver riattaccato, rimasi seduto in cucina con una tazza di caffè a pensare a quella conversazione.
Una parte di me si sentiva in colpa per Gary. Era un bravo ragazzo, coinvolto in una situazione per cui nessuno lo aveva preparato. Ma un’altra parte di me si sentiva giustificata. I problemi contro cui avevo avvisato per anni stavano finalmente diventando visibili.
Linda mi trovò a fissare la finestra un’ora dopo. “Il lavoro chiama già nel weekend? ” chiese. “Il vecchio lavoro,” dissi.
“Hanno alcuni problemi di sicurezza. ”
Si versò il caffè e si sedette di fronte a me. “Non stai pensando di aiutarli, vero? ”
“No,” dissi.
“Quel ponte è bruciato. Ma mi sento in colpa per Gary. ”
“Gary non ha preso la decisione di cacciarti,” mi ricordò Linda. “Sta solo affrontando le conseguenze.
”
Aveva ragione. Le persone che avevano creato questa situazione erano le stesse che avevano rifiutato di investire nella giusta infrastruttura di sicurezza. Che avevano trattato la conoscenza istituzionale come una spesa invece che come un bene. Due settimane dopo iniziò il vero attacco.
La notizia si diffuse mercoledì mattina. Stavo rivedendo le valutazioni di sicurezza per un nuovo cliente quando Rebecca bussò alla porta del mio ufficio, il viso cupo. “Jim, devi vedere questo,” disse, tenendo in mano il tablet. “La tua vecchia azienda ha appena annunciato una grave violazione dei dati.
”
Il titolo mi colpì come un pugno allo stomaco. “Colosso manifatturiero subisce un massiccio attacco informatico. Milioni di record di clienti compromessi. ”
Sotto, una foto della sede centrale da cui ero uscito solo sei settimane prima.
Leggendo i dettagli, riconobbi sempre più cose. Gli aggressori avevano sfruttato esattamente le vulnerabilità che avevo identificato nella mia ultima valutazione di sicurezza. Le stesse debolezze che avevo segnalato come rischi critici che richiedevano attenzione immediata. Lo stesso rapporto che Brandon aveva marcato come priorità bassa perché risolvere quei problemi avrebbe richiesto un investimento infrastrutturale significativo.
Dati dei clienti, documenti finanziari, proprietà intellettuale, informazioni sui dipendenti. Tutto ciò che avevo passato ventidue anni a proteggere era ora nelle mani di criminali che l’avrebbero venduto al miglior offerente. Il danno finanziario era sconcertante. Le stime iniziali collocavano i costi immediati di risposta a ventitré milioni di dollari.
Ma quello era solo l’inizio. Le cause legali erano già state intentate. Indagini normative avviate. Il prezzo delle azioni della società era crollato del sessantasette per cento in due giorni.
Ma ciò che attirò davvero la mia attenzione era sepolto nel terzo paragrafo dell’articolo. L’attacco era iniziato con esattamente il riconoscimento di cui Gary mi aveva parlato. Quei modelli di traffico insoliti erano state le mosse di apertura di una campagna sofisticata che aveva richiesto settimane per essere eseguita. Gary mi chiamò quel pomeriggio.
Sembrava esausto, sconfitto. “Stanno portando l’FBI,” disse. “E consulenti forensi di tre studi diversi. Tutti vogliono sapere come sia successo.
Come l’abbiamo mancato. ”
“Hai mostrato loro i registri degli incidenti del mese scorso? ” chiesi. “Il punto è questo, Jim.
La direzione sta dicendo che avremmo dovuto scalare prima. Che avremmo dovuto riconoscere il livello di minaccia. Brandon continua a chiedere perché i nostri protocolli di sicurezza non lo abbiano intercettato. ”
Quasi risi dell’ironia.
Gli stessi protocolli che Brandon aveva voluto sostituire con l’intelligenza artificiale erano ora messi in discussione per non aver prevenuto un attacco che l’esperienza umana avrebbe potuto fermare. “Cosa dicono i consulenti? ”
“Vogliono rivedere tutta la documentazione di sicurezza degli ultimi due anni. Sono particolarmente interessati ai recenti cambiamenti di personale e se qualche conoscenza istituzionale sia stata persa durante le transizioni.
”
Ecco la domanda che aspettavo che qualcuno ponesse. “Gary, devi preservare quei rapporti sugli incidenti di ottobre. Timestamp su tutto. Documenta ogni richiesta di escalation e la risposta della direzione.
Questo diventerà brutto e non vuoi trovarti a prenderti la colpa. ”
Tre giorni dopo ricevetti la chiamata che mi aspettavo ma temevo. Citazione federale. La sottocommissione del Congresso sulla sicurezza informatica voleva capire come una violazione prevenibile avesse compromesso i dati personali di milioni di americani.
L’audizione era fissata per il quindici dicembre. La settimana successiva la passai a preparare la mia testimonianza con il team legale di CyberShield. I fatti erano chiari, ma le implicazioni erano esplosive. I registri email acquisiti durante l’indagine dell’FBI mostravano la mia ultima valutazione di sicurezza, marcata come priorità bassa da Brandon solo tre mesi prima che le esatte vulnerabilità che avevo identificato venissero sfruttate.
L’aula dell’audizione era imponente. Colonne di marmo, pannelli di mogano, senatori con espressioni serie e telecamere che registravano ogni parola. Avevo testimoniato davanti ad agenzie di regolamentazione per questioni di conformità, ma mai davanti al Congresso per un incidente di sicurezza nazionale. La senatrice Warren guidò l’interrogatorio.
“Signor Holloway, ha servito come direttore della sicurezza informatica presso la società interessata per quanto tempo? ”
“Ventidue anni, senatrice. ”
“E nella sua ultima valutazione di sicurezza, ha identificato le vulnerabilità che sono state sfruttate in questo attacco? ”
“Sì, signora.
Il vettore d’attacco era specificamente descritto nel mio rapporto di settembre come un rischio critico che richiedeva attenzione immediata. ”
Sollevò un’email stampata. “Secondo i documenti forniti dal suo ex datore di lavoro, questa valutazione è stata marcata come priorità bassa dalla direzione esecutiva. Può spiegare cosa significa tipicamente in un contesto di sicurezza aziendale?
”
“Senatrice, significa che i rischi identificati sono stati riconosciuti ma non considerati abbastanza urgenti da allocare budget o risorse per la loro correzione. ”
“Secondo il suo parere professionale, affrontare queste vulnerabilità avrebbe prevenuto questa violazione? ”
“Sì, senatrice. L’attacco specifico si basava interamente sui sistemi non aggiornati e sui protocolli obsoleti che avevo raccomandato di sostituire.
”
La stanza era silenziosissima. Si sentivano i fotografi regolare le loro macchine. “Signor Holloway, ha lasciato la sua posizione in questa azienda circa sei settimane prima che si verificasse la violazione. La sua partenza era legata a disaccordi sulle priorità di sicurezza?
”
Questa era la domanda che contava. Quella che avrebbe determinato se questa udienza riguardasse negligenza aziendale o semplice sfortuna. “Senatrice, ho richiesto un adeguamento della retribuzione che mi è stato negato. Durante quella discussione, mi è stato detto che il mio approccio metodico alla sicurezza era incompatibile con il desiderio dell’azienda di muoversi più velocemente e in modo più aggressivo.
Mi è stato consigliato di prendere in considerazione il pensionamento anticipato. ”
“Le è stato detto specificamente che i suoi protocolli di sicurezza stavano rallentando le operazioni aziendali? ”
“Sì, senatrice. Mi è stato detto che le soluzioni di sicurezza basate sull’intelligenza artificiale sarebbero state più efficienti ed economiche rispetto all’esperienza umana.
”
La senatrice Warren si sporse in avanti. “Per essere chiari, signor Holloway, le è stato essenzialmente detto che i suoi ventidue anni di esperienza erano obsoleti. ”
“Esatto, senatrice. ”
L’audizione continuò per tre ore.
Altri testimoni includevano Gary, che fece del suo meglio per spiegare la sequenza degli eventi, e Brandon, che passò la maggior parte del tempo a deviare le responsabilità e a parlare dell’impegno dell’azienda negli investimenti in sicurezza informatica. Quando a Brandon fu chiesto perché la mia valutazione di sicurezza fosse stata marcata come priorità bassa, affermò che faceva parte di una revisione strategica più ampia degli investimenti infrastrutturali. Quando gli fu chiesto se considerazioni sui costi avessero influenzato le decisioni sulla sicurezza, si rifugiò nei punti di discussione preparati sul bilanciamento delle priorità aziendali. Il contrasto era netto.
Gary e io fornimmo dettagli tecnici specifici, timestamp e prove documentate. Brandon offrì linguaggio aziendale e deviazioni. Dopo la mia testimonianza, uscii dall’aula provando qualcosa che non mi aspettavo. Sollievo.
Per ventidue anni avevo scritto rapporti, sollevato preoccupazioni e guardato mentre sparivano nelle catene di gestione che privilegiavano i profitti trimestrali alla sicurezza a lungo termine. Ora, finalmente, qualcuno stava facendo le domande giuste. La copertura mediatica fu immediata e spietata. Non per il dramma politico, ma perché metteva in luce qualcosa che la maggior parte degli americani stava cominciando a capire: il vero costo di trattare la sicurezza informatica come una spesa piuttosto che come un investimento.
Brandon fu licenziato due settimane dopo la mia testimonianza. Il consiglio portò un nuovo amministratore delegato con un vero background tecnologico. Qualcuno che capiva che la sicurezza non era una funzione da aggiungere alla fine, ma una base da costruire da zero. Gary lasciò l’azienda entro un mese, esausto dal tentativo di ricostruire ciò che non avrebbe mai dovuto essere demolito.
L’ultima volta che ne ho sentito parlare, aveva accettato una posizione in una società più piccola che valorizzava la sua esperienza più della sua capacità di lavorare ottanta ore a settimana ripulendo gli errori degli altri. Le cause legali continuarono ad arrivare. Azioni collettive dei clienti i cui dati erano stati rubati. Azioni degli azionisti che sostenevano che il consiglio aveva fallito nel suo dovere fiduciario di proteggere i beni aziendali.
Sanzioni regolatorie della FTC che facevano sembrare i ventitré milioni di dollari di costi iniziali una mancia. Nel frattempo, il mio ruolo in CyberShield si espanse in modi che non avrei potuto immaginare. Rebecca mi promosse a chief security officer e mi diede un team di dodici analisti. Ci specializzammo nell’aiutare aziende che avevano imparato nel modo più duro che la sicurezza non era negoziabile.
L’ironia non mi sfuggì. La mia vecchia azienda divenne uno dei nostri case study su come non gestire la sicurezza informatica. La loro violazione era un esempio da manuale di ciò che accade quando la leadership confonde la velocità con l’efficienza, l’innovazione con la spericolatezza. Sei mesi dopo l’audizione al Congresso ricevetti un riconoscimento che non mi sarei mai aspettato.
Il National Institute of Standards and Technology mi invitò a unirmi a un panel consultivo sullo sviluppo della forza lavoro nella sicurezza informatica. A quanto pareva, la mia storia aveva colpito i legislatori preoccupati per l’invecchiamento delle competenze nel settore. La missione del panel era semplice. Capire come mantenere i professionisti esperti nel settore invece di spingerli verso il pensionamento anticipato.
A quanto pare, non ero l’unico a cui era stato detto che i suoi decenni di esperienza erano “legacy thinking”. Durante il nostro primo incontro a Washington conobbi altri con storie simili. Un ex analista della NSA che era stato tagliato fuori per aver messo in discussione le tempistiche della migrazione al cloud. Un direttore della sicurezza dei servizi finanziari che era stato sostituito da un sistema di intelligenza artificiale che era durato esattamente tre mesi prima di essere integrato di nuovo con l’esperienza umana.
Tutti noi avevamo storie su come eravamo stati sottovalutati fino al momento in cui la nostra competenza diventava disperatamente necessaria. Il lavoro era gratificante in un modo che non avevo sperimentato nell’America corporate. Non stavamo solo creando politiche. Stavamo cambiando il modo in cui le organizzazioni pensavano all’esperienza in settori in rapida evoluzione.
Le nostre raccomandazioni divennero parte delle linee guida federali sulla sicurezza informatica che enfatizzavano il valore insostituibile della conoscenza istituzionale e dell’esperienza nelle crisi. Un anno dopo aver lasciato la mia vecchia azienda, fui invitato a parlare alla conferenza RSA, il più grande incontro di sicurezza informatica del Nord America. Il tema della keynote: “Perché i capelli grigi contano nella sicurezza informatica”. In piedi su quel palco davanti a cinquemila professionisti della sicurezza, pensai alla sala riunioni di Brandon e al suo discorso sprezzante sul “legacy thinking”.
Il pubblico era pieno di persone come me, veterani che avevano visto l’evoluzione degli attacchi, che avevano imparato a pensare come gli avversari, che capivano che la minaccia più sofisticata non è sempre quella più recente. “La tecnologia cambia in fretta,” dissi loro. “Ma gli aggressori no. Usano lo stesso social engineering, la stessa pazienza, la stessa comprensione delle debolezze umane di sempre.
Gli strumenti si evolvono, ma i fondamenti restano costanti. Questo non è legacy thinking. Questa è saggezza. ”
L’applauso fu genuino.
Ma ciò che contava di più erano le conversazioni successive. Giovani analisti che chiedevano consigli sullo sviluppo della carriera. Professionisti a metà carriera che si chiedevano come posizionare la loro esperienza in crescita. Persone anziane che condividevano storie su come erano state “modernizzate” fuori da organizzazioni che avevano servito fedelmente per decenni.
Mi resi conto che la mia storia non era unica. Era rappresentativa di qualcosa che stava accadendo in tutta l’America corporate: la svalutazione sistematica dell’esperienza a favore di velocità, innovazione e taglio dei costi. Tre mesi fa ricevetti una chiamata da una fonte inaspettata. L’ammiraglio Charles Brennan, il nuovo presidente del consiglio di amministrazione della mia ex azienda, voleva discutere la possibilità di riportarmi come consulente per ricostruire il loro programma di sicurezza.
Ascoltai la sua proposta. Parcelle sostanziose, autorità completa sull’architettura di sicurezza, report diretto al consiglio invece che attraverso la direzione esecutiva. Tutto ciò che era stato impossibile quando ero un dipendente era improvvisamente disponibile come consulente. “Abbiamo imparato alcune lezioni difficili,” disse l’ammiraglio.
“Il consiglio ora capisce che la sicurezza non è un problema tecnologico. È un problema di leadership. Abbiamo bisogno di qualcuno che capisca sia le implicazioni tecniche che quelle aziendali delle nostre decisioni. ”
Rifiutai educatamente.
Non perché l’offerta non fosse generosa, ma perché alcune lezioni si imparano solo con l’esperienza. Dovevano ricostruire la loro cultura della sicurezza da zero con leader che ne capissero il valore prima che una crisi fornisse l’educazione. Inoltre, avevo un lavoro più importante da fare. Lavoro vero con persone che capivano che la sicurezza informatica è come un sistema di argini.
Nessuno ci fa caso quando funziona perfettamente, ma quando fallisce, tutti vogliono sapere perché gli ingegneri non hanno prevenuto l’alluvione. La National Security Agency mi ha contattato il mese scorso. Stanno sviluppando nuove linee guida per la protezione delle infrastrutture critiche e vogliono veterani del settore nel comitato consultivo. L’incarico comporta un nulla osta di sicurezza e un contributo diretto alle politiche che proteggeranno le reti elettriche, i sistemi finanziari e le reti di comunicazione.
È il tipo di riconoscimento che richiede una carriera per essere guadagnato. L’ironia è che lo sto ricevendo ora, a cinquantasei anni, proprio perché mi sono rifiutato di accettare che l’esperienza fosse obsoleta. Guardando indietro, capisco cosa è successo davvero in quella sala riunioni di vetro. Brandon non mi aveva solo negato un aumento.
Aveva rivelato l’incomprensione fondamentale che definisce troppa parte della cultura aziendale moderna. La convinzione che l’esperienza sia un costo, non un investimento. Loro hanno imparato diversamente. È solo costato loro la reputazione, la fiducia dei clienti e la supervisione del Congresso per ricevere l’educazione.
Se stai ascoltando e riconosci il modello, capisci una cosa importante. La tua esperienza non è superata perché la tecnologia avanza. Il tuo giudizio, le tue capacità di gestione delle crisi, la tua comprensione di come i sistemi falliscono sotto pressione. Nulla di tutto questo diventa obsoleto solo perché qualcuno inventa uno strumento più nuovo.
Non lasciare che nessuno ti convinca che la saggezza è debolezza. Documenta il tuo lavoro. Conosci il tuo valore. Non confondere la lealtà con l’invisibilità.
Perché quando arriva la vera prova, le organizzazioni non chiedono la soluzione più economica o l’implementazione più rapida. Chiedono qualcuno che abbia già visto tutto prima e sappia come fermarlo. L’esperienza non è legacy thinking.
È la differenza tra sopravvivere alla prossima crisi e diventare un racconto ammonitore su ciò che accade quando scambi la velocità per la forza.
