Larry è ancora nell'edificio

A CyberForward 2026 a Hilversum, la sottosegretaria di Stato Willemijn Aerdts ha aperto con uno spunto che ha colpito nel segno: la storia di Leisure Suit Larry. Un gioco, un floppy disk, un virus e un continente di organizzazioni che non avevano idea di cosa girasse sui loro sistemi. Lo ha usato per sottolineare un punto su dove ci troviamo oggi. La sicurezza digitale, ha sostenuto, riguarda molto più della tecnologia. Richiede collaborazione tra discipline e settori. Ha ragione. Ma la storia di Larry merita uno sguardo più attento, perché è più attuale di quanto possa sembrare.

Se lavoravi nell’IT alla fine degli anni Ottanta, probabilmente ricordi il gioco. Se non lo facevi, ecco la versione breve: alcune infermiere di un ospedale olandese giocavano con una copia infetta sul sistema di registrazione dello stato dei pazienti. Banche in Svizzera, Germania e Inghilterra persero grandi quantità di dati. Il virus, noto come Jerusalem o Friday the 13th, si diffondeva silenziosamente su ogni file eseguibile che toccava, e a ogni venerdì 13 cominciava a cancellarli.

Nessuno in quelle organizzazioni aveva l’intenzione di causare una violazione. Qualcuno ha semplicemente eseguito qualcosa che non avrebbe dovuto eseguire, su un hardware che avrebbe dovuto fare tutt’altro. L’organizzazione ne ha pagato il prezzo perché non aveva alcuna visibilità su ciò che stava realmente accadendo all’interno dei propri sistemi.

Era quasi 40 anni fa. La domanda che Aerdts ha implicitamente sollevato a CyberForward, e quella su cui vale la pena riflettere in seguito, è se abbiamo davvero imparato qualcosa.

Larry non è mai cambiato. È cambiato solo il suo vestito.

Il virus Jerusalem si diffondeva tramite floppy disk. Oggi il meccanismo è una scheda del browser. Secondo il Data Breach Investigations Report 2026 di Verizon, le rilevazioni di shadow AI negli ambienti aziendali sono quadruplicate in un solo anno, con il 45% dei dipendenti che ora usa regolarmente strumenti di AI sui dispositivi aziendali. Due terzi dei professionisti d’ufficio ammettono di usare strumenti di AI al lavoro pur credendo che il loro uso sia contro le policy aziendali. Non lo fanno per causare danni. Lo fanno perché rende il loro lavoro più veloce e più facile. La stessa ragione per cui qualcuno ha infilato il disco di un gioco nel PC dell’ufficio nel 1988.

I dati che escono da quelle schede del browser non sono cosa da poco. Secondo il Cost of a Data Breach Report 2025 di IBM, le violazioni che coinvolgono la shadow AI costano alle organizzazioni in media 70.000 in più rispetto ad altri incidenti e hanno richiesto in media 247 giorni per essere rilevate. Quando un dipendente incolla un file cliente, un report finanziario o una bozza di contratto in uno strumento di AI non verificato, quei dati entrano in una pipeline di elaborazione di cui l’organizzazione non sa nulla.

Larry non se n’è mai andato. Ha solo aggiornato il suo software.

Perché tutto questo è rilevante per i consigli di amministrazione e i team di gestione?

Sarebbe facile leggere il paragrafo qui sopra e passarlo al reparto IT. Sarebbe la risposta sbagliata.

Il motivo per cui le organizzazioni furono sorprese da Larry nel 1988 non era che i loro team IT fossero incompetenti. Era che nessuno aveva posto la domanda strutturale: cosa gira effettivamente in questo edificio? Quella domanda non era una domanda IT. Era una domanda organizzativa. La risposta richiedeva autorità, policy e una cultura in cui le persone si sentissero in grado di essere oneste su quali strumenti stessero davvero usando.

Lo stesso vale oggi. I team IT non possono governare ciò che non possono vedere, e non possono vedere ciò che i dipendenti installano, collegano o in cui incollano dati tramite i loro account personali e gli strumenti basati sul browser. Quel divario non si chiude con un altro firewall. Si chiude con la leadership.

Se sei un membro del consiglio o un manager e stai leggendo questo, non sei la vittima in questa storia. Sei la persona che può davvero cambiarla.

Ciò su cui Aerdts ha ragione: questo è un problema di collaborazione

L’impostazione che Aerdts ha proposto a CyberForward non riguardava la tecnologia. Riguardava il modo in cui i Paesi Bassi, le loro organizzazioni e i loro settori lavorano insieme per costruire una vera resilienza digitale. Questa è l’impostazione giusta.

Le organizzazioni che gestiranno bene la versione moderna di Larry non sono necessariamente quelle con i budget di sicurezza più grandi. Sono quelle in cui il consiglio pone domande scomode, in cui i dipendenti possono sollevare preoccupazioni senza timore e in cui qualcuno si è preso il tempo di costruire un quadro di ciò che gira effettivamente nell’ambiente digitale dell’organizzazione. Quel quadro è il prerequisito per tutto il resto. Non puoi dare priorità a ciò che non puoi vedere.

Qui collaborazione significa qualcosa di specifico. Significa che il CISO e il CFO fanno la stessa conversazione. Significa che l’IT manager e il direttore delle risorse umane si accordano su cosa conta come strumento approvato. Significa che l’MSP o il partner di sicurezza ha abbastanza visibilità sull’ambiente per fare bene il proprio lavoro. Nulla di tutto ciò è un problema puramente tecnico.

Cosa significa concretamente ‘vedere Larry’ nel 2026?

La domanda pratica non è se la tua organizzazione sia stata violata. È se te ne accorgeresti nel caso lo fosse stata. E se sai cosa gira nel tuo ambiente in questo momento.

Questo significa avere un inventario degli asset aggiornato: non solo server e firewall, ma endpoint, servizi cloud, applicazioni SaaS e i dispositivi che le persone usano per connettersi. Significa sapere quali strumenti di AI usano i tuoi team, ufficialmente e non ufficialmente. Significa eseguire scansioni regolari in modo che le nuove vulnerabilità emergano prima che le trovino gli attaccanti. E significa rendere quelle informazioni visibili alle persone che devono prendere le decisioni, non solo a chi le ha generate.

Una breve nota di posizionamento: Guardian360 sviluppa la piattaforma Lighthouse, che aiuta le organizzazioni e i loro partner a fare esattamente questo. Sono consapevole che si tratta del mio interesse commerciale e lo dichiaro apertamente. Il punto resta valido a prescindere: le organizzazioni sorprese da Larry nel 1988 non erano a corto di serrature. Erano a corto di una finestra.

La domanda da portarsi via

Aerdts ha invocato la collaborazione. È la parola giusta. Ma la collaborazione richiede un quadro condiviso della realtà, e per la maggior parte delle PMI quel quadro manca ancora. La minaccia non è cambiata in 40 anni. Una persona all’interno dell’organizzazione, facendo qualcosa che sembrava innocuo, ha eseguito qualcosa che non avrebbe dovuto, su una macchina che avrebbe dovuto fare tutt’altro.

Ecco la domanda su cui vale la pena riflettere: quand’è stata l’ultima volta che hai chiesto ai tuoi team quali software e strumenti di AI stiano davvero usando? Non cosa c’è sulla lista degli strumenti approvati. Cosa gira effettivamente.

Se non puoi rispondere con sicurezza, Larry potrebbe già essere nell’edificio.