Cos'è l'OPSEC e cosa rivela ciò che l'azienda pubblica?

L'OPSEC è il processo con cui un'organizzazione individua le proprie informazioni critiche, valuta quali tracce di sé rende osservabili dall'esterno e decide quali contromisure applicare prima che qualcuno le raccolga. Il glossario NIST lo definisce riprendendo il CNSSI 4009 e lo articola in cinque passi: identificare le informazioni critiche, analizzare le minacce, analizzare le vulnerabilità, valutare il rischio e applicare le contromisure adeguate. Due dettagli spiegano perché il tema non coincide con nessun'altra pratica di sicurezza. Il primo è che l'oggetto protetto sono prove generalmente non classificate, cioè materiale che nessuno considererebbe segreto. Il secondo è il verbo che tiene insieme tutto: indicatori che un avversario può interpretare o mettere insieme per ricavarne informazioni critiche. L'OPSEC riguarda le informazioni, non i sistemi, e nasce dal fatto che il valore di un dettaglio dipende dagli altri dettagli accanto a cui finisce.

Come l'aggregazione crea un'informazione che nessuno ha pubblicato

Il meccanismo è additivo e non si vede guardando un elemento alla volta, che è esattamente il motivo per cui l'approvazione pezzo per pezzo lo lascia passare. Un annuncio di lavoro che chiede esperienza su una versione precisa di un gestionale dice quale software gira in produzione e quanto è vecchio. L'organigramma sul sito dice chi autorizza i pagamenti e a chi risponde. Un comunicato su un'acquisizione dice che in quelle settimane arriveranno richieste insolite e che nessuno le troverà strane. Un post che annuncia la presenza di un dirigente a una fiera dice quando quella persona non è raggiungibile per una verifica. La foto della nuova sede mostra il badge, il fornitore del controllo accessi e uno schermo acceso. Ciascun elemento è innocuo e nessuno di essi è una fuga di dati; presi insieme compongono un profilo che nessun documento aziendale contiene. È una disciplina diversa dall'attack surface management, che inventaria i sistemi esposti: qui non c'è nulla da spegnere, perché il materiale è stato pubblicato di proposito. Alla lista si aggiungono oggi quello che l'azienda scrive per farsi trovare, che può finire nei dati di addestramento dei modelli e restare recuperabile anche dopo la rimozione della pagina, e il fatto che un prompt inviato a un servizio esterno è, salvo garanzie tecniche o contrattuali esplicite, leggibile da chi lo eroga, rovescio complementare della shadow AI.

Un esempio enterprise

Un produttore di componentistica pubblica tre cose in due mesi: una ricerca di personale per l'amministrazione che nomina il gestionale e il portale bancario in uso, un comunicato sull'apertura di una controllata all'estero e un post del direttore finanziario da un evento di settore. Nessuna delle tre viola una regola. Chi le legge insieme sa quale sistema di pagamento viene usato, che esiste un motivo credibile per un bonifico verso un paese nuovo e in quale giorno la persona che potrebbe smentirlo è su un palco. È la preparazione tipica di una business email compromise, e la parte costosa del lavoro dell'attaccante l'ha svolta l'azienda stessa.

Perché conta per chi decide

L'OPSEC è materia di decisione, non di strumento: chiede chi approva cosa si pubblica e con quale criterio, e quel criterio non può essere la riservatezza del singolo contenuto, perché nessuno di quei contenuti è riservato. La domanda utile è quale insieme si forma quando il pezzo nuovo si somma a ciò che è già pubblico. In pratica significa poche regole verificabili: annunci di lavoro che descrivono le competenze senza le versioni, organigrammi che si fermano alla funzione, comunicati e foto che passano da chi conosce gli scenari di frode, e una verifica periodica di ciò che il sito e i profili social dicono nel loro insieme. Non sostituisce la protezione dei dati descritta in data security: agisce sul materiale che nessuna classificazione coprirà mai, perché è stato pubblicato apposta.