Alle due del mattino di un giorno festivo, l’amministratore delegato mi ha sostituito con suo figlio mentre stavo salvando la sua azienda.
Erano le due del mattino di un giorno festivo e la sala server ronzava intorno a me come un battito cardiaco meccanico.
Le mie dita si muovevano su tre tastiere con un ritmo che ormai non dovevo più controllare. Il codice scorreva su cinque monitor in freddi flussi verdeggianti. Caselle di avviso rosse lampeggiavano ai margini del mio campo visivo. Ogni secondo che passava costava all’azienda circa 120.000 dollari, non in perdite immaginarie o proiezioni drammatiche, ma in una reale esposizione dei dati dei clienti.
Il primo allarme era scattato alle otto di quella sera.
Ero a un barbecue del 4 luglio nel Queens, con in mano un piatto di carta con un hamburger mezzo mangiato, illudendomi di poter finalmente godermi una serata tranquilla lontano dal lavoro. Poi il mio telefono ha iniziato a squillare con l’allarme personalizzato che avevo impostato per il tipo di incidente che nessun responsabile della sicurezza vorrebbe mai sentire.
Ho lasciato il piatto su un tavolo da picnic, ho preso le chiavi e sono scappato.
Ora, sei ore dopo, il sudore mi colava lungo la schiena nonostante l’aria gelida della sala server. Gli occhi mi bruciavano. Le dita mi facevano male. Le spalle si erano irrigidite in un unico nodo per essere rimasta seduta troppo a lungo in posizione curva.
Ma ci sono andato vicino.
«Forza», mormorai, guardando le battute che si susseguivano. «Forza.»
Il monitor numero tre mostrava il percorso dell’intrusione. Qualcuno aveva trovato una vulnerabilità zero-day nel sistema di elaborazione dei pagamenti. L’attacco era pulito, preciso e fin troppo coordinato per essere casuale. Non si trattava di un adolescente annoiato che giocava con strumenti scaricati da un forum. Era un’operazione professionale.
Il monitor numero uno ha tracciato il tasso di esposizione.
Quarantasette milioni di dati dei clienti erano a rischio: dettagli di pagamento, informazioni sull’account, identificativi personali, cronologia delle transazioni. Tutto ciò che l’azienda aveva promesso ai clienti di proteggere.
Il secondo monitor mostrava l’attivazione delle mie contromisure.
Avevo creato un sistema di quarantena proprio per questo scenario. Delle barriere digitali si attivavano, isolando i settori infetti e bloccando i percorsi vulnerabili prima che l’incidente potesse diffondersi ai server di backup.
“Protocolli di quarantena in esecuzione”, ho detto nel piccolo registratore accanto alla tastiera.
Durante il periodo di crisi ho documentato tutto. Non perché qualcuno me ne fosse grato, ma perché, una volta che la situazione si è calmata, i documenti erano importanti.
“Settori da A a F isolati. Implementazione della crittografia sui pacchetti esposti. Reindirizzamento del traffico sospetto verso un ambiente controllato. Tracciamento del modello di origine.”
Le mie mani si muovevano sulla tastiera come se appartenessero a qualcuno più calmo di quanto mi sentissi io.
Ero nato per questo.
Questo era il luogo in cui vivevo.
Successivamente è entrato in funzione l’ambiente di test controllato. Agli occhi di chiunque tentasse di estrarre dati dal sistema, sembrava uno scrigno del tesoro: abbastanza prezioso da poter essere afferrato, abbastanza accessibile da invogliare all’accesso e disseminato di codici di tracciamento.
Hanno abboccato all’amo.
«Ti ho preso», sussurrai.
Le mie dita avevano già ripreso a muoversi, seguendo a ritroso il percorso digitale attraverso strati di server proxy e infrastrutture a noleggio.
Fu in quel momento che il mio telefono vibrò.
L’ho ignorato.
Ha vibrato di nuovo.
D’altra parte.
Abbassai lo sguardo.
Brandon Caldwell.
AMMINISTRATORE DELEGATO.
Chiamata alle due del mattino.
Ogni mio istinto mi diceva di non rispondere. Brandon non chiamava alle due del mattino a meno che non ci fosse già un incendio. Ma forse aveva ricevuto informazioni dal consiglio di amministrazione. Forse un partner esterno aveva segnalato qualcosa di utile. Forse si era finalmente reso conto della portata del problema e voleva dare una mano.
Ho risposto scorrendo il dito e ho messo il telefono tra la spalla e l’orecchio senza fermare le mani.
«Vivian», disse.
La sua voce era piatta. Fredda.
“Brandon, sono nel bel mezzo del salvataggio dell’intera infrastruttura aziendale. Può aspettare?”
«No», disse. «Non è possibile.»
Qualcosa nel suo tono mi ha fatto fermare le dita per la prima volta in sei ore.
«Sarai sostituito», disse. «Mio figlio Kyle assumerà la carica di responsabile della sicurezza informatica, con effetto immediato. Sta arrivando in sede adesso.»
All’improvviso la sala server sembrò più fredda di venti gradi.
“Stai scherzando.”
“Io no. Questa azienda ha bisogno di forze fresche. Giovani talenti. Kyle si è appena laureato a Stanford in informatica. Ha idee nuove. Approcci moderni.”
Sul monitor tre, l’incidente ha tentato di propagarsi.
La mia quarantena ha retto, ma a fatica.
La mia mascella si irrigidì.
“Brandon, al momento sono immerso fino al collo in una violazione dei dati dei clienti che coinvolge quarantasette milioni di persone. Questo non è il momento per un cambio di leadership.”
“Kyle ce la può fare.”
“No, non può.”
“Dagli un briefing al suo arrivo. Hai tempo fino a domattina per impacchettare le tue cose in ufficio.”
La linea è caduta.
Ho fissato il telefono per esattamente tre secondi.
I monitor lampeggiavano davanti a me. Gli aggressori stavano testando la quarantena, cercando punti deboli, una falla da poter forzare. Dovevo rinforzare immediatamente i settori C e D.
Invece, mi sono accomodato sulla sedia.
Otto anni.
Otto anni passati a costruire questa infrastruttura dal nulla. Otto anni passati a difendere la Caldwell Industries da minacce che i dirigenti non hanno mai visto perché le ho fermate prima che diventassero visibili. Otto anni passati a sacrificare sonno, fine settimana, relazioni e più parti di me stesso di quanto mi piacesse ammettere.
E così finì.
Osservai i monitor. Le routine di crittografia che avevo scritto da zero. Gli strumenti di risposta personalizzati che avevo creato nel mio tempo libero quando l’azienda si rifiutava di investire in sistemi migliori. La rete di misure di sicurezza e percorsi di emergenza che solo io comprendevo appieno, perché nessuno al di sopra di me si era mai preso la briga di impararli.
La quarantena per il momento reggeva.
Potrebbe resistere per sei-otto ore prima di richiedere un intervento manuale. Qualcuno dovrebbe regolare i parametri, rinforzare i punti deboli e reagire agli intrusi man mano che cambiano tattica.
Qualcuno che sapeva cosa stava facendo.
Ho preso una decisione che avrebbe cambiato tutto.
Ho aperto una finestra del terminale e ho digitato un singolo comando.
Ogni strumento personalizzato che avevo creato ha iniziato a disinstallarsi. Ogni script proprietario. Ogni percorso di accesso di emergenza. Ogni automazione privata che avevo sviluppato per mantenere in vita Caldwell quando gli strumenti standard erano troppo lenti.
I file sono scomparsi dal monitor cinque.
Anni di lavoro svaniti in pochi secondi.
Poi ho allungato la mano verso l’hard disk personale collegato alla mia postazione di lavoro sicura. Conteneva il mio codice sorgente, gli appunti di sviluppo, i diagrammi architetturali e la documentazione dei miei strumenti privati.
La politica aziendale lo consentiva.
Lo sapevo perché avevo redatto io stesso quella politica.
Tutti gli strumenti personalizzati sviluppati dal personale di sicurezza sono rimasti proprietà intellettuale dello sviluppatore e sono stati concessi in licenza a Caldwell Industries solo attraverso un rapporto di lavoro attivo.
Un rapporto di lavoro appena terminato.
Ho messo via il computer portatile, ho preso il cappotto e mi sono diretto verso la porta.
Si è aperto prima che lo raggiungessi.
Un giovane era in piedi sulla soglia. Ventidue, forse ventitré anni. Capelli ben pettinati, orologio costoso, sorriso sicuro. Il tipo di sorriso che si vede sulle labbra di chi non è mai caduto in disgrazia perché il denaro è sempre stato lì a sostenerlo.
Kyle Caldwell.
«Tu devi essere Vivian», disse, porgendomi la mano. «Papà mi ha detto che mi avresti informato prima di partire.»
Ho guardato la sua mano.
Non l’ho preso.
«I server sono lì dentro», dissi, indicando dietro di me. «Buona fortuna.»
Gli sono passato accanto dirigendomi verso l’uscita.
«Aspetta», disse. «Tutto qui?»
Mi sono fermato.
«E l’incidente?» chiese. «Papà ha detto che c’è stato un piccolo problema.»
Mi sono voltato.
“Si è verificata una catastrofica violazione dei dati dei clienti che ha interessato quarantasette milioni di persone. I protocolli di quarantena stanno funzionando, ma richiederanno un aggiustamento manuale tra circa sei-otto ore. Il traffico esterno è sofisticato e sta testando attivamente i punti deboli. Ogni secondo che trascorrete qui a parlare con me invece di monitorare questi sistemi costa all’azienda 120.000 dollari.”
Il suo volto cambiò.
“Ma cosa devo fare?”
“Arrangiati,” dissi. “Ora sei tu il responsabile della sicurezza informatica. Una ventata d’aria fresca. Approcci moderni.”
“Non puoi semplicemente mostrarmelo?”
“Non lavoro più qui. Tuo padre l’ha detto chiaramente.”
Mi voltai e uscii, lasciando Kyle Caldwell nel corridoio, a fissare la sala server come un uomo che avesse appena ereditato una tempesta che non sapeva come interpretare.
L’aria notturna mi ha colpito il viso quando sono uscito dall’edificio.
Freddo.
Pulito.
Gratuito.
Il mio telefono aveva già ripreso a squillare.
L’ho spento.
Kyle potrebbe avere tutto.
Mi chiamo Vivian Chen. A trentaquattro anni, avevo trascorso otto anni come responsabile della sicurezza informatica presso Caldwell Industries, un’azienda di tecnologia finanziaria che gestiva transazioni per miliardi di dollari ogni anno.
Non provenivo da una famiglia ricca.
I miei genitori gestivano un piccolo ristorante nel Queens. Sono cresciuto guardandoli lavorare sedici ore al giorno, trattando ogni cliente come un membro della famiglia, rifiutandosi di lesinare sulla qualità anche quando l’affitto era in ritardo e la friggitrice si ruppe un venerdì sera.
Mi hanno insegnato che l’eccellenza non è una questione di prestigio.
Si trattava di integrità.
Quella lezione ha plasmato tutto ciò che sono diventato. È il motivo per cui non ho mai trattato con condiscendenza gli sviluppatori junior. Per cui mi fermavo fino a tardi per fare da mentore agli stagisti. Per cui ricordavo i nomi del personale delle pulizie e chiedevo dei loro figli.
Per me, empatia e genialità tecnica non sono mai state concetti opposti.
I miei genitori me lo dimostravano ogni giorno nella loro cucina, e io ho portato con me questo insegnamento in ogni sala server in cui entravo.
Quando ho iniziato a lavorare alla Caldwell Industries, la sicurezza aziendale era imbarazzante. Le password degli amministratori erano attaccate ai monitor con del nastro adesivo. Gli account condivisi erano ovunque. I sistemi più importanti si basavano sulla fortuna e sulla capacità di negare l’accesso.
Otto anni dopo, avevamo crittografia di livello aziendale, autenticazione a più fattori, rilevamento delle minacce in tempo reale e un livello di sicurezza che metteva a disagio i concorrenti.
E ora Brandon Caldwell glielo aveva consegnato come un regalo di laurea.
Quella sera non tornai a casa.
Sono andato in una tavola calda aperta tutta la notte a tre isolati dall’ufficio e ho ordinato un caffè che non ho mai bevuto. Il mio telefono era appoggiato sul tavolo con lo schermo rivolto verso l’alto.
Stavo aspettando.
Ci sono voluti quarantasette minuti.
La prima chiamata è arrivata da Eric, uno dei miei analisti senior della sicurezza.
“Vivian, cosa sta succedendo?” chiese. “Kyle è appena arrivato e ha detto che ora è lui al comando. Ti sta chiedendo tutte le password di amministratore.”
Ho bevuto un sorso di caffè freddo.
“Dateglieli. Brandon ha fatto la sua scelta.”
“Ma l’incidente—”
“Ora è un problema di Kyle. Devi riferire a lui. Segui le sue istruzioni.”
Ci fu una pausa.
“Vivian ci ha chiesto di disattivare i protocolli di quarantena perché stanno rallentando le prestazioni della rete.”
Mi si è gelato il sangue.
“Cosa?”
“Dice che il sistema sta reagendo in modo eccessivo. Sostiene che l’esposizione al rischio non sia così grave come pensiamo. Vuole ripristinare il pieno accesso alla rete per garantire la continuità operativa dell’azienda.”
Quei protocolli di quarantena erano l’unica cosa che impediva alla situazione di propagarsi ai sistemi di backup. Erano la diga che tratteneva l’inondazione.
«Eric», dissi a bassa voce, «non lavoro più lì. Devi parlarne con il tuo nuovo capo.»
“Vivian, per favore.”
“Cosa sta facendo adesso?”
“È nella sala server con un portatile. Ha portato la sua attrezzatura. Dice che la nostra sicurezza è obsoleta e che intende ottimizzare la risposta.”
Ho chiuso gli occhi.
Il suo computer portatile personale.
Connesso alla rete sicura.
Durante un incidente in corso.
“Eric, ascolta con molta attenzione. Non permettergli di disattivare quei protocolli di quarantena. Digli che sono automatici e non possono essere modificati.”
“Ci ho provato. Dice di aver trovato i comandi di override nella documentazione.”
Certo che l’aveva fatto.
Perché ho documentato tutto correttamente.
Buone prassi.
Non avrei mai immaginato che quei documenti sarebbero stati usati dal figlio di un dirigente inesperto per smantellare l’unica cosa che proteggeva l’azienda.
“Quanto tempo ci vorrà prima che esegua il comando di sblocco?” ho chiesto.
“Adesso è lui a dirigere il comando.”
Ho sentito dei clic provenire dal telefono.
Poi Eric fece un respiro profondo.
«Oh no», sussurrò. «Vivian, la quarantena è appena stata revocata in tutti i settori. Stiamo assistendo a un’espansione anche negli ambienti di backup. Il tasso di esposizione sta aumentando. Duecentoquarantamila all’ora. Duecentocinquanta. Continua a salire.»
“Portatelo fuori da quella stanza.”
“Non mi ascolta. Dice che si tratta di un’esposizione controllata per identificare tutti i sistemi interessati.”
Non esisteva un’esposizione controllata durante una crisi in corso. Sarebbe stato come aprire le finestre durante un uragano per capire meglio il vento.
«Passalo al telefono», dissi.
Voci ovattate. Un fruscio. Poi si sentì la voce di Kyle, irritata.
“Signora Chen, apprezzo la sua preoccupazione, ma ho la situazione sotto controllo.”
“No, non lo fai.”
“Il mio approccio è più aggressivo del tuo. A volte bisogna correre dei rischi.”
“Avete esposto i sistemi di backup per mappare la portata?”
“Giusto.”
“Durante un incidente di sicurezza attivo non esiste una soluzione temporanea. Ogni sistema esposto diventa una responsabilità. Ogni secondo di inattività dovuto alla quarantena ha un costo—”
«So quello che faccio», lo interruppe. «Ho studiato questa materia a Stanford. I nostri professori ci hanno insegnato che la sicurezza tradizionale è troppo reattiva. Bisogna essere proattivi. Adattivi.»
«I vostri professori vi hanno insegnato la teoria», dissi. «Questa è la realtà. E nella realtà, avete appena trasformato un problema da 120.000 dollari l’ora in una catastrofe che ha mandato in rovina l’azienda.»
«Credo che tu stia reagendo in modo eccessivo perché sei turbato dal cambiamento», ha detto. «Capisco che il cambiamento sia difficile, ma…»
Ho riattaccato prima di dire qualcosa di cui mi sarei pentito.
Dodici minuti dopo, il mio telefono squillò di nuovo.
Jennifer Walsh, vicepresidente delle operazioni.
«Vivian», disse, «non so cosa stia succedendo, ma Kyle ha appena inviato un’email a tutti i capi dipartimento dicendo che la minaccia alla sicurezza era esagerata e che domani torneremo a lavorare normalmente. È vero?»
«Non saprei», dissi. «Sono stato licenziato sei ore fa.»
Silenzio.
“Eri cosa?”
“Mentre cercavo attivamente di contenere l’incidente, Brandon ha deciso che suo figlio sarebbe stato più adatto.”
“Suo figlio Kyle? Lo stagista di due estati fa che non riusciva a capire come funzionasse la stampante?”
«Laureato in informatica a Stanford», dissi con tono asciutto. «Sangue fresco. Approcci moderni.»
La voce di Jennifer si abbassò.
“Vivian, quanto è grave davvero la situazione?”
Mi guardai intorno nella tavola calda. Luci fluorescenti ronzavano sopra le nostre teste. Un camionista sedeva a tre tavoli di distanza, concentrato sulla sua torta. La cameriera riempiva di nuovo il caffè a qualcuno come se il mondo non fosse crollato sotto i miei piedi.
“Con il precedente tasso di contagio, entro la mattina successiva avremmo avuto danni quantificabili per circa quattordici milioni di dollari. Questo presupponendo che la quarantena fosse rispettata e che la situazione non si diffondesse.”
“Non ha retto”, ha detto Jennifer.
La mia mano si strinse attorno alla tazza.
“Che cosa?”
“Kyle ha inviato quell’email venti minuti fa. Diceva di aver semplificato la procedura di risposta e che la quarantena stava causando tempi di inattività non necessari.”
“Quanto è grave adesso?”
Secondo l’ultimo aggiornamento di Eric, l’esposizione al rischio superava i quattrocentomila dollari all’ora ed era in aumento.
Ho fatto i calcoli all’istante.
A questo ritmo, con i sistemi di backup esposti, entro domattina potrebbero perdere tutto. Dati dei clienti, cronologia delle transazioni, modelli interni, algoritmi proprietari. L’intera azienda si bloccherebbe nel bel mezzo del proprio fallimento.
“Jennifer, devi convocare una riunione d’emergenza del consiglio di amministrazione. Fai uscire Kyle da quella stanza. Chiedi aiuto dall’esterno.”
“Brandon non lo autorizzerà. Dice che Kyle ha bisogno di tempo per trovare il suo ritmo.”
“Quando Kyle troverà il suo ritmo, l’azienda non esisterà più.”
“Cosa possiamo fare?”
Ho guardato il mio riflesso nella vetrina del locale.
Esausto.
Arrabbiato.
Gratuito.
«Niente», dissi. «Non ci lavoro più.»
Ho riattaccato.
Le telefonate continuavano ad arrivare.
Ho smesso di rispondere dopo il sesto.
Invece, sono tornato a casa, mi sono versato due dita di bourbon e mi sono seduto vicino alla finestra a guardare le luci della città. Il mio portatile è rimasto chiuso.
Qualunque cosa fosse successa dopo, la mia impronta digitale avrebbe dimostrato che non mi ero più avvicinato ai sistemi di Caldwell dopo la cessazione del rapporto di lavoro. Avevo fatto la mia scelta quando avevo portato via i miei strumenti.
Ora dovevo conviverci.
La mattina è arrivata con ventitré chiamate perse e quarantasette messaggi di testo.
Li ho ignorati tutti e sono andato a correre.
Sei miglia attraverso Central Park.
Quando sono tornato, la notizia era già trapelata.
Caldwell Industries conferma una grave violazione dei dati dei clienti.
Un colosso finanziario rischia una grave falla nella sicurezza.
Le azioni di Caldwell crollano bruscamente dopo un problema di sistema verificatosi durante la notte.
Il mio telefono squillò.
Brandon.
Ho lasciato che andasse alla segreteria telefonica.
Ha richiamato.
Segreteria telefonica.
Poi un messaggio.
Chiamami subito. È un’emergenza.
Mi sono versato il caffè e ho aperto il portatile, non per accedere ai sistemi di Caldwell, ma per osservare le conseguenze pubbliche della vicenda.
All’apertura dei mercati, il valore delle azioni della società era crollato del trentaquattro percento. Erano già state intentate diverse cause legali. Gli investigatori federali avevano annunciato un’inchiesta. Un giovane sviluppatore in preda al panico, che avrebbe dovuto pensarci due volte prima di pubblicare qualcosa pubblicamente, aveva ipotizzato online che l’incidente avesse raggiunto i sistemi di backup dopo che Kyle aveva disattivato la quarantena.
Tutto ciò che avevo costruito in otto anni stava crollando in tempo reale.
E io guardavo la partita dal mio salotto, in abbigliamento sportivo, sorseggiando un caffè preparato con la caffettiera francese.
È comparso un nuovo messaggio in segreteria.
L’ho messo in vivavoce.
La voce di Brandon risuonò tesa e disperata.
“Vivian, ho commesso un errore. Un errore terribile. Abbiamo bisogno che tu torni. Dì il tuo prezzo. Qualsiasi cifra tu voglia. Ti prego, richiamami.”
L’ho cancellato.
Cinque minuti dopo, arrivò un altro messaggio in segreteria.
Questo era di Kyle.
“Signora Chen, sono Kyle Caldwell. Credo ci sia stato un malinteso sui protocolli di sicurezza. Il sistema sta mostrando guasti a cascata in tutti i settori e io non posso… Gli strumenti che ha creato sono spariti e io non…”
La sua voce si incrinò.
“Potresti richiamarmi, per favore? Per favore.”
Sembrava giovane.
Impaurito.
Completamente al di sopra delle sue capacità.
Perché lo era.
Quel pomeriggio, alle tre, suonò il campanello.
Ho controllato le telecamere di sicurezza.
Brandon Caldwell era in piedi nel mio corridoio e sembrava invecchiato di dieci anni da un giorno all’altro. La cravatta era allentata. Aveva gli occhi iniettati di sangue. Era solo.
Ho aperto la porta ma non l’ho invitato ad entrare.
«Vivian», disse.
“Avete trenta secondi prima che chiuda questa porta.”
“Vi prego. L’azienda sta morendo. Abbiamo perso il controllo della situazione. L’esposizione si è estesa a sistemi di cui ignoravamo persino la vulnerabilità. Le informazioni dei clienti stanno comparendo in luoghi in cui non dovrebbero mai trovarsi. Il titolo azionario è in caduta libera. Abbiamo cause legali. Indagini da parte delle autorità di regolamentazione. Tutto sta crollando.”
“Venti secondi.”
“Ti darei qualsiasi cosa. Responsabile della sicurezza informatica. Posto nel consiglio di amministrazione. Partecipazione azionaria. Completa autonomia. Ti prego, aiutaci a risolvere questo problema.”
“Mi hai licenziato mentre stavo attivamente salvando la tua azienda, solo per poter insediare tuo figlio incompetente. E ora vuoi che io rimedi ai danni?”
«Sì», rispose.
Questo mi ha sorpreso.
Non perché lo abbia ammesso.
Perché non ha cercato di addolcirlo.
«So di non meritarlo», ha continuato. «So di aver sbagliato. Ma quarantasette milioni di persone si sono fidate di noi e ci hanno affidato le loro informazioni, e potrebbero pagare per la mia arroganza. Posso convivere con la perdita della mia azienda. Non posso convivere con la consapevolezza che i nostri clienti sono stati danneggiati a causa di una mia decisione egoistica».
Era la prima cosa che diceva che non riguardasse se stesso.
Mi sono fatto da parte.
“Entra.”
Mi seguì in salotto.
Non gli ho offerto un posto a sedere.
Non ho offerto caffè.
Rimasi lì in piedi con le braccia incrociate.
“Mostrami lo stato attuale.”
Brandon tirò fuori il telefono con le mani tremanti e aprì una dashboard. Glielo presi e ne esaminai i dati.
È stato peggio di quanto immaginassi.
L’incidente aveva raggiunto tutti i principali sistemi. Dati dei clienti. Dati dei dipendenti. Modelli di transazione proprietari. Strumenti amministrativi interni. Tutto era compromesso, esposto o a rischio.
“Dov’è Kyle adesso?”
“Nella sala server.”
“Da quanto tempo si trova lì?”
“Sedici ore.”
“Con quali strumenti?”
“Non lo so. Qualunque cosa abbia portato. Il suo portatile.”
“Il suo portatile personale si è connesso alla vostra rete sicura durante un incidente di sicurezza in corso?”
Il viso di Brandon impallidì.
“Non penserai che—”
“Credo che tuo figlio possa aver fornito agli hacker un accesso diretto a tutto ciò che toccava. Quel portatile è probabilmente compromesso. Ogni tasto premuto potrebbe essere registrato. Ogni password potrebbe essere stata intercettata.”
“Oh Dio.”
Gli ho restituito il telefono.
“Dovete spegnere tutto. Un blackout totale della rete. Ogni server, ogni workstation, ogni dispositivo. Subito.”
“Ma le nostre operazioni—”
“Le vostre attività sono già ferme. Semplicemente non l’avete ancora ammesso. Chiudete tutto prima che la situazione peggiori.”
“Quanto può peggiorare ancora?”
“Attualmente gli operatori esterni hanno accesso alle informazioni. Se Kyle continua a improvvisare, potrebbero acquisire la capacità di modificare i registri. Ciò significa errori nelle transazioni, problemi con gli account e rischi legali che non potrete ignorare. Quello che dovrebbe essere un incidente di sicurezza si trasformerebbe in una vera e propria crisi aziendale.”
Brandon compose immediatamente il numero.
“Qui Caldwell”, disse. “Attivare il protocollo di emergenza numero sette. Arresto completo della rete. Tutto offline entro dieci minuti.”
Lui ascoltò.
“Non mi interessa se è orario di lavoro. Non mi interessa se ci sono transazioni in sospeso. Chiudete tutto immediatamente.”
Riattaccò e mi guardò.
“Cos’altro?”
“Fate uscire Kyle dalla sala server. Prendetegli il portatile e il telefono. Non lasciategli toccare le apparecchiature aziendali. Poi preparate il vostro team legale perché gli investigatori federali vorranno esaminare tutto.”
«Tornerai?» chiese Brandon. «Ci aiuterai a ricostruire?»
Mi sono avvicinato alla finestra e ho guardato fuori, verso la città.
Otto anni della mia vita.
Otto anni dedicati alla costruzione di qualcosa di eccellente, distrutto in sedici ore perché l’ego contava più della competenza.
«Chiederò consiglio», dissi.
Le sue spalle si rilassarono per il sollievo.
«Contratto di sei mesi», continuai. «Compenso fisso. Completa autonomia. Il mio team. Le mie regole.»
“SÌ.”
“E Brandon?”
Alzò lo sguardo.
“Se mai doveste scavalcare di nuovo le mie decisioni in materia di sicurezza, se mai doveste mettere in discussione i miei protocolli durante un incidente in corso, se mai doveste anteporre l’ego di qualcuno alla sicurezza dell’azienda, me ne vado. E mi porto via tutto ciò che mi appartiene. Capito?”
“Inteso.”
“Allora l’accordo è fatto.”
Il mio primo giorno di ritorno alla Caldwell Industries è stato come entrare nel bel mezzo delle conseguenze di una tempesta.
Sono arrivato alle sei del mattino con quattro specialisti con cui avevo collaborato nel corso degli anni. Le persone migliori che conoscessi. Avevano lasciato tutto quando li ho chiamati perché si fidavano di me e perché la sfida era talmente impossibile da risultare interessante.
Abbiamo preso possesso della sala server.
Era il caos.
I cavi erano ovunque. Le postazioni di lavoro erano state lasciate in esecuzione con script a caso. Il portatile di Kyle era ancora collegato, ancora connesso, ancora lì, come un errore di caricamento.
«Nessuno tocchi niente», dissi. «Questa ora è una scena del crimine.»
Ila, la mia esperta di medicina legale, ha iniziato a fotografare la stanza.
«Capo», disse, «ho contato sette dispositivi non autorizzati collegati alla rete».
“È opera di Kyle”, dissi. “Prendeteli tutti. Gli investigatori li vorranno.”
Thomas, il mio specialista di infrastrutture, fissava lo schermo del server principale.
«Vivian», disse, «abbiamo connessioni in uscita attive. L’esposizione è ancora in corso.»
Mi sono trasferito alla sua stazione.
Aveva ragione.
Le informazioni continuavano a circolare. Anche con la rete bloccata, qualcosa continuava a trasmettere.
“Trova la fonte.”
Le dita di Thomas volavano sulla tastiera.
“Capito. Processo nascosto sul server di autenticazione di backup. Sembra un punto di accesso persistente. L’hanno installato dopo che Kyle ha rimosso la quarantena.”
“Riesci a ucciderlo?”
“Non senza rischiare di cancellare ogni traccia di prove. È un sistema sofisticato.”
Ho avvicinato una sedia e mi sono seduto accanto a lui.
Ciò richiedeva precisione chirurgica.
“Tutti gli altri, iniziate l’audit delle infrastrutture. Voglio una mappa completa di ogni sistema interessato. Io e Thomas ce ne occuperemo.”
Le sei ore successive furono intense.
Thomas ed io abbiamo lavorato in tandem, studiando attentamente il codice dannoso, i suoi meccanismi di innesco, i suoi sistemi di sicurezza e i suoi schemi di comunicazione. Cambiava la sua firma ogni quindici minuti. Ciò significava che una quarantena standard avrebbe potuto allertarlo e indurlo a cancellare ogni traccia di sé prima che riuscissimo a catturare ciò di cui avevamo bisogno.
«Quindi non lo mettiamo in quarantena», dissi. «Lo lasciamo morire di fame.»
Ho creato un filtro di pacchetti così sottile da poter passare attraverso un ago. Permetteva al normale traffico interno di apparire inalterato, mentre catturava silenziosamente i dati in uscita e li reindirizzava verso un ambiente controllato.
Il trucco consisteva nel rendere il filtro sufficientemente discreto da non essere rilevato dal processo finché non fosse troppo tardi.
«Schieramento in tre», dissi. «Due. Uno.»
Abbiamo osservato il traffico.
Il processo nascosto continuava a funzionare come se nulla fosse cambiato, ma i suoi pacchetti in uscita venivano intercettati e reindirizzati nell’ambiente di copertura che avevo creato.
“Non rileva il filtro”, ha detto Thomas.
“Dategli tempo. Se abbiamo fatto tutto correttamente, non se ne accorgerà per almeno un’ora.”
Quarantatré minuti dopo, il processo ha tentato di comunicare con i dati acquisiti.
La connessione non è riuscita.
Ci ha riprovato.
Fallito.
Il sistema ha attivato ciclicamente i canali di comunicazione di backup.
Tutto bloccato.
“Sa che qualcosa non va”, ha detto Thomas.
“Lascialo andare in panico. Ila, stai registrando?”
“Ogni pacco”, gridò dalla sua postazione.
Il processo ha fatto un ultimo tentativo di cancellare ogni traccia di sé. Ma a quel punto, lo avevamo isolato in un contenitore virtuale. All’interno di quella scatola poteva cancellare tutto ciò che voleva. Non poteva più toccare i sistemi reali.
«Ricevuto», dissi, appoggiandomi allo schienale della sedia. «Punto di accesso neutralizzato. Thomas, elimina ogni traccia dall’ambiente circostante.»
“Ci penso io.”
Mi alzai in piedi, con la schiena che mi faceva un male cane dopo sei ore passata curva su una tastiera.
La stanza ora era animata da un movimento controllato.
Ila ha documentato le prove. Thomas ha eliminato l’infezione. Rachel, la mia specialista di crittografia, ha creato nuovi protocolli. James, il membro più giovane del mio team e il più brillante penetration tester, ha cercato eventuali punti deboli rimanenti.
Jennifer Walsh è apparsa sulla porta della sala server.
“Stato?”
«L’esposizione attiva è cessata», dissi. «L’emorragia immediata è contenuta. Ora viene la parte difficile.»
“Per quanto?”
“Sei settimane se tutto va alla perfezione. Tre mesi in caso di complicazioni.”
“Hai a disposizione tutte le risorse di cui hai bisogno.”
“Ne avrò bisogno.”
Il giorno prima di mettere online il nuovo sistema, ho ricevuto una citazione in giudizio.
Un comitato di regolamentazione pubblico ha richiesto testimonianze sugli standard di sicurezza nel settore della tecnologia finanziaria. Nello specifico, voleva parlare di Caldwell Industries e di cosa fosse andato storto.
Mi trovavo seduto in una sala d’udienza a Washington, DC, di fronte a una commissione di funzionari che avevano una conoscenza della tecnologia sufficiente a destare preoccupazione, ma non abbastanza da sentirsi a proprio agio.
«Signora Chen», iniziò uno di loro, «può spiegarci in termini semplici cosa è successo alla Caldwell Industries?»
Mi sono avvicinato al microfono.
«Un professionista qualificato è stato sostituito da una persona non qualificata nel bel mezzo di una crisi», ho detto. «Il risultato è stato un fallimento catastrofico. Se si sostituisse un cardiochirurgo a metà operazione con qualcuno che ha studiato medicina solo in un’aula, ci si aspetterebbe risultati simili.»
Alcune persone presenti in galleria hanno reagito a bassa voce.
Le domande continuarono.
“E di chi è stata la decisione di questa sostituzione?”
“L’amministratore delegato Brandon Caldwell.”
“Ti ha licenziato mentre l’incidente era ancora in corso?”
“SÌ.”
“E ha insediato suo figlio?”
“SÌ.”
Quali erano le qualifiche di Kyle Caldwell?
“Una laurea triennale in informatica e uno stage estivo. Nessuna esperienza pratica nella gestione di sistemi di sicurezza aziendali, nella risposta agli incidenti o nel contenimento delle crisi.”
“E le sue qualifiche?”
“Dodici anni di esperienza nella sicurezza informatica. Diverse certificazioni di settore. Una laurea magistrale in ingegneria informatica. Otto anni dedicati alla creazione e alla manutenzione dell’infrastruttura di Caldwell. Ed ero fisicamente presente, impegnato attivamente nel contenimento dell’incidente, quando sono stato allontanato.”
L’interrogatorio è durato due ore.
Altri testimoni hanno deposto. Esperti di sicurezza. Ex dipendenti di Caldwell. Persino Kyle stesso, che appariva affranto mentre ammetteva di essere stato sopraffatto e di aver preso decisioni che non comprendeva appieno.
Ma il momento che ha fatto notizia è stato quando un funzionario mi ha chiesto dei miei attrezzi.
«Signora Chen, dopo il suo licenziamento ha rimosso i suoi strumenti di sicurezza personalizzati. Alcuni hanno ipotizzato che tale azione abbia causato ulteriori danni. Come risponde?»
Nella stanza calò il silenzio.
Ho guardato dritto davanti a me.
“Quegli strumenti erano di mia proprietà intellettuale”, dissi. “Sviluppati nel mio tempo libero utilizzando le mie risorse e concessi in licenza a Caldwell Industries tramite il mio contratto di lavoro. Quando quel contratto è terminato, anche la licenza è cessata. Avevo tutto il diritto legale di rimuovere il software proprietario che mi apparteneva.”
“Ma sapevate che questo avrebbe creato delle difficoltà per l’azienda.”
«Sapevo che avrebbe creato problemi al mio successore», dissi. «Proprio come uno chef che rivela le proprie ricette segrete creerebbe problemi a chi lo sostituisce. Non si tratta di cattiva condotta. È la naturale conseguenza della perdita di conoscenze aziendali.»
“Alcuni direbbero che avevi un obbligo morale.”
«Alcuni direbbero che un datore di lavoro ha l’obbligo morale di non rimuovere il proprio responsabile della sicurezza durante una crisi in corso per nominare un familiare non qualificato», ho risposto. «La moralità è una questione complessa».
Il video si è diffuso nel giro di un’ora.
Sei mesi dopo quella notte nella sala server, mi ritrovai di fronte al consiglio di amministrazione di Caldwell Industries.
“La nuova infrastruttura di sicurezza è completa”, ho detto loro. “È operativa, testata e significativamente più robusta di quella che avevate prima. Il mio team ha formato il vostro personale permanente. La documentazione è esaustiva. Siete in buone mani.”
Amanda Walsh, che nel frattempo aveva assunto un ruolo di leadership più importante, sorrise.
“Quindi questo è un addio?”
“Questo è un addio.”
Avevo adempiuto al mio contratto.
Il compenso di consulenza di 2,5 milioni di dollari era sul mio conto.
L’azienda era al sicuro.
E avevo finito.
Mentre uscivo dall’edificio per l’ultima volta, Eric mi raggiunse vicino all’atrio.
“Ci mancherai”, ha detto.
“Andrà tutto bene. Ormai conosci questi sistemi a menadito.”
“Non è la stessa cosa.”
“Non dovrebbe essere così. Tu non sei come me. Sei migliore perché hai imparato da tutto questo.”
Mi ha stretto la mano.
“Se hai bisogno di qualcosa,” dissi, “chiamami.”
Lo dicevo sul serio.
Tre mesi dopo, ho aperto la mia società di consulenza in materia di sicurezza informatica.
Chen Security Solutions.
Il mio primo cliente è stata un’azienda del settore sanitario che aveva evitato per un pelo un grave incidente di sistema. Il secondo è stata un’azienda manifatturiera la cui sicurezza consisteva principalmente in un foglio di calcolo protetto da password. Il terzo è stata una startup i cui fondatori volevano costruire le cose nel modo giusto fin dal primo giorno.
La notizia si diffuse rapidamente.
La donna che si era allontanata dalla Caldwell Industries.
La donna che ha testimoniato a Washington.
La donna che ha ricostruito l’infrastruttura di un’azienda multimiliardaria in sei settimane.
Era disponibile per essere assunta.
Il lavoro era impegnativo, gratificante e si svolgeva interamente alle mie condizioni.
Basta con i capi che davano più importanza ai favoritismi familiari che alla competenza. Basta con le suppliche per ottenere le risorse necessarie per svolgere correttamente il mio lavoro. Basta con il rimanere in silenzio di fronte ai problemi in arrivo.
Ho creato un team di specialisti che condividevano i miei valori. Abbiamo scelto clienti che desideravano realmente essere al sicuro, non solo clienti che volevano adempiere agli obblighi di legge.
Ogni contratto includeva una clausola.
Durante gli incidenti in corso, i responsabili delle decisioni a livello dirigenziale devono affidarsi agli esperti di sicurezza.
Nessuna eccezione.
L’ho chiamata la clausola Caldwell.
Alcuni clienti hanno opposto resistenza.
Non erano i clienti che desideravo.
Chi aveva capito, chi aveva visto cosa succedeva quando l’ego prevaleva sulla competenza, ha firmato immediatamente.
Un anno dopo quella notte nella sala server, ho ricevuto un’email da Kyle Caldwell.
Oggetto: Le mie scuse.
L’ho fissato a lungo prima di aprirlo.
La signora Chen,
So che questa email è in ritardo. Ti devo delle scuse.
Quello che è successo alla Caldwell Industries non è stata colpa tua. È stata colpa mia e di mio padre. Non avrebbe mai dovuto mettermi in quella situazione, e io avrei dovuto essere abbastanza intelligente da rifiutare.
Ero arrogante. Pensavo che una laurea mi qualificasse. Pensavo che i sistemi che avevate creato fossero inutilmente complessi. Pensavo di poter fare di meglio.
Mi sbagliavo su tutto.
Nell’ultimo anno ho lavorato in posizioni di base nel settore della sicurezza informatica, imparando da zero. Ora ricomincio da capo e cerco di fare le cose per bene questa volta.
Non mi aspetto il perdono. Non mi aspetto una risposta. Volevo solo che sapeste che ora capisco quanto vi sono costato, quanto sono costato all’azienda e quanto sono costato ai quarantasette milioni di persone di cui non sono riuscito a proteggere i dati.
Mi dispiace.
Kyle.
L’ho letto due volte.
Poi ho cliccato su “Rispondi”.
Kyle,
Grazie per le scuse. Ci vuole coraggio per ammettere gli errori, soprattutto quelli commessi in pubblico.
Se sei seriamente intenzionato a fare le cose per bene, ho un’opportunità per un analista della sicurezza junior. La retribuzione è quella di un principiante. Il lavoro è impegnativo. Imparerai da persone che non ti tratteranno con indulgenza solo per via del tuo nome.
Ma se vuoi davvero diventare bravo in questo, l’offerta è ancora valida.
Vivian.
Ha iniziato il lunedì successivo.
All’inizio era terribile.
Ha commesso errori da principiante. Ha fatto domande ovvie. Ha avuto difficoltà con concetti che avrebbe dovuto imparare prima ancora di entrare in quella sala server. Ma si è presentato ogni giorno.
Lui ascoltò.
Ha imparato.
Lentamente, le sue condizioni migliorarono.
Non sono mai stato indulgente con lui.
Nemmeno la mia squadra.
Ma gli abbiamo insegnato la stessa lezione che i miei genitori avevano insegnato a me nel loro ristorante nel Queens: l’eccellenza deriva dall’integrità e la competenza dall’umiltà.
Dopo sei mesi, Kyle ha individuato una vulnerabilità che sarebbe costata milioni a un cliente.
“Ottimo lavoro”, gli dissi.
Alzò lo sguardo, sorpreso.
Fu il primo complimento che gli feci.
«Grazie», disse. «Credo di aver finalmente capito cosa stavate facendo quella notte. Perché quei protocolli erano importanti. Quanto poco ne sapevo.»
“Tutti iniziano da qualche parte”, ho detto. “La questione è se sei disposto a impegnarti per migliorare.”
“Sono.”
“Allora andrà tutto bene.”
La Caldwell Industries non si riprese mai completamente.
L’incidente costò loro miliardi in cause legali, sanzioni, perdita di affari e rottura della fiducia. La reputazione di Brandon Caldwell non si riprese mai completamente. L’azienda fu infine acquisita da un concorrente per una frazione del suo valore precedente.
Ma l’infrastruttura che ho ricostruito ha continuato a funzionare.
Sicuro.
Stabile.
Un monumento a ciò che è possibile realizzare quando la competenza conta più della comodità.
Per quanto mi riguarda, la Chen Security Solutions è diventata una delle aziende più rispettate del settore. Abbiamo rifiutato più clienti di quanti ne abbiamo accettati. Pagavamo bene i nostri dipendenti, li trattavamo con rispetto e non abbiamo mai compromesso gli standard.
Ogni nuovo assunto si sentiva raccontare la stessa storia il primo giorno.
La notte in cui mi sono allontanato da una situazione di crisi perché mi sono rifiutato di lavorare per persone che non davano valore alla competenza.
La differenza tra essere impiegati ed essere rispettati.
L’importanza di sapere cosa ti appartiene prima che qualcuno decida che sei usa e getta.
Alcuni mi hanno definito vendicativo per aver rimosso i miei strumenti.
Altri mi hanno definito coraggiosa per essermi opposta al nepotismo aziendale.
Non mi definivo né l’uno né l’altro.
Ero semplicemente una persona che capiva che a volte la cosa più efficace da fare è andarsene e lasciare che le persone affrontino le conseguenze delle loro scelte.
Brandon ha scelto suo figlio al posto della competenza.
Kyle ha scelto l’ego al posto dell’umiltà.
Entrambi hanno pagato per questo.
Ho scelto l’integrità al posto dello stipendio.
E proprio per questo, ho costruito qualcosa di migliore.
