Nelle ultime settimane si è parlato molto di "Claude Mythos". Un caso diventato rapidamente virale, con una copertura che ha superato i confini della community tecnica e raggiunto un pubblico molto più ampio.
Non è necessario entrare nei dettagli per cogliere l'effetto più interessante: non tanto cosa sia successo, ma cosa ha prodotto nelle organizzazioni. Ancora una volta, un episodio mediatico ha reso improvvisamente "urgente" un tema che, fino a poco prima, faticava a trovare spazio nelle agende aziendali.
Il paradosso: la sicurezza conta quando fa notizia
In molte aziende la sicurezza informatica vive una dinamica ricorrente e, a dirla tutta, piuttosto frustrante:
- i rischi sono noti da tempo;
- le possibili risposte esistono già — processi, controlli, governance;
- ma restano sullo sfondo, percepite come costo, complessità o rallentamento del business.
Finché non succede qualcosa. Un caso mediatico, un attacco raccontato sui giornali, una storia che gira su LinkedIn, un nome riconoscibile che diventa argomento da corridoio.
E allora cambia tutto. La sicurezza passa da "importante ma non ora" a priorità immediata. Non perché il rischio sia nato in quel momento, ma perché è diventato visibile, condiviso, difficile da ignorare.
La stessa dinamica dei disastri annunciati
Il paragone più calzante è quello con gli eventi naturali catastrofici: alluvioni, frane, inondazioni. Gli esperti avvertono da anni, le analisi esistono, i segnali sono documentati. Ma finché non arriva l'evento, la prevenzione resta marginale. Non genera consenso, non porta titoli, non attiva decisioni.
Dopo il disastro succede l'opposto: l'attenzione esplode, si cercano responsabili, si scoprono "improvvisamente" vulnerabilità già note da tempo. Tutti diventano interessati, molti diventano esperti, e l'urgenza prende il posto della pianificazione.
Con il cyber accade qualcosa di molto simile. E casi come Claude Mythos lo rendono evidente: non è un tema nuovo, ma ha trovato un amplificatore potente.
Il ruolo scomodo di chi parla di rischio prima che diventi notizia
In questo scenario c'è un elemento umano e organizzativo che viene spesso sottovalutato: la frustrazione di chi prova a parlare di rischio prima che diventi un caso.
I CISO e i team di sicurezza non alzano la voce per abitudine o per gusto di farlo. Nella maggior parte dei casi stanno cercando di costruire resilienza, chiedendo attenzione su cose concrete:
- esposizioni note ma mai prioritarizzate;
- dipendenze critiche nella supply chain tecnologica;
- debito tecnico che rende fragile l'operatività quotidiana;
- processi non governati — accessi, privilegi, dati, strumenti AI — che crescono "per comodità".
Ma finché manca un evento che renda tutto evidente, quella voce rischia di restare una voce "di reparto". Non un tema di leadership, non una priorità di board.
C'è qualcosa di paradossale in questo meccanismo: chi ha il compito di proteggere l'organizzazione deve spesso aspettare che qualcun altro — un attaccante, un giornalista, un caso virale — faccia il lavoro di sensibilizzazione che avrebbe dovuto fare la cultura aziendale.
Quando l'attenzione arriva, qualcosa si muove
Guardando il lato positivo, la copertura mediatica ha un effetto reale e concreto: sblocca conversazioni che erano ferme. Fa emergere priorità, apre finestre decisionali, rende più facile ottenere budget e commitment da chi ha il potere di allocarli.
In altre parole: trasforma un rischio astratto in un rischio percepito, e il rischio percepito è spesso quello che accelera l'azione. Anche quando la radice del problema era già lì da mesi, a volte da anni.
Questo movimento non è necessariamente ipocrisia. È un meccanismo organizzativo riconoscibile: le aziende reagiscono a ciò che è visibile perché la visibilità cambia la percezione del costo del non fare nulla. Prima dell'evento, quel costo sembra astratto. Dopo, diventa reale e misurabile.
Vale anche la pena notare un altro effetto collaterale positivo: quando la sicurezza diventa argomento pubblico, si abbassa la soglia di conversazione. Manager, board, funzioni di business che prima non si sentivano coinvolti iniziano a fare domande. E le domande, anche quelle elementari, sono spesso il primo passo verso decisioni migliori.
Il punto non è l'episodio. È il ciclo.
Claude Mythos è un pretesto utile per osservare un ciclo che si ripete: prevenzione che fatica a ottenere spazio, poi evento o copertura mediatica, poi attenzione improvvisa, poi corsa a "sistemare".
Il problema non è che le aziende reagiscano agli stimoli esterni — è normale, è umano. Il problema è che questo ciclo lascia sempre un intervallo di esposizione non necessario: un periodo in cui il rischio era noto, le soluzioni erano disponibili, ma la priorità mancava.
Quel gap — tra quando un rischio è necessario affrontare e quando diventa visibile farlo — è il vero costo del paradosso. Non sempre si misura in danni diretti. Spesso si misura in opportunità mancate, in resilienza costruita in ritardo, in fiducia da riconquistare.
La sicurezza diventa una priorità quando diventa visibile, non quando diventa necessaria. Capirlo non serve a puntare il dito. Serve a leggere meglio come funzionano le decisioni nelle organizzazioni: cosa attiva il cambiamento, cosa lo blocca, e perché i segnali deboli vengono ignorati.