Un secondo controllo umano trova sempre il dato nascosto in un file?
7 min di lettura
Il 30 luglio 2026 la Commissione Difesa della Camera dei Comuni britannica ha pubblicato «Shifting heaven and earth? The Afghan data breach and resettlement schemes» — First Report of Session 2026–27, HC 69: la ricostruzione di come un foglio di calcolo abbia esposto i dati di migliaia di persone la cui vita, per valutazione dello stesso governo britannico, era in pericolo, e di come il ministero della Difesa (MOD) l’abbia tenuta nascosta per quasi due anni. Il rapporto contiene un’ammissione che vale più di ogni altra riga, per chi gestisce dati sensibili in un’azienda o in un ente pubblico: nemmeno un secondo controllo umano, dice il ministero stesso, avrebbe probabilmente trovato il dato che ha causato il disastro.
Centocinquanta nomi apparenti, diciottomilacinquecento reali
Nel febbraio 2022 un funzionario del MOD ha inviato a un soggetto esterno di fiducia un foglio di calcolo che sembrava contenere le informazioni di circa 150 richiedenti dell’Afghan Relocations and Assistance Policy (ARAP), il programma per gli afghani che avevano lavorato al fianco delle forze britanniche. In realtà il file includeva dati personali dettagliati relativi a oltre 18.500 domande. «Quei dati erano invisibili a chi apriva il file in modo ordinario», scrive la Commissione, «e la persona che lo ha inviato non sapeva che fossero inclusi, e apparentemente non sapeva nemmeno che i fogli di calcolo possono contenere dati nascosti di questo tipo, tanto meno come verificarlo».
Da quel momento il ministero ha perso ogni controllo: «una volta che il file è uscito dai sistemi governativi, il MOD non ha più controllato chi potesse accedervi o condividerlo». La scoperta è arrivata diciotto mesi dopo, non da una verifica interna: nell’agosto 2023 parte del dataset è comparsa in un gruppo Facebook.
La contraddizione
Sentito dalla Commissione, Sir Ben Wallace — allora Secretary of State for Defence — ha detto che la fuga poteva avvenire solo se «le procedure operative che prevedono controlli aggiuntivi sull’invio di dati fuori dal ministero erano state ignorate», aggiungendo che «qualcuno di sicuro non ha fatto il proprio lavoro». La memoria scritta del ministero dice l’opposto: la fuga è avvenuta «mentre i funzionari stavano seguendo i processi concordati». Alla Commissione che chiedeva conto di questa discrepanza, il MOD ha risposto che «era improbabile che il dato nascosto sarebbe stato trovato anche se fosse stato effettuato un secondo controllo».
Il giudizio della Commissione è netto: «È un’ammissione netta di un fallimento culturale persistente». E aggiunge un dettaglio che rovescia ogni scusante tecnica: «è relativamente semplice assicurarsi che un file Excel non contenga dati nascosti, e le linee guida del governo centrale su come proteggersi da questo rischio noto erano ampiamente diffuse al momento della fuga» — «lo stesso ministero aveva emesso linee guida locali sullo stesso punto». Era «ben noto che i fogli di calcolo potessero contenere dati nascosti o non evidenti — righe, colonne, fogli di lavoro, metadati, formule e dati di origine messi in cache»; il garante britannico per la protezione dei dati pubblicava linee guida dettagliate «almeno dal 2015»; entro giugno 2021 le indicazioni del governo centrale «imponevano controlli su schede, colonne e righe nascoste prima di condividere o pubblicare un file».
Perché un controllo umano non basta
Le due versioni possono essere vere entrambe, ed è esattamente il punto. Una regola scritta che nessuna macchina applica non è una misura di sicurezza: è un auspicio. Il controllo su cui il MOD contava dipendeva da una persona che apre un file e guarda — ma i dati nascosti sono, per definizione, ciò che non si vede aprendo un file. Un controllo che gira sul file prima che esca, non su chi lo invia, funziona in modo deterministico, ogni volta, e lascia una traccia. Quello che qui non c’era.
C’è un secondo punto, altrettanto strutturale: il perimetro finiva dove finiva il file. Una volta uscito, nessuna revoca, nessun audit, nessun rientro possibile. La scoperta, non a caso, non arriva da un controllo interno ma da un gruppo Facebook, diciotto mesi dopo. Lo stesso principio regge il registro di un assistente AI aziendale: la domanda non è se la policy esiste, ma se qualcosa — un sistema, non una persona — la applica prima che il dato esca, e se ne resta traccia.
Il terzo elemento è lo strumento stesso. David Williams, all’epoca Permanent Secretary del ministero, ha descritto l’ambiente di lavoro come «essenzialmente una combinazione dell’uso estemporaneo di fogli di calcolo su siti SharePoint». Il sistema dedicato — il Defence Afghan Caseworking System — arriva solo nel maggio 2022, tre mesi dopo la fuga; l’ARAP era in sviluppo dal settembre 2020. La Commissione lega i tre elementi: «La fuga non è stata solo l’errore isolato di una persona: è stato un fallimento sistemico prevedibile», nato «dalla combinazione di strumenti inadeguati, procedure operative deboli, formazione insufficiente, scarsa continuità organizzativa e una cultura della protezione dei dati e della responsabilità inadeguata». Più diretto: «Il ministero ha gestito pratiche di immigrazione sensibili con strumenti e controlli non adatti, a nessuna scala, a un dataset che poteva mettere a rischio delle vite».
Due anni di silenzio
Il governo trattò l’incidente come potenzialmente letale, e dal settembre 2023, per quasi due anni, un’ingiunzione ha impedito che si riferisse pubblicamente della fuga e della risposta, mentre decisioni politiche e di spesa rilevanti venivano prese in segreto. La Commissione ne trae la raccomandazione 62: «Il governo dovrebbe imporre e far rispettare standard minimi di competenze, processo, strumenti, controlli, verifica indipendente e collaudo per i dataset la cui compromissione potrebbe plausibilmente mettere a rischio delle vite». Il rapporto stesso avverte: è un rapporto di commissione, con raccomandazioni al governo, che ha due mesi di tempo per rispondere.
Il rovescio
Va detto con la stessa precisione con cui si è detto il resto. La Commissione riconosce che la caduta di Kabul, nell’agosto 2021, fu una crisi vera, e che il ministero non poteva prevedere la velocità dell’avanzata talebana. Ma aggiunge che quelle pressioni «aiutano a spiegare come queste debolezze si siano sviluppate; non ne scusano la continuazione nel 2022». Non è un atto d’accusa contro il Regno Unito: la stessa combinazione — dato sensibile in un foglio di calcolo, controllo affidato a una persona, nessuna verifica automatica prima che il file esca — si trova in enti e imprese di ogni paese. Questo rapporto è raro perché qualcuno l’ha scritta per esteso, con nomi e citazioni, invece di lasciarla come sospetto diffuso.
Come lo risolviamo noi
Il caso ARAP non riguarda l’intelligenza artificiale, ma la lezione è esattamente il tipo di impianto che costruiamo. Il primo asse è la conformità che si può esibire: un controllo che gira sui documenti e sui sistemi del cliente prima che un file esca — cosa contiene davvero, quante persone ci sono dentro, cosa è nascosto — e lascia una traccia con data, file, esito e destinatario. Non un modulo firmato una volta, non una policy che qualcuno deve ricordarsi di applicare, ma un sistema che legge il contenuto ogni volta.
Qui l’argomento per la modalità on-premise è particolarmente forte: un controllo che deve leggere il contenuto di documenti riservati — buste paga, fascicoli personali — non dovrebbe girare su un servizio esterno che il cliente non presidia. Lavoriamo sempre in due modalità: on-premise, su macchine autonome che non richiedono integrazione profonda nella rete del cliente, oppure su un cloud dedicato CSIDIA, con VPN dedicata e data center in Italia, locali che presidiamo direttamente. Sempre con la gestione condivisa, perché quasi nessuna organizzazione ha già in casa chi amministra un sistema così — lo stesso principio che regge le credenziali di chi amministra un sistema AI aziendale: la designazione e la traccia si scrivono prima di accendere il sistema, non dopo un incidente.
Il secondo asse è quello che rende utile il primo. Lo stesso impianto che controlla un file prima che esca tiene insieme i dati sparsi dell’organizzazione — archivi, gestionali, documenti, sensori — in un modello operativo unico, dove un dataset di quella criticità non vive in un foglio allegato a un’email ma ha una sola casa, con accessi governati, su cui agenti AI eseguono decisioni con un operatore al comando: per grandi imprese, difesa, pubblica amministrazione e sanità. La conformità è la porta d’ingresso; l’impianto decisionale è quello che vendiamo.
Sapreste dire oggi quanti file della vostra organizzazione contengono dati che nessuno ha mai controllato davvero? Mezz’ora con un nostro esperto basta per la prima mappa.