L’episodio che, la scorsa estate, ha coinvolto CrowdStrike causando il blocco operativo di 6.800 voli e la paralisi di oltre 8,5 milioni di dispositivi Windows, è un chiaro esempio di come un aggiornamento software difettoso possa compromettere migliaia di sistemi.
Questo incidente ha sollevato serie domande sulla fragilità strutturale di Microsoft Windows, un sistema operativo che consente a un aggiornamento di alterare funzionalità di base senza richiedere specifiche autorizzazioni.
Questi problemi evidenziano l’importanza di test rigorosi prima del rilascio e una gestione responsabile delle infrastrutture IT, poiché anche errori apparentemente minori possono avere conseguenze globali.
Da una parte CrowdStrike ha rilasciato un aggiornamento che è riuscito a superare o evitare un controllo di qualità che evidentemente non ha funzionato, dall’altra si evidenzia la fragilità del meccanismo di controllo che le aziende hanno prima di mettere in produzione aggiornamenti che a catena hanno messo fuori uso migliaia di computer.
Indice degli argomenti
British Airways e i ricorrenti guasti IT: un trend preoccupante
Gli incidenti informatici non sono limitati a pochi casi isolati. Un esempio emblematico è British Airways, che ha registrato numerosi guasti IT negli ultimi anni.
L’ultimo, il 18 novembre 2024, ha provocato ritardi e cancellazioni di voli, lasciando passeggeri bloccati negli aeroporti e sugli aerei. Il guasto ha messo fuori uso i sistemi di comunicazione della compagnia, paralizzando il sito web, le linee telefoniche interne ed esterne, e rendendo impossibile il normale svolgimento delle operazioni.
Questo non è un evento raro: British Airways subisce interruzioni informatiche simili quasi ogni anno, dimostrando che il rischio di guasti tecnologici ricorrenti è un problema strutturale.
Tali episodi rafforzano la necessità di una gestione più rigorosa della resilienza IT per evitare che disservizi tecnologici compromettano il normale svolgimento delle operazioni aziendali, come nel caso dei sistemi Microsoft utilizzati da varie aziende, tra cui compagnie aeree che adottano le soluzioni di CrowdStrike.
Responsabilità dei provider e ruolo della cyber resilience
La gestione della sicurezza è una responsabilità condivisa che coinvolge fornitori di sistemi operativi, provider di servizi e le aziende che li utilizzano.
Tuttavia, sono spesso i clienti finali a subire le conseguenze di errori tecnici o di una scarsa applicazione di procedure di controllo.
Governance: la colonna portante della cyber resilience
Questi eventi sottolineano l’importanza della governance nella sicurezza informatica. La mancanza di procedure di governance espone le aziende a rischi evitabili, inclusi disservizi e fughe di dati sensibili.
La governance non è solo una questione di conformità normativa, ma una struttura essenziale per garantire la resilienza di tutto il sistema, dalle infrastrutture operative ai sistemi di protezione.
La resilienza informatica non è solo una buona pratica: è un imperativo strategico. Incidenti come quelli di CrowdStrike e British Airways dimostrano che senza test adeguati e piani di continuità ben definiti, i problemi possono propagarsi rapidamente, causando blocchi operativi e perdite economiche.
La governance è un elemento chiave per prevenire questi disastri, garantendo che i sistemi siano sicuri, affidabili e in grado di rispondere efficacemente agli imprevisti.
Responsabilità di un outage IT e danni: chi paga gli errori?
Bisogna considerare, innanzitutto, gli obblighi legali e reputazionali.
Le normative come il GDPR e la Direttiva NIS2 impongono alle aziende di garantire la sicurezza dei dati e la resilienza informatica. Il mancato rispetto di questi standard può comportare sanzioni economiche e danni reputazionali, che possono tradursi in perdite di fatturato stimate fino al 5-10%.
Se prendiamo in considerazione il caso specifico dell’outage generato dall’update di CrowdStrike e dei voli rimasti a terra, vediamo quali sarebbero i diritti dei passeggeri e come le compagnie aeree avrebbero dovuto agire nei confronti di clienti e fornitori.
Ovviamente, qui analizziamo solo una tipologia di servizio che è stato interrotto da un problema informatico. L’argomento non è così limpido ma dobbiamo evitare di dismettere il caso come “non applicabile”: se ci sono delle responsabilità è giusto saperle.
Diritti dei passeggeri e responsabilità delle aziende
- Rimborso ai passeggeri per disservizi. Secondo il Regolamento EU 261/2004, le compagnie aeree devono risarcire i passeggeri per ritardi o cancellazioni, salvo circostanze eccezionali di “forza maggiore”. Sebbene eventi come condizioni meteorologiche siano generalmente considerati forza maggiore, i disservizi informatici non sempre rientrano in questa categoria. Di conseguenza, i passeggeri hanno diritto a risarcimenti in molti casi di guasti IT.
- Rivalersi sui fornitori di servizi. Le compagnie aeree possono cercare risarcimenti dai fornitori di servizi per i danni causati da interruzioni IT, in base agli accordi contrattuali (Service Level Agreements, SLA). Tuttavia, dimostrare negligenza o inadempienza da parte del fornitore può rendere complesso il ricorso legale.
- Tutela del viaggiatore in caso di forza maggiore. La normativa UE prevede che le interruzioni per forza maggiore siano causa legittima per non risarcire i passeggeri. Tuttavia, l’interpretazione della forza maggiore in casi di disservizi IT è ancora oggetto di dibattito. In molti episodi, i viaggiatori hanno comunque ottenuto rimborsi, poiché l’infrastruttura digitale è considerata parte integrante dell’operatività aziendale.
Conclusione
I casi di CrowdStrike e British Airways dimostrano quanto siano cruciali i test di rilascio, la governance e la gestione del rischio per mantenere alta la cyber resilience e proteggere la continuità dei servizi.
Le aziende devono implementare procedure di controllo solide per garantire che i clienti non siano penalizzati da mancanze operative.
Ogni azienda che opera su scala globale deve considerare la cyber resilience una priorità assoluta.
Senza misure adeguate di governance e gestione del rischio, i clienti continueranno a pagare il prezzo delle vulnerabilità aziendali.
