Nelle ultime settimane sono stati attaccati i sistemi di refrigerazione di supermercati europei, Italia compresa. Il 4 novembre ENISA, Europol e la Commissione europea hanno chiesto alle organizzazioni di mettere in sicurezza i sistemi esposti. Il 6 novembre, al Tg La7, Corrado Giustozzi ha detto una cosa che chi fa il nostro mestiere sa da tempo: «Non è un problema tecnico, ma strategico. Un'azienda può fallire». Sembra uno slogan, ma è una diagnosi. I frigoriferi non sono stati violati con tecniche sofisticate. Secondo le ricostruzioni, le porte erano aperte: accessi di telemanutenzione raggiungibili da Internet, aggiornamenti disponibili e mai installati, nessuna autenticazione a due fattori, nessuno che controllasse le anomalie. Errori di governo, non di tecnologia. I numeri dicono che il fenomeno cresce. Secondo i dati riportati da Repubblica a metà ottobre, nei primi nove mesi del 2026 in Italia gli attacchi sono stati 3.271, contro i 2.729 di tutto il 2025. Gli incidenti con conseguenze accertate sono saliti da 615 a 1.922. Da risk manager, leggo il caso dei supermercati in tre modi. Il rischio cyber va nel registro dei rischi d'impresa, non nel budget dell'IT. Un frigorifero fermo significa merce da buttare, rischi per la sicurezza alimentare, punti vendita chiusi e un danno di reputazione che non si misura in giorni. La domanda da portare al vertice non è «abbiamo un antivirus?», ma «quante ore regge il nostro servizio se quel sistema si ferma, e quanto ci costa?». Quando l'impatto è espresso in euro e in giorni di fermo, le priorità cambiano da sole. La porta d'ingresso è spesso un fornitore. La telemanutenzione esposta è un contratto prima di essere un problema tecnico. Chi accede ai nostri impianti, da dove, con quali credenziali e con quali controlli? Sono domande da qualifica dei fornitori, lo stesso lavoro che il Security Manager fa per la vigilanza o per gli accessi fisici. Gli impianti di refrigerazione, il controllo accessi e la videosorveglianza sono sistemi fisici collegati alla rete: è il terreno dove sicurezza fisica e informatica non possono più stare in uffici separati.

La norma tecnica è un requisito obbligatorio ai fini di esercizio dell'attività di Vigilanza Privata, ed è l'unica norma tecnica obbligatoria, fatta salva la UNI CEI EN 50518:2023 a seconda che le ARC siano pertinenti ad un IVP abbiano un ambito territoriale di almeno 4. Tuttavia, la norma tecnica 10891 prescrive che l'attività di security management venga svolta di concerto con le prescrizioni e le indicazioni in materia di salute e sicurezza sul lavoro. La domanda è: considerando che nessuna altra norma tecnica è requisito obbligatorio ai fini dell'esercizio dell'attività ex 134 TULPS, costituiscono elemento qualificante di affidabilità di un istituto invece che un altro nella valutazione dell'affidamento di un servizio di security il possesso della certificazione UNI EN ISO 45001:2023?

Nella prima lezione Paolo Furlan ha messo al centro un punto che ogni Security Manager conosce: una segnalazione non scritta, nei fatti, non esiste. Qui nella community lo avevamo promesso: ecco una traccia pratica. Sono sei passaggi: il fatto, la valutazione, la segnalazione, la decisione, le deroghe, il seguito. Non è un modulo da compilare, ma l'ordine delle domande a cui il documento deve rispondere quando, mesi dopo, qualcuno chiederà che cosa si sapeva, a chi lo si è detto e perché si è scelto così. Dentro ci sono anche due contributi nati qui: il protocollo con firma digitale per dare data certa alle segnalazioni, e le deroghe alle procedure degli anni del covid, il caso in cui una traccia scritta fa più differenza. La traccia è in PDF qui sotto. E voi come lo fate? Avete un modello, un sistema documentale, oppure decidete caso per caso?

Il 22 ottobre i 26 corsisti della decima edizione del corso Security Manager si sono presentati con 134 messaggi vocali. Francesca Penati e io li abbiamo ascoltati, trascritti e messi in ordine. Ne è nata una pagina che racconta l'aula senza nomi e senza aziende: da dove arrivano (pubblico, vigilanza privata, security aziendale e cyber), cosa cercano dal corso, quali domande portano alla professione. Apri la pagina «I vostri futuri colleghi» La versione PDF è nell'aula aperta, nel corso Security Manager. A chi fa già questo mestiere chiediamo una cosa sola: cosa direste a chi sta entrando oggi nella professione? Ai corsisti: rispondete qui sotto con le due tracce dell'ultima slide della presentazione d'aula, «Metto a disposizione» e «Voglio capire meglio».

Come funziona qui dentro Questa community è uno spazio tra colleghi. Security Manager certificati UNI 10459 che si confrontano, si aggiornano, si aiutano. Non un'aula, non un canale di marketing, non un social generalista. Perché funzioni serve un patto chiaro. Eccolo, in otto punti per chi partecipa e qualche riga su come ci comportiamo noi che la gestiamo. Otto regole per chi partecipa 1. Si discutono idee, non persone. Il confronto duro è il sale di questo mestiere. L'attacco personale no. Se non sei d'accordo con un metodo, un'analisi, una scelta tecnica, dillo. Spiega perché. Porta dati. Ma resta sul merito. 2. Pertinenza prima di tutto. Quello che pubblichi deve servire a un Security Manager. Aggiornamento normativo, casi studio, analisi di scenario, strumenti operativi, domande tecniche: tutto benvenuto. Il fuori tema sta solo nel thread di networking, e con misura. 3. Riservatezza, sempre. Quello che si racconta qui resta qui. Se porti un caso aziendale reale, anonimizzalo: niente nomi di società, persone, fornitori, vulnerabilità identificabili. Vale per te, vale per i tuoi clienti, vale per chi legge. 4. Autopromozione: solo nello spazio dedicato. Eventi tuoi, consulenze, libri, corsi che organizzi: c'è il thread "Networking e opportunità professionali". Lì sei libero. Negli altri spazi, no. Non per snobismo: per non trasformare la community in una bacheca pubblicitaria. 5. Meglio uno buono che dieci scadenti. Non c'è una quota minima di interventi. Un'analisi ragionata una volta al mese vale più di venti commenti generici. Qui premiamo la sostanza, non la frequenza. 6. Cita le fonti. Una norma, un dato, un caso: indica da dove arriva. "Ho sentito dire che" non è un contributo professionale, è un rumore di fondo. Riferimenti precisi servono a te (per credibilità) e a chi legge (per approfondire). 7. Geopolitica sì, polemica partitica no. Analizzare scenari, leggere gli impatti di una crisi internazionale, ragionare su rischio paese: tutto fondamentale per il nostro mestiere. Schierarsi tra partiti italiani o esteri, no. Non è il posto.