Il caso Mitrokhin occupa un posto peculiare nella storia dell’intelligence del Novecento, non soltanto per la quantità e la qualità delle informazioni successivamente confluite nel cosiddetto “Archivio Mitrokhin”, ma soprattutto perché consente di osservare, con particolare nitidezza, il lento formarsi di una minaccia interna maturata nel cuore stesso dell’organizzazione. La vicenda si sviluppa nella fase terminale della Guerra fredda, quando il sistema sovietico, pur mantenendo intatta la propria architettura coercitiva, mostrava già segni evidenti di logoramento politico, ideologico e funzionale. In questo quadro, l’esperienza di un archivista del Kgb, Vasilij Mitrokhin, che, per anni, trascrive manualmente documenti riservati e conserva tale attività in modo occulto, fino a consegnarne il contenuto all’Occidente soltanto dopo il crollo dell’Unione Sovietica, non può essere ridotta a un episodio di mera defezione individuale. Essa rivela, piuttosto, un processo di trasformazione interna che si compie nel tempo e che, proprio per la sua gradualità, risulta difficilmente intercettabile con gli strumenti ordinari di controllo.
Una lettura semplificata potrebbe interpretare l’azione di Mitrokhin come espressione di risentimento personale o come gesto tardivo di ostilità verso il proprio apparato di appartenenza. Una simile chiave, tuttavia, non coglie il tratto più rilevante della vicenda. La sistematicità del comportamento, la capacità di mantenere per lungo tempo la clandestinità della raccolta informativa, la disciplina necessaria a non trasformare il dissenso in atto impulsivo e, infine, l’attesa della finestra geopolitica favorevole indicano una dinamica assai più complessa. Non emerge il profilo dell’attore mosso da una frattura improvvisa, bensì quello di un soggetto che attraversa una progressiva dissonanza tra il sistema valoriale proclamato dall’organizzazione e la realtà concreta delle sue pratiche. La rottura, in altri termini, non è istantanea ma evolutiva; non è il prodotto di un singolo trauma, bensì l’esito di una lunga sedimentazione interiore.
Proprio questo elemento rende il caso particolarmente fecondo se trasposto nel linguaggio contemporaneo del security management. Mitrokhin può essere letto come un paradigma dell’insider evolutivo, cioè di quella minaccia interna che non nasce necessariamente ostile, ma diventa tale attraverso un processo graduale di ridefinizione cognitiva, morale e identitaria. In questa prospettiva, l’insider non coincide né con il dipendente negligente, che espone l’organizzazione a vulnerabilità per imprudenza o incompetenza, né con l’attore opportunistico che sfrutta immediatamente un accesso disponibile per ottenere un vantaggio. Si tratta, piuttosto, di un soggetto affidabile in apparenza, dotato di accesso legittimo, inserito stabilmente nei processi sensibili e capace di rimodulare nel tempo il proprio rapporto con l’istituzione fino a collocarsi, interiormente, fuori dal suo perimetro di lealtà.
La rilevanza di tale figura è notevole perché mette in crisi una delle assunzioni implicite più diffuse nelle organizzazioni: l’idea che l’affidabilità, una volta accertata all’ingresso, resti sostanzialmente stabile. Molti sistemi di sicurezza continuano infatti a operare secondo una logica binaria, distinguendo tra autorizzati e non autorizzati, interni ed esterni, soggetti fidati e soggetti da sorvegliare. Il caso Mitrokhin dimostra invece che la fiducia non è una condizione permanente, ma una variabile dinamica, esposta a processi di erosione silenziosa. Il rischio più insidioso non è sempre quello che tenta di forzare il perimetro dall’esterno, ma quello che cresce all’interno del sistema, alimentato dalla familiarità con procedure, archivi, abitudini di controllo e punti ciechi dell’organizzazione.
Da qui emerge un primo limite dei modelli tradizionali di risk assessment. Quando il rischio viene rappresentato in modo statico, come semplice combinazione di probabilità e impatto riferita a un determinato momento, la componente evolutiva tende a scomparire. Si censisce l’evento, ma non se ne coglie la maturazione; si valuta la vulnerabilità tecnica, ma non il progressivo mutamento del soggetto che quella vulnerabilità può sfruttare. Nelle minacce insider, invece, il tempo è una variabile decisiva. La minaccia non si manifesta subito nella sua forma finale; attraversa fasi di incubazione, razionalizzazione, accumulo di opportunità e verifica implicita delle capacità di rilevazione dell’organizzazione. Per questa ragione, l’analisi del rischio deve spostarsi da una logica fotografica a una logica processuale.
Un approccio più maturo richiede quindi l’integrazione di almeno quattro dimensioni. La prima è la temporalità del rischio: occorre assumere che alcune minacce non siano puntuali, ma cumulative, e che proprio la loro apparente ordinarietà iniziale ne aumenti la pericolosità. La seconda è la dimensione cognitiva e valoriale: il rapporto tra individuo e organizzazione non è puramente contrattuale, ma anche simbolico, culturale e reputazionale. Quando tale rapporto si deteriora, soprattutto in contesti ad alta sensibilità informativa, la sicurezza si indebolisce anche se i controlli formali restano invariati. La terza è la qualità dell’accesso: non conta soltanto chi entra in possesso di informazioni, ma anche la durata, l’ampiezza e la scarsa contestualizzazione di tale accesso. La quarta è il ruolo dei fattori di attivazione esterni, poiché crisi geopolitiche, cambiamenti organizzativi, conflitti interni, marginalizzazione professionale o delegittimazione percepita possono trasformare una dissociazione latente in condotta ostile.
Tutto ciò conduce a una concezione della sicurezza più ampia rispetto alla sola protezione perimetrale. La security, in una lettura integrata, non coincide con l’insieme delle barriere tecniche o dei controlli di conformità, ma con una funzione manageriale che deve connettere governo degli accessi, cultura organizzativa, responsabilità del management, protezione degli asset informativi e capacità di cogliere i segnali deboli. In tale ottica, la minaccia insider non è un’anomalia residuale, ma una variabile strutturale del rischio organizzativo contemporaneo, particolarmente rilevante in ecosistemi caratterizzati da elevata interconnessione, circolazione digitale delle informazioni, filiere complesse e crescente dipendenza dalla conoscenza.
Le implicazioni operative sono significative. In primo luogo, la governance del rischio deve abbandonare l’idea che il fattore umano sia un elemento accessorio rispetto alle vulnerabilità tecniche. Al contrario, nelle organizzazioni knowledge-intensive, l’umano rappresenta spesso il punto di convergenza tra accesso, intenzione e opportunità. In secondo luogo, occorre rafforzare i principi di proporzionalità nell’accesso informativo, di segregazione delle funzioni, di tracciabilità coerente e di verifica periodica dell’effettiva necessità di mantenere determinati privilegi. Non si tratta di adottare una visione poliziesca dell’organizzazione, né di presumere ostilità nei confronti dei soggetti interni, ma di riconoscere che la fiducia organizzativa, per essere solida, deve essere accompagnata da architetture di controllo intelligenti, non invasive e continue.
In terzo luogo, l’organizzazione deve saper leggere gli indicatori indiretti. Non esiste, nella maggior parte dei casi, un “segno” univoco dell’insider evolutivo; esistono piuttosto combinazioni di elementi che, se osservati isolatamente, possono apparire innocui: accumulo informativo non strettamente giustificato, interesse anomalo per aree non pertinenti, progressivo distacco dall’identità organizzativa, percezione di ingiustizia, rigidità difensiva verso i controlli, mutamenti comportamentali difficili da spiegare solo con fattori contingenti. La sfida consiste nel costruire modelli di osservazione capaci di tenere insieme tali segnali senza scivolare in pratiche arbitrarie o lesive della dignità personale.
Sotto il profilo metodologico, il riferimento a standard generali di risk management, come l’ISO 31000, può offrire un quadro utile, purché non venga utilizzato in modo meramente formale. Il suo contributo più importante sta nell’insistere sulla natura contestuale, dinamica e integrata del rischio, nonché sulla necessità di una sua continua rivalutazione. Tuttavia, proprio il caso Mitrokhin mostra che gli standard, da soli, non bastano se non sono accompagnati da una reale maturità organizzativa. La difficoltà non è soltanto classificare correttamente il rischio insider, ma farlo entrare nelle mappe decisionali del vertice, nei processi di audit, nella progettazione dei flussi autorizzativi, nella formazione dei responsabili e in una più ampia cultura della responsabilità.
Nel contesto aziendale italiano, ciò implica anche una riflessione attenta sugli strumenti documentali di valutazione dei rischi. Non ogni profilo di insider threat è automaticamente riconducibile, in senso stretto, al perimetro tipico del DVR, ma è indubbio che il rischio intenzionale interno debba trovare adeguata collocazione nei sistemi di valutazione e trattamento dei rischi dell’organizzazione, specie quando incide su continuità operativa, integrità informativa, compliance, tutela del patrimonio, responsabilità datoriale e affidabilità complessiva degli assetti di controllo. Il punto decisivo, dunque, non è la collocazione nominale del rischio, ma la sua effettiva presa in carico da parte della governance.
Il valore del caso Mitrokhin, letto oggi, risiede precisamente in questo insegnamento. Esso obbliga a superare una visione ingenua della sicurezza, fondata sulla distinzione netta tra minaccia esterna e interno affidabile, e invita a considerare l’organizzazione come un sistema vivo, nel quale le minacce possono formarsi lentamente, alimentate da fattori umani, culturali, cognitivi e contestuali. In un ambiente segnato da instabilità geopolitica, intensificazione della competizione, crescente centralità dei dati e vulnerabilità reputazionali sempre più acute, la capacità di governare il rischio insider diventa parte essenziale della resilienza organizzativa.
Per questa ragione, la vicenda di Mitrokhin supera il suo interesse storico e assume un rilievo paradigmatico. Essa mostra che la sicurezza integrata non può limitarsi a difendere confini, ma deve comprendere i processi attraverso cui la lealtà si consolida, si incrina e talvolta si rovescia. La vera maturità organizzativa consiste nel saper riconoscere che il rischio non è soltanto ciò che irrompe dall’esterno, ma anche ciò che, silenziosamente, prende forma dentro la struttura. Ed è proprio nella capacità di leggere questa trasformazione, di governarla e di contenerla senza cedere né all’ingenuo affidamento né al controllo indiscriminato, che si misura oggi la qualità della security come funzione di governance, di continuità e di tutela del valore.
Fonte:
www.linkiesta.it
