Il caso Revolut dimostra perché la sicurezza di sistemi finanziari così complessi debba essere progettata dando per scontato che prima o poi qualcuno riuscirà a superare una barriera. La compartimentazione e il principio del minimo privilegio servono proprio a questo: se una procedura, una credenziale o una persona vengono compromesse, l'accesso dovrebbe restare limitato ai dati strettamente necessari. Nel caso di una richiesta da parte di un'autorità, per esempio, non dovrebbe essere possibile arrivare con un'unica autorizzazione a documenti d'identità, selfie, dati bancari, estratti conto e informazioni sulle transazioni. Sono tecnicamente separabili e gli accessi possono essere soggetti a verifiche indipendenti, approvazioni multiple e tracciamento. Non sappiamo se Revolut avesse già sistemi di questo tipo e quanto fossero effettivamente separati, quindi eviterei di affermare che il problema sia stata semplicemente la mancanza di compartimentazione. Però una domanda resta: se una richiesta fraudolenta ha consentito di ottenere una quantità così ampia di informazioni, il modello di autorizzazione meritava qualche barriera in più. #SicurezzaInformatica #Finanza #Privacy