Amazon ha nominato Kevin Mandia nel proprio consiglio di amministrazione, portando nella stanza in cui si discutono strategia, investimenti e rischio uno dei professionisti che più hanno contribuito a costruire la moderna industria della risposta agli incidenti informatici. Mandia ha fondato Mandiant, società diventata sinonimo di threat intelligence e incident response prima dell’acquisizione da parte di Google, ed è oggi fondatore e CEO di Armadin oltre che cofondatore e general partner del fondo Ballistic Ventures.
L’annuncio arriva direttamente da Amazon ed è stato ripreso anche da CNBC. Il significato va oltre una nomina individuale: la cybersecurity sta entrando nel consiglio di amministrazione come competenza primaria, allo stesso livello di finanza, retail, logistica e tecnologia. Per una società che gestisce AWS, marketplace, dispositivi, pubblicità, pagamenti, dati di milioni di clienti e una supply chain fisica globale, il rischio cyber è ormai una variabile che può cambiare ricavi, reputazione e continuità operativa.
Mandia ha costruito la sua carriera dentro le crisi
Mandiant è cresciuta facendo un lavoro che diventa visibile soprattutto quando qualcosa è già andato storto: ricostruire attacchi, individuare gli aggressori, contenere intrusioni e spiegare alle aziende cosa è successo. Questa esperienza è diversa da quella di un dirigente abituato principalmente allo sviluppo di prodotto. Significa osservare l’organizzazione dal punto di vista dell’avversario, cercando il punto più debole tra persone, credenziali, software e fornitori.
È precisamente il tipo di prospettiva che un board moderno può utilizzare. Le decisioni sulla sicurezza non riguardano più soltanto quanti strumenti acquistare, ma quali rischi l’azienda è disposta ad accettare, quali servizi devono essere isolati, come gestire una crisi e quanto investire prima che l’incidente renda l’investimento inevitabile.
AWS trasforma la sicurezza in un problema sistemico
Amazon non protegge soltanto se stessa. AWS ospita infrastrutture di imprese, startup, governi e servizi essenziali. Una vulnerabilità o un’interruzione significativa può propagarsi ben oltre il perimetro societario. Questo non significa che il cloud sia intrinsecamente insicuro; significa che la concentrazione infrastrutturale aumenta l’importanza delle pratiche di resilienza.
Per il consiglio di amministrazione, quindi, il cyber risk non può essere valutato esclusivamente in termini di perdita dati. Conta la disponibilità dei servizi, la dipendenza da componenti esterni, la capacità di ripristino e l’impatto regolatorio in decine di giurisdizioni.
L’AI aumenta sia la superficie di attacco sia gli strumenti di difesa
Amazon sta investendo enormemente nell’intelligenza artificiale attraverso AWS, i propri chip, i servizi Bedrock e le partnership con sviluppatori di modelli. L’AI porta nuove opportunità commerciali, ma aggiunge anche problemi: prompt injection, abuso degli agenti, gestione delle identità macchina, protezione dei modelli e controllo dei dati utilizzati nelle applicazioni aziendali.
Allo stesso tempo, difensori e attaccanti usano sempre più sistemi generativi per accelerare analisi, scrittura di codice e raccolta di informazioni. Un consigliere con esperienza diretta nell’incident response può aiutare a separare la retorica dalla minaccia concreta, evitando sia il panico sia la sottovalutazione.
Il board è il luogo in cui la sicurezza incontra il capitale
Molte vulnerabilità organizzative non esistono perché gli ingegneri ignorano il problema, ma perché risolverlo richiede budget, tempo e cambiamenti che competono con altre priorità. Aggiornare sistemi legacy, segmentare reti, ridurre privilegi e costruire ridondanze può rallentare progetti e aumentare i costi nel breve periodo.
Quando il rischio cyber viene compreso direttamente dal board, la discussione cambia. Non è più “quanto costa la sicurezza?”, ma “quanto costa il rischio che stiamo mantenendo?”. La differenza sembra semantica, ma modifica la qualità delle decisioni.
Le autorità stanno chiedendo più responsabilità ai vertici
Regolatori americani ed europei stanno aumentando gli obblighi di comunicazione degli incidenti e la responsabilità dei dirigenti. Direttive come NIS2 nell’Unione europea e le nuove regole di disclosure negli Stati Uniti hanno reso più difficile confinare il cyber risk nei dipartimenti IT.
Per un gruppo globale, la governance deve quindi coordinare standard diversi e assicurarsi che le informazioni tecniche arrivino ai vertici in una forma comprensibile ma non edulcorata. Un esperto nel board può diventare un traduttore tra ingegneria, diritto e finanza.
La supply chain è il punto in cui un gigante dipende dai piccoli
Un’azienda delle dimensioni di Amazon utilizza migliaia di fornitori e software esterni. Gli attacchi più efficaci non colpiscono necessariamente il bersaglio principale; passano da un partner con controlli più deboli. Gli ultimi anni hanno mostrato quanto una libreria, un sistema di gestione o una piattaforma SaaS possano diventare il vettore per raggiungere organizzazioni molto più grandi.
Mandia ha lavorato a lungo proprio su incidenti di questa natura. La lezione fondamentale è che la sicurezza non coincide con il perimetro societario. Bisogna conoscere dipendenze, software bill of materials, accessi dei fornitori e possibilità di revocare rapidamente credenziali.
La nomina segnala una trasformazione culturale
Dieci anni fa un consigliere specializzato principalmente in cybersecurity sarebbe stato una scelta relativamente rara. Oggi grandi banche, aziende industriali e piattaforme tecnologiche cercano sempre più figure con esperienza di sicurezza. È un segnale della maturazione del rischio: nessun board serio può più considerarlo una questione operativa secondaria.
La presenza di Mandia non garantisce che Amazon eviterà ogni incidente. Nessuna organizzazione può prometterlo. Può però migliorare le domande poste prima dell’incidente: quali asset sono davvero critici, quale scenario stiamo ignorando, quanto tempo impiegheremmo a ripristinare, chi decide durante una crisi?
Per Amazon la sicurezza è ormai parte del prodotto
Nel cloud, i clienti comprano anche fiducia. Una funzionalità più potente perde valore se un’impresa non ritiene sicuro utilizzarla con dati sensibili. Man mano che AWS spinge agenti AI e infrastrutture sempre più automatizzate, sicurezza e prodotto diventano inseparabili.
La nomina di Kevin Mandia al board racconta quindi un cambiamento semplice ma profondo: la cybersecurity non è più soltanto il reparto che deve impedire agli hacker di entrare. È una disciplina che influenza quali prodotti si costruiscono, quali aziende si comprano, quali partner si scelgono e quanto rischio si può assumere. Portarla nel consiglio di amministrazione significa riconoscere che, per un gigante digitale, proteggere l’infrastruttura è ormai una decisione di business.
