Atm: dinamiche e peculiarità che incidono sul security management

Intervista a Stefano Modesti - Responsabile Security Atm

Matematico e filosofo, Nicholas Taleb teorizza che la nostra civiltà sia governata da cigni neri, ossia da eventi tanto improbabili quanto devastanti nelle loro conseguenze. Covid, guerre, terrorismo, ma anche Internet e i Social: il cigno nero (scoperto solo nel XIV secolo, dopo un’esistenza ad immaginarlo bianco) dimostra che ogni pensiero basato sull’abitudine è destinato a fallire. Cosa deve fare quindi il security manager, fisiologicamente destinato a ipotizzare scenari catastrofici? Per Stefano Modesti, solo la prevenzione può fare la differenza.

Dalla laurea in ingegneria gestionale ad una carriera in Atm, prima nel ramo Operations e poi nella Direzione Corporate Security. Come si sposano Ingegneria e Security?

La correlazione tra ingegneria, trasporti e security è più profonda di quanto possa apparire. Premetto che la mia specializzazione universitaria era focalizzata su produzione e logistica, dunque il ramo Operations di Atm era tra le destinazioni plausibili. Per dieci anni ho esplorato tutti i processi aziendali tra tram, filo e bus, addentrandomi anche nella Centrale Operativa di superficie con un ruolo di responsabilità. La somma di queste esperienze, cruciali sia sul lato tecnico sia umano, mi ha portato alla Direzione Security – funzione essenzialmente deputata alla definizione ed al rispetto delle procedure. In questo ruolo mi soccorre la forma mentis impressa dagli studi di ingegneria, che nei trasporti regola sicurezza e continuità degli esercizi. La parte gestionale della formazione mi permette poi di analizzare i processi con uno sguardo tecnico e manageriale. Due aspetti allo stesso modo essenziali.

La sua funzione richiede sia di governare gli operatori di sicurezza sussidiaria sulla rete, con prevalente finalità di deterrenza, sia di proteggere gli asset aziendali garantendo la business continuity. Come si conciliano le due attività? 

Ciascuna funzione alimenta e completa l’altra perché la prevenzione dei reati, nel trasporto pubblico locale, si traduce anche in corporate business continuity. Un’attenta formazione e gestione delle guardie giurate con funzioni di deterrenza sulle reti di trasporto previene infatti reati che potrebbero impattare anche sugli asset aziendali, oltre che sul nostro core business: il servizio. La presenza delle GPG deve dunque essere capillare sul territorio ed operativa 24/24. Un plus fondamentale della Security Atm è che i nostri addetti sono parte integrante dell’organico di Atm e sono formati internamente. Il trasporto pubblico locale vanta infatti peculiarità e dinamiche proprie, caratterizzate da ambienti e spazi che necessitano di procedure e regolamenti specifici sia in termini di prevenzione sul territorio, sia per la protezione degli asset corporate. 

Ce le racconta? 

Ciò che si vede in superficie, ma anche sugli stessi binari della metro, nasconde in realtà una fitta rete di tunnel e binari tronchi, che richiedono al personale di sicurezza, oltre alle competenze del DM 154/2009, anche di sapersi muovere in spazi peculiari. Le nostre GPG devono inoltre conoscere la complessa rete di trasporti Atm – diversificata non solo per tipologia di mezzi (metro, tram, filobus, autobus), ma anche per modalità di approccio e contatto con il passeggero. La gestione delle relazioni con la clientela, in particolare con i soggetti critici o in situazioni delicate, è un punto cruciale della formazione delle nostre GPG. Lo stesso vale per gli addetti alla sicurezza che controllano gli accessi. Il personale di security è del resto il primo biglietto da visita dell’azienda e le relazioni con il pubblico devono essere professionali ed efficaci.

Ritiene che sia adeguato l’equipaggiamento ammesso dalla legge per gli addetti ai servizi di sicurezza sussidiaria? Cosa pensa di nuovi strumenti come bodycam o taser? 

Sul taser – tema peraltro divisivo - si è da pochissimo avviata la sperimentazione presso la Polizia Locale meneghina, quindi lato sicurezza privata siamo decisamente lontani. Quanto alle bodycam, le ritengo un ottimo strumento non solo per tutelare la safety del personale (anche a titolo assicurativo e di compliance aziendale), ma anche in funzione di responsabilizzazione delle GPG rispetto al proprio operato. In tal senso, prima delle tecnologie viene però sempre l’individuo: sono dunque essenziali processi di formazione specifici che vertano sulla gestione dello stress, delle criticità e sulla corretta gestione della sicurezza in spazi ristretti ed affollati. Quanto ai benefici in termini di sicurezza del territorio, con le bodycam aggiungeremmo altri 150 occhi elettronici ai noti “1000 occhi sulle città” in funzione sussidiaria alle forze dell’ordine.

Finora abbiamo parlato di Atm quale storica “Azienda Trasporti Milanesi”, ma il Gruppo è oggi tra i protagonisti della mobilità sostenibile in Europa. Cosa comporta questa evoluzione, lato security? 

Benché già da oltre 15 anni gestiamo la metro di Copenaghen, è negli ultimi anni che il Gruppo ha vissuto una spinta sempre più internazionale. Lato security, significa che sempre più tecnici e manager Atm si muovono al di fuori dell’ambito aziendale e necessitano di essere protetti con adeguate analisi di travel risk management e un’efficace definizione di attività cautelative e precauzionali che si allargano, ovviamente anche alla costruzione di una rete di contatti locali. E non pensi solo a viaggi corporate in aree “calde” o di guerra: anche mete come la Francia possono richiedere esfiltrazioni (pensi solo al periodo delle rivolte). 

Chi si occupa di queste tematiche?

Stiamo definendo la costituzione di un team multifunzionale composto da responsabili di area security, assicurazioni, safety ed HR che reperisca, verifichi e gestisca le informazioni sulle trasferte elaborando specifiche schede profilo ed attivando tutti i possibili canali in caso di intervento. Il team sarà allargato in funzione della continua espansione del business sul piano internazionale. Come buona parte delle aziende del settore percepiamo la necessità di evolverci, visto il contesto sociale sempre più complesso, individuando e formando nuove professionalità. Stiamo quindi approcciando con interesse non solo le professionalità legate alla travel security, ma anche all’investigazione digitale, all’analisi dati e a tutto ciò che potrà traghettarci verso la security del futuro.

Carmelo Miano ha violato i PC del dicastero della Giustizia. Escludo che magistrati impegnati nella lotta alla ‘ndrangheta non fossero a conoscenza dell’autenticazione a più fattori. Immagino sia più una questione di sensibilizzazione: come convincere manager e tecnici ad adottare comportamenti più security-proof? 

Temo lei abbia ragione: sensibilità - e relativi costi – riferiti al tema security (fisica e logica) tendono ad essere considerati meno urgenti rispetto ad altri investimenti “core”. Il vero problema della sicurezza è che troppo spesso diventa cruciale solo dopo che si è verificato il cigno nero. Ruolo del security manager è quindi far emergere a livello di top management un approccio security-oriented in ciascun processo aziendale. Occorre, senza inutile allarmismo ma con serietà e trasparenza, mostrare le risultanze dell’analisi del rischio e le ricadute che potrebbero riverberarsi a cascata. Rammento solo gli incendi (attacchi fisici) alla società ferroviaria francese che hanno paralizzato l’alta velocità a poche ore dall’apertura dei Giochi Olimpici. Solo la prevenzione può fare la differenza.

Un attacco fisico eclatante (alla supply chain) sono i cercapersone di Ezbollah. Ma un attacco cyber non sarebbe meno dannoso. Benché la cyber security non sia certo nuova ai soggetti esposti alla NIS1, cosa cambia con la NIS2 lato forniture? 

La NIS2 approfondisce e regolamenta con maggiore dettaglio il monitoraggio e lo scambio continuo di informazione tra aziende. Tutti i processi aziendali – non finirò mai di ripeterlo - sono chiamati in causa, inclusa ovviamente la gestione delle forniture. Riversando sul committente la responsabilità delle scelte di sicurezza per l’intera catena di approvvigionamento, occorre un salto di qualità con un’attività di intelligence preventiva - basata su rete OSINT, ma anche storia ed etica dei fornitori – che porti ad una mappatura coerente di opportunità e rischi.

Ma un simile monitoraggio è fattibile? Non si finirà con il collazionare pile di certificazioni?

Le certificazioni sono solo un punto di partenza: intelligence, ma anche esperienza e conoscenza diretta del partner fanno il resto. Nei capitolati di gara il requisito dev’essere la sicurezza (cyber e non solo) del fornitore: l’obiettivo si può raggiungere solo redigendo capitolati che presentino riferimenti e specifiche chiare e coerenti, senza lasciare spazio ad equivoci o zone d’ombra. Serve dunque un cambio di cultura aziendale complessivo e un grande lavoro dovrà farlo il dipartimento legacy, previa consulenza multidisciplinare di tutte le aree e funzioni coinvolte.

Anche la sostenibilità dovrebbe essere a capitolato: nelle scelte tecnologiche e di governance, che ruolo può svolgere il corporate security manager per privilegiare un approccio sostenibile? 

La sostenibilità è ormai parte del DNA di Atm e lo diventerà per tutto il comparto del trasporto pubblico: di necessità è richiesta nei capitolati di gara. Lato offerta, riscontriamo sempre maggiore attenzione al tema, ma non in tutti i campi. L’industria della security fisica ha fatto grandi passi avanti nei processi produttivi interni, nella scelta dei materiali e degli imballaggi. La vigilanza privata, invece, ha in generale ancora molto da fare. Certo il costo della sostenibilità può essere un elemento ostativo, ma nel nostro caso fa parte della cultura aziendale. 

La sua Direzione deve dialogare con vari team interni (safety, cyber security, legacy e compliance, intelligence, travel), ma anche con FFOO, PA ed Enti Locali. Realtà che perseguono finalità, rispondono a logiche e parlano lingue differenti...

Ciliegina sulla torta: a sua volta il trasporto pubblico vanta un vocabolario ed una grammatica del tutto peculiari. Come uscirne? A mio avviso le procedure sono l’unica strada per parlare la stessa lingua rispettando esigenze, competenze e confini. In tal senso il dialogo interno è lievemente meno complesso (è infatti più agevole scambiare informazioni, confrontarsi e condividere procedure), mentre quello esterno risente di criticità, gerarchie e lentezze tipiche della PA. Con le forze dell’ordine lo scambio di informazioni è però quotidiano e deve permettere di far comprendere le esigenze di security applicate al trasporto pubblico. Regolarità e frequenza dei mezzi sono oggi concetti ben conosciuti dalla sicurezza pubblica.

A proposito di forze dell’ordine: le GPG sono ancora considerate ‘figlie di una divisa minore’ o sta cambiando anche questo approccio?

Può ancora accadere, ma succede anche il contrario. Un esempio di successo nella collaborazione pubblico-privato (e uomo-tecnologia) è il recupero del 16enne di Monticello Brianza scappato di casa il 10/10. Di pomeriggio abbiamo ricevuto le forze dell’ordine che indagavano sul caso; in centrale abbiamo analizzato i video; abbiamo ricevuto l’identikit e in serata gli operatori del SOC hanno riconosciuto il volto. Il ragazzo era sceso sui binari, con possibile impatto sulla circolazione dei treni: abbiamo quindi inviato la pattuglia che l’ha recuperato. Ci hanno fatto i complimenti.