Google ha comprato per dieci milioni di dollari le mail interne di una compagnia aerea fallita, e la domanda per una segreteria è che fine farebbe il suo archivio se a chiudere fosse il fornitore del protocollo

Il filo di oggi è la proprietà di quello che resta, cioè di chi è la memoria di un’organizzazione quando qualcosa finisce. Google ha comprato per dieci milioni di dollari le mail interne di una compagnia aerea fallita, e l’articolo che lo racconta è rivolto proprio alla pubblica amministrazione italiana, che produce ogni giorno lo stesso tipo di memoria e la tratta come un costo. Per una segreteria le domande sono due e sono concrete: cosa succederebbe al vostro archivio se a chiudere fosse la società che vi tiene il protocollo o la conservazione, e dove sta oggi la versione buona delle cose che si rifanno ogni anno.

La notizia più vicina a voi è però la seconda. La pubblica amministrazione locale è il settore più colpito del mese, e la campagna più vistosa ha deturpato oltre sessanta siti cercando in tutta Italia chi aveva la stessa versione vecchia dello stesso programma. I siti scolastici sono fatti allo stesso modo, spesso realizzati anni fa con un finanziamento che copriva la realizzazione e non la manutenzione. Chi aggiorna il sito, con quale contratto, e chi ha ancora le credenziali di amministrazione sono tre domande da fare prima di settembre, non dopo.

Le ultime due riguardano i dati degli studenti e i ragazzi. La trattativa fra Europa e Stati Uniti sui dati si è arenata e oggi non cambia niente, ma è il momento buono per verificare in che Paese stanno i dati dei servizi che usate, partendo dal registro dei trattamenti che avete già. E un ex ingegnere di Meta racconta in tribunale che gli strumenti di sicurezza di Instagram erano fatti per fallire, con rimozioni allo 0,02 per cento: è il numero da portare al primo incontro con i genitori, quando qualcuno dirà che ha attivato il controllo del tempo e che quindi la cosa è a posto.

Archivi della segreteria

Le mail interne di un’azienda fallita sono state vendute per dieci milioni di dollari, e la parte che riguarda voi è cosa succede se a chiudere è il vostro fornitore

Agenda Digitale racconta che Google ha acquistato per 10 milioni di dollari le mail e le chat interne della compagnia aerea Spirit Airlines, fallita e messa in liquidazione. L’oggetto della compravendita non sono gli aerei, le rotte o il marchio, cioè i beni che di solito si contano in una procedura, ma il patrimonio informativo costituito dalle comunicazioni dei dipendenti, e la destinazione dichiarata è l’addestramento di modelli linguistici. L’articolo usa il caso per una riflessione rivolta proprio alla pubblica amministrazione italiana, che ogni giorno produce una memoria operativa dello stesso tipo, fatta di scambi interni in cui è depositato il modo in cui i problemi vengono affrontati e risolti, e che la tratta come un costo da archiviare o da scartare invece che come un patrimonio con un valore riconoscibile. Il paradosso indicato è che quel valore lo ha riconosciuto un compratore esterno proprio nel momento in cui l’organizzazione che l’aveva prodotto aveva smesso di esistere.

Il commento. L’articolo parla alla pubblica amministrazione, quindi parla anche a voi, e conviene prenderlo dai due lati. Il primo lato è difensivo e riguarda i contratti in essere. Il protocollo, la conservazione, la posta, il registro elettronico e la piattaforma didattica stanno tutti su servizi di società private, e una società privata può fallire. La domanda da mettere per iscritto al prossimo rinnovo è precisa: in caso di cessazione dell’attività o di risoluzione del contratto, in quanti giorni e in che formato mi viene restituito tutto quello che è mio, e chi certifica che le copie residue vengono cancellate. Per la conservazione dei documenti che devono durare nel tempo la cosa non è formale, perché la responsabilità di quei documenti resta dell’istituzione anche quando il fornitore non c’è più. La controprova pratica vale più della clausola: chiedete adesso, mentre il fornitore lavora e collabora, un export completo, e guardate cosa arriva. Se quello che torna è leggibile solo dal programma di quel fornitore, quello che avete non è un archivio ma una dipendenza, e va saputo prima. Il secondo lato è meno ovvio e riguarda il valore di quello che avete in casa. Se le mail di un’organizzazione morta valgono dieci milioni perché contengono il modo in cui si lavorava, allora le circolari, i verbali, le risposte date alle famiglie e le procedure ricostruite mille volte a voce hanno un valore anche per voi, e in una scuola quel patrimonio se ne va tutto insieme ogni volta che cambia un dirigente o va in pensione un assistente amministrativo. Non serve la tecnologia per rimediare: serve decidere dove sta la versione buona delle cose che si rifanno ogni anno, cioè le istruzioni per le iscrizioni, i modelli di risposta, le scadenze con chi le presidia. Due avvertenze prima di entusiasmarsi all’idea di dare tutto in pasto a un assistente automatico, ed è bene dirle chiare. Dentro quel materiale ci sono dati di minori e di personale, quindi non è materiale che si carica su uno strumento generalista per farsi aiutare: la distinzione fra consultare un archivio interno e addestrarci un sistema esterno è la distinzione che tiene in piedi tutto il resto. E una politica di conservazione va scritta prima, con cosa si tiene, per quanto e cosa si cancella davvero: tenere tutto per sempre non è prudenza amministrativa, è costruire un archivio che un domani nessuno saprà difendere.

D.R.

Fonte: Agenda Digitale

Sito e comunicazione

Più di sessanta siti di enti locali sono stati deturpati perché avevano la stessa versione vecchia dello stesso programma, e i siti scolastici sono fatti allo stesso modo

Cyber Security Italia riporta i numeri del rapporto mensile dell’Agenzia per la cybersicurezza nazionale. A luglio 2026 gli incidenti sono stati 188, il 3 per cento in più dei 182 di giugno, mentre gli eventi complessivi sono scesi del 28 per cento fermandosi a 305. I soggetti nazionali distinti coinvolti sono 256, e 208 appartengono alle constituency considerate critiche. I comparti più colpiti risultano la pubblica amministrazione locale, il manifatturiero, il tecnologico e le telecomunicazioni. Fra le attività rilevate spicca una campagna di defacement, cioè di deturpazione delle pagine pubbliche, che ha riguardato più di sessanta siti basati sul gestore di contenuti Joomla, in larga parte di enti locali. Gli altri modi di entrare più frequenti sono lo sfruttamento di vulnerabilità note, il phishing via posta elettronica, l’uso di credenziali rubate e l’abuso dei servizi di accesso da remoto. Le rivendicazioni di attacchi con richiesta di riscatto sono 19, contro le 20 del mese precedente. Lo CSIRT nazionale ha inviato 8.952 comunicazioni, individuando 147 profili istituzionali compromessi e 3.210 sistemi esposti online a rischio.

Il commento. Questa notizia è la più vicina a voi di tutta l’edizione, e il motivo sta in due parole del rapporto: la pubblica amministrazione locale è il settore più colpito, e i sessanta siti deturpati giravano tutti sullo stesso gestore di contenuti. Non sono stati sessanta attacchi mirati: è una scansione automatica che cerca in tutta Italia chi ha una versione vecchia e la trova. I siti scolastici stanno esattamente in quella categoria, perché quasi sempre sono stati realizzati anni fa, spesso con contributi che finanziavano la realizzazione e non la manutenzione, e poi lasciati fermi perché funzionano. Le domande da fare in questi giorni sono tre e si fanno al telefono, senza bisogno di competenze tecniche. Chi aggiorna il sito dell’istituto, con che frequenza, e in base a quale contratto in corso. Quali estensioni sono installate e quante servono ancora, perché il modulo del vecchio sportello che nessuno apre da tre anni resta codice che risponde a chiunque passi. E l’accesso di amministrazione ha un secondo fattore oppure basta una password, considerando che quelle credenziali spesso le hanno in tre e una di quelle persone si è trasferita. Vale la pena dire perché la cosa conta, visto che la reazione più comune è che tanto il sito è solo una vetrina. Non lo è: sul sito di una scuola stanno l’albo e le comunicazioni che hanno valore legale, e una pagina deturpata resta online finché qualcuno se ne accorge, di solito una famiglia. C’è poi una conseguenza che quasi nessuno mette in conto: quando un dominio finisce nelle liste dei siti pericolosi, non è solo il sito a essere bloccato, sono le mail dell’istituto che smettono di arrivare, e per rientrare servono settimane di richieste, cioè esattamente quello che non ci si può permettere a settembre. Ultima cosa, sui 3.210 sistemi esposti: nella maggior parte dei casi non è un server, è un accesso da remoto aperto in fretta nel periodo della didattica a distanza e mai richiuso, oppure il registratore delle telecamere o un disco di rete collegato per comodità. Chiedete all’animatore digitale o alla ditta che vi segue l’elenco di ciò che risponde da internet, una riga per ciascuno con scritto a cosa serve, e spegnete quello che non ha un motivo.

D.R.

Fonte: Cyber Security Italia

Sicurezza informatica

Un modello non ancora pubblico sa già trovare falle da solo, e la difesa di una scuola resta la più noiosa che c’è

AI4Business spiega che cosa c’è dietro la sospensione annunciata da OpenAI, e il motivo ha un nome: Astra, un modello ancora in sviluppo. Le valutazioni interne hanno rilevato progressi nella scrittura autonoma di codice e nella sicurezza informatica tali da non permettere all’azienda di escludere il livello più alto previsto dal proprio sistema di valutazione dei rischi, cioè la possibilità che il sistema arrivi a costruire da solo attacchi basati su vulnerabilità non ancora conosciute. Le sospensioni sono due e distinte: l’apprendimento per rinforzo è fermo per due settimane sui modelli più recenti destinati alla distribuzione, mentre una quantità significativa di addestramento e valutazione di Astra resta bloccata finché non verrà spostata in ambienti a sicurezza rafforzata. Il cambio di prospettiva è il punto principale: il rischio non viene più considerato soltanto in funzione di quello che un modello potrebbe fare una volta distribuito, ma anche di quello che può accadere mentre viene addestrato e valutato dentro i laboratori. È stato inoltre esteso un controllo dettagliato su tutte le esecuzioni di Astra che usano strumenti esterni, con un costo di calcolo aggiuntivo stimato intorno al 20 per cento.

Il commento. La conclusione pratica è meno drammatica di quanto il titolo lasci pensare, ma va detta: se un modello non ancora pubblico sa già individuare e sfruttare falle, il costo di attaccare un bersaglio piccolo sta scendendo, e una scuola è un bersaglio piccolo con dentro dati di minori. Non conviene aspettare di vedere se quel modello uscirà, perché capacità di questo tipo compaiono nel giro di pochi mesi anche nei modelli scaricabili da chiunque. La difesa però non cambia e non richiede niente di esotico, perché la stragrande maggioranza degli attacchi entra da un programma non aggiornato o da una password riusata, e questo resta vero anche quando dall’altra parte c’è un automatismo. Le quattro cose che valgono per un istituto sono sempre le stesse e si possono verificare in un pomeriggio: gli aggiornamenti applicati entro pochi giorni su tutto ciò che è raggiungibile da internet, il secondo fattore sulla posta e sugli accessi da remoto, un backup che sta staccato dalla rete e non solo una copia sincronizzata che si corromperebbe insieme all’originale, e almeno una prova di ripristino fatta davvero, con l’orologio, per sapere quante ore servono a tornare operativi. Quest’ultima è quella che non fa quasi nessuno ed è l’unica che dice la verità: un backup mai ripristinato è una speranza, non una misura. C’è poi un dettaglio della notizia che vale come criterio d’acquisto, ed è quel 20 per cento in più di calcolo per sorvegliare ogni azione del sistema. Tenetelo a mente quando un fornitore vi propone una piattaforma con funzioni automatiche dicendo che è tutto sotto controllo e che il controllo non costa niente. Il controllo costa sempre, in soldi o in lentezza. La versione praticabile per una scuola è modesta e si può pretendere: che ogni azione fatta da un automatismo sui dati degli alunni finisca in un registro leggibile da una persona, con data, operazione e responsabile, e che qualcuno lo guardi ogni tanto. Un registro che nessuno apre non è una misura di sicurezza, è un archivio di giustificazioni.

D.R.

Fonte: AI4Business

Dati degli alunni

La trattativa fra Europa e Stati Uniti sui dati si è arenata, e una scuola dovrebbe sapere in che Paese stanno i dati dei suoi studenti

CorCom, a firma di Federica Meta, descrive una fase di tensione crescente nella relazione digitale fra Europa e Stati Uniti, con l’intesa sui dati che si è arenata. Secondo l’analisi, richiamata anche da uno studio dell’Atlantic Council, il disaccordo non riguarda soltanto le differenze fra i due impianti di regole, ma tocca il controllo delle infrastrutture: chi governa l’accesso ai flussi di informazioni, come vengono amministrati i servizi cloud e con quali approcci opposti i due blocchi stanno costruendo le proprie strategie sull’intelligenza artificiale. Sullo sfondo c’è lo sforzo europeo di ridurre la dipendenza dai fornitori tecnologici americani, che sposta l’obiettivo dalla manutenzione di un sistema transatlantico integrato alla costruzione di un’autonomia tecnologica europea. Il rischio segnalato è che da questa direzione derivi una frammentazione digitale non pianificata, con mercati che si dividono senza che nessuno l’abbia deciso e investimenti duplicati sulle due sponde.

Il commento. Attenzione a non prendersi l’ansia sbagliata: oggi non è cambiato nulla di operativo, i contratti in essere valgono e nessuno deve spostare niente. Proprio per questo è il momento buono per fare l’unica cosa che serve e che in molte scuole non è mai stata fatta per intero, cioè sapere dove stanno i dati degli studenti. Si fa con un foglio e due colonne, e la parte utile è che il registro dei trattamenti che avete già dovrebbe contenere la risposta: se non la contiene, o se contiene una risposta di tre anni fa che nessuno ha più verificato, questo esercizio serve anche a rimettere in ordine un adempimento che è comunque vostro. Nella prima colonna l’elenco completo dei servizi usati tutti i giorni, e va fatto per intero perché la sorpresa sta sempre in fondo: il registro elettronico, la posta, la piattaforma delle videolezioni, il protocollo, la conservazione, il programma delle assenze del personale, il sistema delle mensa e dei pagamenti, la videosorveglianza, il servizio che manda le comunicazioni alle famiglie. Nella seconda, per ognuno, con quale società avete firmato e in che Paese vengono conservati i dati. Da quel foglio nasce la domanda che conta davvero, ed è meno drammatica di quanto sembri: se le regole sui trasferimenti dovessero cambiare, chi dovrebbe muoversi per primo, voi o il fornitore. Nella quasi totalità dei casi la risposta corretta è il fornitore, ed è per questo che la cosa concreta da fare non è traslocare niente ma scrivere una riga nel prossimo contratto: il fornitore comunica per iscritto ogni cambiamento nella localizzazione dei dati e nei sottofornitori che utilizza. È l’unico modo per non scoprire da un articolo di giornale che i compiti e le valutazioni dei vostri studenti sono passati da un continente all’altro. Un’ultima nota per il responsabile della protezione dei dati, che in molti istituti è un consulente esterno con poche ore: questo è esattamente il tipo di verifica per cui esiste, e agosto è l’unico mese in cui qualcuno ha il tempo di leggere le risposte.

D.R.

Fonte: CorCom

Minori e piattaforme

Un ex ingegnere dice che gli strumenti di sicurezza di Instagram erano fatti per non funzionare, e il numero che lo dimostra è lo 0,02 per cento

Key4biz riferisce del processo federale in corso davanti al tribunale di Oakland, in California, dove una coalizione di 29 stati americani guidata da California, New Jersey, Colorado e Kentucky ha citato in giudizio Meta. Il testimone chiave è Arturo Bejar, ex ingegnere dell’azienda, secondo cui gli strumenti di sicurezza offerti su Instagram erano progettati per fallire e l’azienda avrebbe anteposto il profitto alla salute mentale degli adolescenti, minimizzando i rischi e sostituendo nella propria comunicazione interna la parola dipendenza con l’espressione uso problematico, così da attenuare le responsabilità. Fra le funzioni contestate ci sono il promemoria che invita a fare una pausa, la modalità silenziosa notturna e i controlli sul tempo trascorso nell’applicazione. Bejar sostiene che le notifiche siano costruite per far tornare le persone e non per la loro sicurezza, e cita un tasso di rimozione dei contenuti dannosi pari allo 0,02 per cento. Il verdetto consultivo della giuria è atteso fra la fine di settembre e l’inizio di ottobre 2026, con la decisione del giudice a seguire, e il risarcimento richiesto si aggira intorno ai 200 miliardi di dollari.

Il commento. Questa è la notizia da tenere per il primo consiglio di classe e per il primo incontro con i genitori, perché mette un numero sotto una cosa che a scuola si dice da anni per esperienza. Le funzioni di benessere digitale delle piattaforme, cioè il promemoria che invita a fare una pausa e il conteggio del tempo passato, sono state costruite da chi guadagna dal tempo che i ragazzi passano lì dentro. Possono aiutare, e non è il caso di demonizzarle, ma trattarle come una protezione è esattamente l’errore che quel processo sta discutendo. Quando in una riunione un genitore dice che ha attivato il controllo del tempo e quindi la cosa è sistemata, questa notizia è la risposta più efficace, e non richiede di fare la predica: basta il numero. Sul piano didattico c’è un lavoro serio da fare in educazione civica, e funziona meglio se non si parla di loro ma del meccanismo. Le notifiche sono progettate per far tornare, dice il testimone, non per proteggere: si può chiedere ai ragazzi di osservare per una settimana quando arrivano le notifiche e che cosa promettono, e di scriverlo. Vedere il progetto dietro una cosa che sembrava naturale è la sola forma di difesa che regge, molto più della quantità di tempo consentita. C’è poi una parte che riguarda l’istituto come organizzazione. Molte scuole hanno costruito la comunicazione con le famiglie dentro le pagine social, e un processo con richieste da 200 miliardi e un verdetto atteso in autunno può portare a cambiamenti nel funzionamento di quelle piattaforme che nessuno sa prevedere. Non è un motivo per chiudere la pagina, che porta lettori veri: è un motivo perché le comunicazioni che contano, cioè le scadenze, le circolari e le convocazioni, restino sul sito e sul registro, che sono i canali di cui rispondete, e la pagina serva a rimandare lì. Infine, una cosa da dire ai colleghi che seguono l’orientamento e la dispersione: il tasso di rimozione dello 0,02 per cento significa che quello che i ragazzi vedono non è filtrato in nessun modo apprezzabile. Segnalare un contenuto dannoso resta utile e va insegnato, ma nessuno può fondare una strategia educativa sull’idea che dall’altra parte qualcuno intervenga.

D.R.

Fonte: Key4biz