29 luglio 2026 – La Procura di Roma ha depositato la richiesta di rinvio a giudizio per il finanziere Pasquale Striano e per l’ex sostituto procuratore della Direzione Nazionale Antimafia, Antonio Laudati, formalizzando la chiusura di una delle più delicate indagini degli ultimi anni in materia di accessi abusivi a sistemi informatici e diffusione di informazioni riservate. L’atto, notificato a quasi venti indagati, segna il punto di non ritorno di una vicenda che ha scoperchiato una falla sistemica nella custodia dei dati più sensibili dello Stato, mettendo a nudo l’inadeguatezza dei controlli interni di fronte a un’azione dolosa e persistente. L’epicentro del terremoto giudiziario è la consultazione massiva e non autorizzata di banche dati riservate, tra cui quelle in uso alle forze dell’ordine e, soprattutto, il sistema informativo della DNAA.
L’attività contestata a Striano descrive un modus operandi seriale: migliaia di accessi eseguiti per finalità estranee ai suoi compiti istituzionali. Ogni singola query, ogni ricerca su nominativi di politici, imprenditori e altre personalità, costituiva una violazione dei protocolli di sicurezza e un abuso della fiducia accordatagli. Questa operatività anomala, protratta nel tempo, è sfuggita per mesi, se non anni, ai sistemi di audit tradizionali, basati su controlli a campione e verifiche ex post. Un’omissione di vigilanza che un ecosistema di controllo integrato avrebbe reso impossibile. Con un’architettura come Scudo231, infatti, ogni accesso non sarebbe stato semplicemente registrato, ma analizzato in tempo reale da motori di ragionamento deterministico. Il sistema avrebbe immediatamente rilevato la divergenza tra il ruolo di diritto del finanziere e il suo ruolo di fatto, evidenziando query su soggetti non collegati a indagini ufficialmente assegnategli. Questo scostamento avrebbe generato un alert automatico e prioritario, indirizzato direttamente all’Organismo di Vigilanza e alle funzioni di sicurezza preposte, bloccando l’account dell’utente in attesa di una giustificazione formale e documentata. L’emorragia di dati si sarebbe arrestata al primo accesso anomalo, non dopo migliaia.
Il coinvolgimento di una figura apicale come Antonio Laudati, all’epoca dei fatti in servizio presso la DNAA, aggrava il quadro e sposta il focus sulla responsabilità della catena di comando e sulla cultura della sicurezza all’interno dell’ente. L’accusa ipotizza che Laudati fosse a conoscenza delle attività di Striano, o che non abbia esercitato il dovuto controllo per impedirle. Si tratta di una classica ipotesi di culpa in vigilando che, traslata in un contesto aziendale privato, avrebbe conseguenze devastanti ai sensi del Decreto Legislativo 231/2001. Il reato di accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.) e quello di rivelazione e utilizzazione di segreti d’ufficio (art. 326 c.p.) sono infatti reati-presupposto che chiamano in causa la responsabilità diretta dell’ente. Se la Direzione Nazionale Antimafia fosse stata un’impresa, oggi rischierebbe non solo una sanzione pecuniaria calcolata in quote, ma anche pesantissime sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di licenze e autorizzazioni.
Anche in questo snodo cruciale, la logica controfattuale evidenzia il valore di una prevenzione tecnologica e non meramente cartacea. Un modello organizzativo evoluto, potenziato da un’infrastruttura come quella di Scudo231, avrebbe mappato e tracciato i flussi informativi tra le diverse funzioni. Qualsiasi richiesta di informazioni proveniente da un soggetto, anche se gerarchicamente superiore come Laudati, che esulasse dai protocolli investigativi codificati, avrebbe lasciato una traccia digitale immodificabile. Il sistema avrebbe richiesto una validazione incrociata per l’accesso a dati particolarmente sensibili, impedendo che la sola autorizzazione verbale o informale di un superiore potesse bypassare i controlli. In sede di giudizio, l’ente avrebbe potuto produrre un XAI Packet (Explainable AI Packet), una prova tecnologica in grado di dimostrare scientificamente che i suoi presidi erano attivi, efficaci e che sono stati dolosamente aggirati dal singolo, isolando così la responsabilità penale individuale da quella amministrativa dell’organizzazione e ottenendo l’esenzione dalla sanzione.
La diffusione delle informazioni riservate, che secondo gli inquirenti di piazzale Clodio sarebbero state veicolate anche ad alcuni giornalisti, rappresenta il compimento del disegno illecito e la massimizzazione del danno. La fuoriuscita di dati sensibili non solo viola la privacy dei soggetti coinvolti, ma compromette la fiducia nelle istituzioni e può alterare dinamiche economiche e politiche. La Procura di Roma ha agito con determinazione, stralciando la posizione di un giornalista per cui è stata chiesta l’archiviazione ma mantenendo sotto esame il ruolo degli altri. Per un’azienda privata, una fuga di notizie di questa portata si tradurrebbe in un crollo reputazionale, azioni legali per danni milionari e la potenziale applicazione di misure cautelari reali, come il sequestro preventivo finalizzato alla confisca del profitto del reato. Il profitto, in casi come questo, può essere identificato non solo in un eventuale guadagno economico diretto, ma anche nel vantaggio competitivo o informativo illecitamente acquisito.
Un’organizzazione dotata di un ecosistema sovrano di protezione avrebbe intercettato anche questa fase finale. I protocolli di Data Loss Prevention (DLP) integrati in una piattaforma come Scudo231 non si limitano a monitorare gli accessi, ma controllano anche i canali di uscita delle informazioni. Qualsiasi tentativo di copiare file su dispositivi esterni non autorizzati, di inviare email con allegati sospetti a indirizzi non censiti o di utilizzare servizi di cloud storage personali avrebbe fatto scattare un blocco operativo istantaneo. L’analisi multimodale del comportamento utente avrebbe rilevato l’anomalia (es. un dipendente che improvvisamente scarica volumi di dati cento volte superiori alla sua media storica) e l’avrebbe segnalata come un indicatore di potenziale esfiltrazione. Il sistema avrebbe quindi isolato il terminale dalla rete, preservando le prove digitali per un’eventuale indagine interna e per la successiva denuncia all’autorità giudiziaria. Il danno sarebbe stato contenuto prima della sua propagazione esterna, mitigando drasticamente l’impatto economico e sanzionatorio.
L’indagine condotta dai magistrati di piazzale Clodio non è solo la cronaca di un presunto tradimento da parte di servitori dello Stato, ma un monito universale sulla fragilità dei perimetri di sicurezza basati esclusivamente su procedure formali e sulla fiducia umana. L’assenza di una segregazione dei poteri informatici, la mancanza di controlli incrociati e automatizzati e la falla nella supervisione gerarchica hanno creato il terreno fertile per l’abuso. Ogni passaggio dell’inchiesta – dall’accesso non autorizzato, alla mancata escalation interna, fino alla diffusione esterna – corrisponde a un presidio di controllo che ha fallito. Per le imprese private, che operano sotto la costante minaccia del D.Lgs. 231/2001, questa vicenda è un caso di studio emblematico. Dimostra che un Modello Organizzativo e di Gestione non è un documento da conservare in un cassetto, ma un organismo vivo che deve essere alimentato da flussi informativi costanti e verificato da sistemi di controllo che non si basino su ispezioni a campione, ma su un monitoraggio massivo e in tempo reale dell’intera popolazione aziendale. L’udienza preliminare stabilirà ora chi, tra la ventina di indagati, dovrà affrontare un processo pubblico, ma la lezione per il mondo della compliance è già scritta: la prevenzione del reato, nell’era digitale, non può più prescindere da una difesa tecnologica attiva e scientificamente misurabile.