Gli argomenti che riguardano la Sicurezza portano spesso a identificarne l’Informatica come ambito esclusivo di interesse. Al contrario come dimostrato dall’articolo sulle nuove forme di conflitto (https://passounosecurity.ch/la-guerra-al-tempo-dellinformatica/) la sicurezza si occupa di minacce a 360°: incendi, inondazioni, virus informatici, epidemie, guerre, furti, rapimenti, crolli azionarii. Questo non vuol dire che l’esperto di Sicurezza sia contemporaneamente un medico, un economista, uno scienziato, un generale, un investigatore, un poliziotto, vuol dire che la gestione della sicurezza è in primis una questione strategica, di pianificazione alla quale contribuiscono tutte le figure di una organizzazione che devono collaborare con chi poi dovrà approntare i piani operativi per renderci tutti più sicuri.
Photo by Nejc Soklič on Unsplash
Altro preconcetto difficile da estirpare è che raggiunto uno stato definibile come “sicuro” esso sia immutabile, granitico. Questo porta persone, aziende, organizzazioni a rilassarsi dopo il successo conseguito senza tenere conto che la sicurezza può essere paragonata ad un qualsiasi elemento della tavola periodica, a seconda delle condizioni in un dato momento in un preciso posto cambia di stato: ora assumerà una rassicurante forma solida (sicuro), ora una forma liquida(meno sicuro), ora assomiglierà ad un evanescente gas(insicuro).
L’indice per valutare quale forma abbia la nostra sicurezza è il Rischio. Se lo esprimessimo come una formula matematica essa sarebbe:
Rischio = minaccia * vulnerabilità * impatto
In termini discorsivi il rischio è la probabilità che una minaccia sfrutti una vulnerabilità causandoci un danno. Per rendere bene l’idea trasformiamo quella formula in qualcosa di concreto che ci tocca tutti: il rischio di subire un furto in casa!
La minaccia sarà il ladro che vuole derubarci.
La vulnerabilità è la via attraverso la quale il ladro ci insidierà, la identificheremo come l’ingresso di casa nostra.
Il danno o impatto è la perdita che subiamo e per comodità la identificheremo come una somma di denaro.
La nostra formula matematica diventerà:
Rischio = ladro * entrata * 10.000 CHF
La probabilità che un ladro entri in casa rubandoci 10.000 franchi sarà il nostro rischio.
La domanda che ci si potrebbe porre è cosa fare nel momento in cui so che ho il 10% di probabilità di subire un furto in casa.
La risposta è semplice: gestire il rischio (Risk Management) ossia porsi il problema di come ridurre il rischio compiendo di base tre possibili scelte:
- Ridurlo – accade quando decidiamo ad esempio di investire acquistando una porta blindata;
- Eliminarlo – in termini pratici raramente è possibile eliminare il rischio per farlo bisognerebbe rimuovere la vulnerabilità, ma essa è spesso una caratteristica imprescindibile di un sistema, come appunto le porte per una casa. Se non avessi porte un ladro non potrebbe entrare, ma nemmeno noi potremmo entrare in casa e quindi l’opzione “eliminarlo” non sarebbe praticabile;
- Cederlo – La cessione del rischio è ciò che si realizza nel momento in cui noi ci assicuriamo contro i furti, il rischio di subire una perdita economica viene ceduto ad una assicurazione.
Photo by Joshua Sukoff on Unsplash
Il Risk Management è quindi il processo che ci permette di mixare queste tre opzioni per portare il nostro rischio potenziale ad un livello accettabile. Abbiamo messo una porta blindata, abbiamo speso soldi per un sistema d’allarme esagerando abbiamo piazzato anche delle telecamere e questo ha reso il nostro rischio molto basso, per far di meglio non ci rimane che spendere 500.000 franchi per assumere della vigilanza armata, scavare trincee e piazzare mitragliatici sopra il barbecue. Ovviamente questo ci fa capire come ad un certo punto la soglia di rischio diventi cosi bassa che per abbassarla ulteriormente servirebbero più soldi di quanti, se ne perderebbero nel subire un furto, quella è la soglia di rischio accettabile.
In chiusura il compito della Sicurezza è per prima cosa saper calcolare il rischio e quindi non limitarsi a rendere sicuri dei computer.
Header Photo by Lubo Minar on Unsplash
2 commenti su “Il Concetto di Rischio”
I commenti sono chiusi.