Minacce, vulnerabilità e rischio

Tre parole vengono spesso confuse. Se le tieni separate, il resto della sicurezza diventa più facile.

• Una minaccia è qualcosa che potrebbe causare danni: un criminale, un errore commesso per distrazione, una tempesta, un'interruzione di corrente, un'alluvione.
• Una vulnerabilità è una debolezza che una minaccia potrebbe sfruttare: una porta lasciata aperta, un software che non è stato aggiornato, una password scritta su un foglietto.
• Il rischio è la possibilità che una minaccia sfrutti una debolezza, moltiplicata per la gravità del risultato.

Un esempio. Un fiume è una minaccia per una casa (può allagarla). Vivere in fondo alla valle è la vulnerabilità. Il rischio dipende dalla probabilità che si verifichi un'alluvione e dalla quantità di danni che causerebbe. Spostare i mobili al piano di sopra non elimina il fiume. Riduce parte dell'impatto.

Valutare i rischi. Di solito i team assegnano a ogni rischio due punteggi su una scala semplice, ad esempio da 1 (basso) a 5 (alto):

• Probabilità: quanto è probabile che si verifichi nel prossimo anno?
• Impatto: quanto sarebbe grave se accadesse?

Poi rischio = probabilità × impatto. Posiziona ogni rischio su una griglia 5 × 5 (la matrice dei rischi); nell'angolo in alto a destra si trovano i problemi più urgenti. Un esempio inventato:

Questi punteggi sono giudizi su una scala ordinale (ordinata, ma non esatta). Un punteggio di 12 non è "due volte più reale" di un 6. La griglia serve a ordinare e discutere, non a misurare una quantità fisica. Considerala un buon punto di partenza per la discussione e sii onesto riguardo ai suoi limiti.

Cosa puoi fare per gestire un rischio? Ci sono quattro risposte standard:

• Riducilo: aggiungi una protezione che diminuisca la probabilità, l'impatto o entrambi (aggiornamenti, backup, serrature, formazione).
• Accettalo: decidi che è abbastanza piccolo, oppure troppo costoso da risolvere, e convivi consapevolmente con esso.
• Trasferiscilo: fai in modo che qualcun altro sostenga una parte del costo, ad esempio tramite un'assicurazione o un fornitore di servizi affidabile.
• Evitalo: smetti di fare ciò che è rischioso (non raccogliere dati di cui non hai bisogno).

Una protezione che aggiungi si chiama controllo. Ogni controllo ha un costo (denaro, tempo, comodità), quindi il vero compito di chi difende i sistemi è ottenere la maggiore riduzione del rischio possibile con il budget disponibile.

Il rischio zero non esiste. Anche un computer spento in una stanza chiusa a chiave può essere rubato o guastarsi. L'obiettivo è avere un rischio compreso e accettabile, non pari a zero.