< LE TEMATICHE RIGUARDANTI LA SICUREZZA: PROBLEMATICHE CON ASPETTI SEMPRE PIU’ SPINOSI E PREOCCUPANTI >.

Checchè se ne dica e qualunque cosa si pensi, in uno Stato di dirittto (e soprattutto in Italia), qualunque cosa si pensi, al settore privato, semplice cittadino o persona giuridica che sia, sono delegate solo le cosiddette possibilità di difesa passiva

Parliamo del principio, da non confondere con le definizioni di difese passive e attive delle infrastrutture.

Ciò significa, in poche parole, che appartiene esclusivamente allo Stato il giudizio e la repressione degli atti criminali.

Tradotto a livello pratico: l’azienda può agire prima dell’atto di sabotaggio, mentre lo Stato si muove dopo che ciò è accaduto.

Ovviamente ci sono delle eccezioni: tra queste, ci sono protocolli di gestione per l’azienda di emergenze e crisi dopo l’evento (continuità operativa e gestione delle crisi), mentre per lo Stato ci sono attività di “intelligence” prima che ciò avvenga.

Volendo però restare nel pratico, è utile usare questa distinzione temporale.

Agire prima per l’azienda significa applicare principi come previsione, prevenzione e deterrenza.

Questi principi – è importante ricordare – non si applicano solo alla sicurezza fisica, ma anche alla sicurezza informatica.

Previsione: tutte queste attività specificamente basate seguono questo principio di “intelligence”, capaci di gestire valutazioni precise non solo sulle potenziali minacce alle infrastrutture, ma a tutti gli asset aziendali, comprese le infrastrutture informatiche ed il marchio.

Queste attività dovrebbero avere un aspetto ampio (strategico, diremmo, e nel medio-lungo termine), rivolto sia verso l’esterno che verso l’interno, definendo così anche e soprattutto i punti deboli del perimetro difensivo.

Questo ha conseguenze per l’azienda: da un lato, se due giovani (senza alcuna competenza militare o paramilitare) con un cocktail Molotov riescono a interrompere i servizi di una compagnia, ne consegue che essa è chiaramente mal difesa.

Un tale evento ha conseguenze che vanno ben oltre la perdita economica di materiali e servizi interrotti, per quanto il punto debole dell’azienda, il ventre molle, sia stato ampiamente esposto ed un singolo attacco, soprattutto se banale e semplice, potrebbe definirlo una raffica.

Dall’altro, un’azienda che vuole evitare tali perdite dirette e indirette dovrebbe inevitabilmente investire in difese passivamente efficienti.

Le difese attive (ad esempio sistemi di sorveglianza) svolgono uno scopo lievemente deterrente, diversamente dal quale, in risposta al principio, per quanto efficace possa essere l’evento ostile, la conseguenza inevitabile è l’identificazione degli attori coinvolti.

Questo principio è valido nella fisica della sicurezza, ma ancora di più nella cibernetica, in cui penetrare un sistema informatico è più semplice che farlo senza lasciare tracce.

Queste difese influenzano anche ciò che potremmo definire: il bilancio dell’azione ostile o quel complesso sistema di costi-benefici pianificato dal nemico.

Lo scopo della deterrenza è rendere quel bilancio tutto a favore di chi si difende da chi “assedia”.

Più alti sono i costi (sia in termini di risorse spese nell’attacco, sia in termini di conseguenze per l’elemento ostile anche in caso di attacco riuscito), più è improbabile che l’attacco avvenga.

In conclusione: il problema della doppia asimmetria

Così esposti, i principi su cui dovrebbe basarsi la difesa contro atti di sabotaggio e terrorismo potrebbero sembrare semplici. Non è così.

Le aziende italiane presentano già il problema della mancanza di investimenti nella sicurezza (sia in termini di sicurezza strictu sensu, sia per quanto riguarda la sicurezza), specialmente nel segmento delle piccole e medie imprese.

Su questo difetto che chiameremmo “genetico”, cresce la complessità della doppia asimmetria: da un lato l’asimmetria delle minacce, intesa come uno spettro estremamente vario di eventi ostili che dall’altro può sorgere l’asimmetria degli asset aziendali.

Il terzo millennio vede, infatti, le aziende esposte su più livelli, non ultimo quello cibernetico.

Tuttavia, rimanendo più nell’ambito fisico che difensivo, abbiamo già visto l’esempio degli attacchi alle flotte aziendali, realtà che difficilmente può essere protetta solo con la deterrenza.

Parallelamente, un altro esempio può essere quello delle società multi-utility, la stragrande maggioranza controllate da entità territoriali, che possiedono un numero infinito di microstrutture che dovrebbero essere adeguatamente protette e che, di fatto, presentano una difesa passiva inefficiente (quando non esistono) e difese quantistiche attive meno antiquate (l’autore parla sulla base di valutazioni effettuate sul campo).

La risposta a questi problemi può essere altrettanto complessa, e deve inevitabilmente passare attraverso risorse più abondanti ed un rinnovamento culturale della visione della sicurezza da parte della “governance” aziendale.

Il che significa che queste problematiche non possano più essere considerate un semplice costo sulla base della conformità, ma bensì un vero e proprio investimento in termini di supporto alla reputazione aziendale e del marchio.

Dovendo cos’ integrare comunicazione ed intelligence con strumenti più tradizionali rispetto alle funzioni di sicurezza.