Nella gestione della sicurezza cyber, la reportistica riveste un ruolo cruciale sia per la completezza che per la tempestività delle informazioni che sono poste a disposizione dei decision-makers dell’organizzazione.
Questo comporta che è in grado di realizzare un impatto significativo nella definizione delle strategie, motivo per cui non è un passaggio da ridurre a mero momento compilativo o, ancor peggio, da avvelenare con dosi di compiacenza. Altrimenti, l’effetto sarà quello di provocare un forte disallineamento e dei significativi gap di sicurezza.
Nel peggiore dei casi, portando a quell’illusisone di invulnerabilità che fa sottovalutare la probabilità di occorrenza di determinati attacchi.
Ma qual è il peccato originale che conduce ad una reportistica approssimativa? Probabilmente, un approccio difensivo sia dell’organizzazione sia dei ruoli, che porta ad esporre in modo fin troppo prudente – o finanche miope – rischi, pericoli, vulnerabilità e criticità anche in un documento interno. Con l’effetto paradossale di inquinare gradualmente la percezione, fino alla sorte di rendere dei report in cui è ripetuto, alla pari di un mantra, che tutto va bene.
Finché la realtà non sorprende e smentisce, ovviamente.
Oggettività sovrana
La soluzione si potrebbe trovare nel metodo e nelle evidenze oggettive. Peccando forse di approssimazione, ma errando di poco. Essere consapevoli del valore degli asset comporta la conseguenza di dover considerare l’evenienza che questi siano appetibili o esposti, conducendo così all’applicazione di misure di mitigazione. Motivo per cui ad esempio è necessario analizzare il ciclo di vita delle informazioni e avere un metodo per la classificazione delle stesse, in modo tale da poter valutare in modo oggettivo non solo che cosa si sta proteggendo e che cosa si dovrebbe proteggere.
Anche perché il contesto degli attacchi cyber evolve continuamente e rende particolarmente difficile svolgere delle analisi. Compito che diventa pressoché impossibile nel momento in cui la reportistica interna stessa offre una visione deformata o parziale della realtà.
Insomma: il gap fra report e realtà è il terreno di coltura ideale per i pericoli cyber.
