Alcune volte, la valutazione dei rischi cyber assume i contorni di un esercizio di divertissiment, ma per quanto nelle ambizioni possa forse volersi collocare come opera buffa nella sua realizzazione diventa qualcosa di terribilmente simile all’opera tragica.

Peccato però che non ci sarà alcun effetto catartico, se non quello successivo ad un’analisi post mortem in cui emergono worst practices. Fra queste, la più comune è quella di non voler prendere in considerazione o monitorare alcuni rischi andando così a perdere di vista alcuni elementi fondamentali come il contesto o gli obiettivi della valutazione da svolgere.

Il motivo? Quei malpensanti che si trovano prossimi sia all’inferno sia alla realtà dei fatti potrebbero sostenere che quando l’esito è già predeterminato, la valutazione dei rischi non può essere altro che un esercizio di stile arricchito dai gapdi logica e metodo.

Quello che si realizza è un mosaico imperfetto, opera di un sicofante che vuol compiacere più che analizzare, ma che comporta una serie di punti ciechi da cui fioriranno o vulnerabilità o single point of failure.

Anche perché i rischi hanno la pessima abitudine di esistere e realizzare incertezze a prescindere dal fatto di essere identificati e monitorati. Ma per quanto siano pessimi teatranti che non sanno badare al pubblico che li osserva sono sempre in grado di sorprendere.

Cecità sorprendenti

Quel che sorprende maggiormente è infatti la scelta strategica di accettare l’esistenza di rischi inguardabili. Ad esempio, il contesto internazionale della competizione ibrida non è un elemento di contesto che può essere ignorato anche da soggetti esterni al settore della difesa per analizzare alcuni scenari di rischio.

Si deve dunque parlare di scelta sia nell’ipotesi di non stanziare risorse adeguate alle attività di valutazione sia nel decidere successivamente di ignorare ambiti, esiti o passaggi accettando un grado più o meno ampio e grave di cecità.

Bisogna ricordare inoltre che nel momento in cui una valutazione dei rischi presenta dei punti ciechi, anche la possibilità di assicurare i rischi cyber può essere limitata o compromessa.

Ecco, dunque, che l’epilogo dell’opera tragica dei rischi inguardabili è e non potrà essere altro che quello di aggravare la responsabilità dell’organizzazione.

Insomma: nulla di sorprendente o che possa in alcun modo far sperare in un applauso.