Annosa questione quella del budget stanziato per la cyber security. Il quale vanta tutt’ora dei picchi considerevoli a latere di un attacco informatico particolarmente devastante, a partire dal momento più immediato di gestione della crisi.

Attenzione, però: purtroppo, queste non sono ancora pratiche diffuse dal momento che tutt’ora assistiamo a desolanti comunicazioni di data breach. Ma in generale la leva migliore per aumentare gli investimenti in sicurezza cyber oscilla fra il near miss e l’attacco che ha dispiegato in pieno i propri effetti. Harsh but true, direbbero gli anglofoni.

Ma la confusionaria sarabanda di investimenti cyber post attacco è davvero efficace ed efficiente o piuttosto esprime la solita cerca di miracoli, facili soluzioni una tantum per cui poi non ci si debba più impegnare nella postura di sicurezza? Quel min/maxing che nel gaming funziona bene, andando a rafforzare solo le caratteristiche rilevanti a scapito di quelle irrilevanti, nella gestione di sicurezza significa accettazione dei rischi residui e investimenti secondo priorità.

Insomma: qualche analogia c’è, e forse può essere un buon esempio se c’è consapevolezza tanto dei punti forti che dei punti deboli sia sul piano di governance sia sul piano operativo.

Il budget è condizione necessaria, ma non sufficiente.

Il budget non basta mai, perché da solo non fa miracoli né convince un attaccante a desistere, ma è condizione necessaria per mantenere un livello di sicurezza adeguato alle minacce e agli obblighi cogenti, entrambi criteri da non sottovalutare.

Guardare agli investimenti in sicurezza cyber come leva di competitività è una forma mentis corretta a riguardo, ma non è qualcosa di semplice nel momento della messa a terra delle strategie e dello stanziamento del budget.

Anche perché l’evoluzione degli scenari d’attacco e delle tecniche di difesa impone una governance proattiva.

Basti pensare all’Identity Management e al modello di Identity-First Security, che ridisegna l’architettura ponendo al centro l’identità riducendo frammentazione e complessità (e quindi, i relativi costi).

Vero è, dunque, che il budget nella sicurezza cyber, da solo, non basta. Bisogna saperlo allocare. Magari prima di un incidente e senza quella fretta che sa essere pessima consigliera in ogni ambito.