Numerose organizzazioni hanno elaborato con successo piani solidi come una roccia per mobilitare e far fronte a minacce informatiche comuni quali attacchi ransomware, violazioni dei dati e truffe di phishing.
Ma cosa accade quando un’azienda si trova ad affrontare un evento talmente disastroso da non aver mai nemmeno pensato di prepararsi ad affrontarlo?
Si pensi, ad esempio, a una guerra informatica, a un blocco del sistema bancario mondiale o a un nuovo virus per il quale non esiste una cura. Enterprise concern for such black swan events—aka “unknown unknowns”—grew after former Wall Street options trader Nassim Nicholas Taleb published his 2007 bestseller, The Black Swan. In esso, egli sostiene che gli scenari peggiori sono prevedibilmente imprevedibili e possono comportare una catastrofe aziendale.
Erin Bajema ha potuto constatarlo di persona.
«Si tratta di eventi che hanno un impatto davvero elevato e una probabilità di verificarsi davvero bassa», afferma Bajema, socio amministratore e responsabile del settore informatico presso Hagerty Consulting, una società specializzata nella gestione delle emergenze.
«È quasi impossibile prevederle», afferma, «e assumeranno un significato diverso a seconda dell’organizzazione, della portata dei suoi servizi e delle parti della sua infrastruttura coinvolte».
Sono poche le organizzazioni che cercano di prevedere eventi di questo tipo, e ciò per una serie di ragioni. A volte i dirigenti, con eccessiva sicurezza, danno per scontato che un evento di tale portata non possa mai verificarsi. Altre volte, invece, non dispongono delle risorse necessarie da destinare alla pianificazione degli scenari più sfavorevoli.
Inoltre, immaginare un “ignoto ignoto” è un’impresa opprimente. Pertanto, molte organizzazioni concentrano i propri sforzi sull’identificazione e sulla pianificazione esclusivamente dei rischi più frequenti e più probabili che dovranno affrontare.
«Si tratta di eventi che hanno un impatto davvero elevato e una probabilità di verificarsi davvero bassa.»Erin Bajema, socio responsabile e responsabile del settore informatico presso Hagerty Consulting
«Quando ci si trova ad affrontare quotidianamente gli stessi rischi di bassa entità, diventa facile incentrare l’intero approccio alla gestione delle crisi proprio su tali aspetti», afferma Bajema. La situazione sta cambiando: «Le organizzazioni si stanno rendendo conto che devono iniziare a prepararsi per eventi davvero catastrofici ». In caso contrario, le conseguenze potrebbero essere disastrose.”
Aiuto! Aiuto!
Immaginare gli “ignoti sconosciuti” — per quanto difficile e scomodo — è un esercizio fondamentale che i consigli di amministrazione e i dirigenti devono svolgere prima che sia troppo tardi. Ecco da dove iniziare.
1. Formi la sua squadra
Pianificare il coinvolgimento delle parti interessate rappresenta un primo passo fondamentale per individuare gli “ignoti sconosciuti”, afferma Bajema. «È necessario riunire un gruppo di persone dotate del giusto livello di competenza, conoscenza e abilità affinché il piano possa essere effettivamente applicato nella pratica», afferma.
Le parti interessate coinvolte dovrebbero essere rappresentative dell’intera organizzazione. " e in materia di diversità contribuisce a garantire una valutazione approfondita di tutte le possibilità e una risposta completa", afferma F. Charlene Watson, consulente senior per la sicurezza informatica presso la multinazionale di ingegneria AECOM. Tra le parti interessate possono figurare i membri dei team addetti alla comunicazione e alle relazioni con i media, delle risorse umane, della gestione delle retribuzioni, della sicurezza informatica e dell’ufficio legale, nonché i membri del consiglio di amministrazione e i dirigenti di alto livello.
2. Iniziate con piccoli passi
Per le organizzazioni di dimensioni più ridotte, o per quelle con risorse limitate, prevedere gli “ignoti sconosciuti” può risultare particolarmente scoraggiante. «Alcuni potrebbero riuscire a malapena a tenere la testa fuori dall’acqua e a gestire i rischi quotidiani», afferma Bajema. «Se si cerca di affrontare direttamente un evento catastrofico senza aver prima messo a punto i concetti fondamentali [di risposta agli incidenti], ci si espone al fallimento.»
«Nessuno vuole ammettere di essere vulnerabile, e parlare di eventi che potrebbero letteralmente distruggere la propria azienda mette a disagio.»F. Charlene Watson, consulente senior in materia di sicurezza informatica, AECOM
A tali organizzazioni, raccomanda di iniziare in modo graduale con una pianificazione di scenario di base o con esercitazioni teoriche (tabletop) basate su scenari . I team possono avvalersi di un evento passato o di un caso di studio per elaborare un modello di risposta, il che contribuisce a verificare alcune ipotesi, ad esempio il funzionamento attuale dei processi aziendali di un’organizzazione, e può mettere in luce i singoli punti di vulnerabilità di ciascuno dei suoi servizi critici.
Peter Schwartz, pioniere della pianificazione degli scenari e attualmente futurista capo di Salesforce, ha concepito gli scenari come narrazioni articolate e basate sui dati sul futuro, in grado di guidare decisioni migliori nel presente. L’obiettivo non è quello di trovare certezze, bensì di creare una «mappa dell’incertezza» (); non si tratta di rafforzare ciò che già si conosce, ma piuttosto di «rendere visibile ciò che non si vede».
[Leggi anche: Che cos’è il threat hunting e perché è importante?
Watson, di AECOM, suggerisce alle aziende di svolgere esercitazioni teoriche ogni sei mesi. «Molte aziende non lo fanno perché non ritengono che ciò contribuisca ad aumentare il loro margine di profitto», afferma. «Non ne comprendono il valore finché non è troppo tardi e si trovano ad affrontare una situazione critica
».
3. Imparate a sentirvi a vostro agio con ciò che vi mette a disagio
Immaginare ciò che non si conosce non è facile per molti membri dei consigli di amministrazione e dirigenti, ammette Watson. «Nessuno vuole ammettere di essere vulnerabile, e parlare di eventi che potrebbero letteralmente distruggere la propria azienda mette a disagio», afferma.
È tuttavia fondamentale superare i sentimenti di disagio. Bajema, che conduce esercitazioni teoriche con i vertici dell’organizzazione, afferma che arriva sempre un momento in cui lo scenario mette a dura prova il sistema — spesso intenzionalmente.
«Quando le parti interessate arrivano a quel punto, dicono: “Beh, ormai non funziona più e basta”». Per incoraggiarli a superare quella fase, diciamo: «Bene, ora che la rete elettrica di è fuori uso, cosa intendete fare?» «I consigli di amministrazione devono essere disposti a immaginarsi in questa situazione di scenario peggiore.»
4. Formalizzare i processi e colmare le lacune
Man mano che le organizzazioni svolgono esercitazioni basate sugli scenari più sfavorevoli, emergerà un quadro più chiaro dell’efficacia della collaborazione tra i team e della definizione dei loro ruoli e delle loro responsabilità. I processi e le procedure dovrebbero essere documentati e occorre colmare eventuali lacune o risolvere eventuali sovrapposizioni di attività, afferma Bajema.
«I consigli di amministrazione devono essere disposti a immaginarsi in questa situazione di scenario peggiore.»F. Charlene Watson
Ad esempio, le organizzazioni potrebbero rendersi conto che sia il reparto Risorse Umane sia il team di comunicazione sono responsabili delle attività di comunicazione all’indomani di un evento di emergenza e devono coordinarsi, oppure che un incarico relativo alla risposta agli incidenti non è stato assegnato a una persona o a un team specifico. La formalizzazione dei processi contribuisce a verificare se i ruoli e le responsabilità siano stati correttamente assegnati.
«Ciò consente di disporre di un piano e di una procedura unificati, in modo che, quando si verifica un evento, non vi siano linee d’azione contrastanti tra i vari reparti», aggiunge Bajema.
5. Si tenga conto della scalabilità e dell'adattabilità
Numerose organizzazioni dispongono di piani di risposta alle emergenze informatiche ( ) per far fronte alle minacce quotidiane alla sicurezza informatica e alle interruzioni dell’attività aziendale. In questi casi, adattare i piani in modo che si applichino agli scenari più sfavorevoli può rappresentare un altro modo per affrontare le “incognite sconosciute”. Bajema definisce questo approccio una “matrice di escalation”, che prende le procedure già in vigore e le estende agli eventi catastrofici.
«Se si è in grado di rivedere uno di questi piani, oppure di aggiornarlo o rafforzarlo per adattarlo a un disastro di maggiore entità, questo rappresenta un modo per sfruttare ciò che si ha già a disposizione e renderlo più funzionale in caso di evento “cigno nero”», afferma.
6. Investire nella formazione
Le organizzazioni dovrebbero prendere in considerazione la possibilità di formare i membri del proprio consiglio di amministrazione, i dirigenti di alto livello e altri gruppi responsabili affinché siano in grado di prevedere l’imprevisto e prepararsi ad affrontarlo, afferma Bajema. Potrebbe trattarsi di qualcosa di semplice come un corso di sensibilizzazione di base, a seconda del livello di preparazione del consiglio di amministrazione in materia di sicurezza informatica, oppure di iniziative più avanzate, quali le comunicazioni di crisi nell’ambito dell’
.
Immaginare gli “ignoti sconosciuti” è un elemento fondamentale del programma di sicurezza informatica di ogni organizzazione, afferma Watson. A suo dire, la procedura è molto simile al pagamento della bolletta dell’elettricità. Pagate la bolletta ogni mese e, immancabilmente, la corrente vi viene fornita quando ne avete bisogno. Ma potrebbe arrivare il giorno in cui, per negligenza, non pagherete una bolletta e vi verrà sospesa la fornitura di energia elettrica.
«In altre parole, state investendo nella vostra organizzazione attraverso misure di sicurezza informatica volte a garantire la sicurezza della vostra azienda», afferma. «Se non date priorità alla pianificazione in vista di un evento “cigno nero” e la vostra organizzazione si trova ad affrontare lo scenario peggiore, vi ritroverete impreparati, poiché non avete fatto ciò che avreste dovuto fare.» “E adesso cosa succede?”
