C'è un paradigma fondamentale che ogni professionista della sicurezza deve accettare per passare da tecnico a manager: il rischio zero non esiste. Possiamo ottimizzare, patchare e mitigare all'infinito, ma prima o poi le difese verranno bucate. Questa è la filosofia dell'Assume Breach (assumere la compromissione). Ed è qui che la nostra serie sul Risk Management si chiude, parlando di resilienza.

1. Dalla Mitigazione alla Sopravvivenza

Quando il rischio si trasforma in un incidente reale (un ransomware, un disastro naturale, un attacco distruttivo), le metriche finanziarie del BIA diventano il nostro manuale di sopravvivenza. Le ore iniziano a scorrere contro il nostro RTO (Recovery Time Objective). Non è più il momento di prevenire, è il momento di reagire eseguendo il piano di Business Continuity (BCP) e di Disaster Recovery Plan(DRP).

2. Il ruolo della DFIR (Digital Forensics and Incident Response)

In caso di incidente, la reazione istintiva dell'IT è spegnere tutto o formattare per ripartire in fretta. Questo è un errore fatale. Così facendo si distruggono le prove (RAM, log volatili, artefatti di sistema).

L'approccio corretto richiede una procedura di Incident Response strutturata (es. framework NIST o SANS). Prima si contiene la minaccia isolando le reti, poi si esegue una rapida analisi di Digital Forensics per capire il "Paziente Zero", l'estensione del danno e, soprattutto, come l'attaccante è entrato. Se ripristiniamo i backup senza aver chiuso la falla originale (Eradication), verremo ri-crittografati il giorno seguente.

3. La chiusura del cerchio

La vera gestione del rischio IT è circolare. L'incidente (anche solo simulato in un Tabletop Exercise) fornisce la "Lessons Learned" per aggiornare le nostre stime di probabilità (ARO) e di impatto (EV), migliorando il Business Impact Assessment del prossimo anno.

Guidare l'IT non significa costruire muri invalicabili, ma costruire navi capaci di galleggiare e proseguire la rotta anche dopo aver imbarcato acqua. Questa è la vera Resilienza.

Nei prossimi post passeremo dall'altra parte dell'IT Risk Management, mettendo le mani in pasta per effettuare una valutazione del rischio IT e la riduzione della superficie d'attacco tramite tecniche di mitigazione. 

Indice della Serie: The Risk Matrix Series

• Ep. 1: The Risk Matrix Series - Dal BIA alla matematica del rischio
• Ep. 2: The Risk Matrix Series - Vulnerability vs. Risk
• Ep. 3: The Risk Matrix Series - Governare il rischio: Tradurre le metriche in conformità ISO 27001 e NIS 2
• Ep. 4: The Risk Matrix Series - Third-Party Risk: Come gestire (e trasferire) il rischio dei fornitori IT
• Ep. 5: The Risk Matrix Series - Oltre la Mitigazione: DFIR, & Business Continuity e l'arte di sopravvivere [Tu sei qui]