Beni, minacce, e scegliere controlli in proporzione

Lo sforzo per la sicurezza è finito: tempo, denaro, e quanto attrito tu e i tuoi colleghi tollererete prima di rinunciare a una salvaguardia. La Special Publication 800-30 del NIST, la guida alla valutazione del rischio del governo statunitense, esiste per far cadere quello sforzo dove conta. Definisce la valutazione del rischio come “il processo di identificare, stimare, e dare priorità ai rischi”, e la sua idea centrale si adatta facilmente su scala ridotta: un’ONG di due persone può percorrere le stesse quattro domande di una grande agenzia, solo più velocemente e con meno burocrazia.

I quattro termini che fanno funzionare la valutazione del rischio

Un esempio pratico: la lista dei donatori

Prendi il foglio di calcolo dei donatori di una piccola ONG, conservato in una cartella cloud condivisa. Il bene sono i nomi, le email e gli importi delle donazioni dei donatori. Una minaccia plausibile è un’email di phishing verso chiunque abbia accesso in modifica, mirata a rubare il suo accesso. La vulnerabilità è che il link della cartella richiede solo una password, non un secondo fattore, e quella password è riutilizzata altrove. La probabilità è significativa (il phishing è comune, secondo la lezione precedente), e l’impatto è reale ma non catastrofico: imbarazzo, forse qualche preoccupazione dei donatori, non pericolo fisico. Quella combinazione indica controlli proporzionati: autenticazione a più fattori sull’account, una password unica, e limitare l’accesso in modifica a chi ne ha davvero bisogno — non, per esempio, portare del tutto offline la lista o comprare software di sicurezza aziendale che l’organizzazione non può mantenere.

Un esempio pratico: l’identità della fonte

Ora prendi la conoscenza da parte di un giornalista di una fonte confidenziale dentro un’agenzia governativa. Il bene è l’identità della fonte. La minaccia è un attore statale con potere legale di richiedere registri, e abbastanza motivazione da usarlo davvero (ricorda il modello dell’avversario dalla prima lezione: questo attore ha risorse reali e bassa avversione al rischio). La vulnerabilità potrebbe essere che l’operatore telefonico del giornalista registra chi ha chiamato chi, o che esistano note in un’app di note ordinaria e non cifrata. La probabilità potrebbe essere più bassa del caso del phishing, ma l’impatto è grave — la fonte potrebbe perdere il lavoro, la libertà, o la sicurezza. Quella combinazione giustifica controlli sproporzionati rispetto all’esempio della lista dei donatori: dispositivi separati per il giornalismo sensibile, comunicazione su Signal invece che chiamate o SMS semplici, e, secondo la prossima lezione, trattare questo come un caso per aiuto esperto invece che difese autodidatte.

Adattare lo sforzo al rischio, non alla paura

NIST 800-30 inquadra questo come valutare il rischio “rispetto alla tecnologia, ai processi, agli individui, [e] all’impresa” e scegliere una risposta: accettare un piccolo rischio, ridurlo con un controllo, o in rari casi trasferirlo o evitarlo del tutto (per esempio, semplicemente non conservando affatto un’informazione). La disciplina consiste nel resistere a due errori opposti: trattare ogni rischio come catastrofico, il che esaurisce persone e budget su controlli che nessuno mantiene, e trattare ogni rischio come accettabile, il che lascia inaffrontata l’unica minaccia reale. Una versione di cinque minuti di questa analisi, scritta e rivista quando le circostanze cambiano, batte una sensazione non scritta che “probabilmente dovremmo essere più prudenti”.

Una breve lista di controllo da riutilizzare

• Elenca le due o tre cose che vorresti meno vedere esposte, perse, o distrutte.
• Per ciascuna, nomina l’avversario realistico dalla prima lezione — non il più spaventoso che riesci a immaginare.
• Nomina una debolezza concreta che quell’avversario potrebbe davvero usare.
• Valuta onestamente probabilità e impatto, poi scegli un controllo dimensionato a quella valutazione.
• Scrivi la decisione; rivedila se il tuo lavoro, i tuoi dati, o l’avversario cambiano.