La convinzione diffusa è che la dimensione esigua di una PMI comporti una qualche sorta di immunità dagli attacchi informatici. Probabilmente perché ci si ritiene essere dei bersagli tanto esigui da sfuggire all’occhio dei cyber criminali in quanto poco appetibili.

L’idea romantica dell’onore dei ladri che non scelgono facili prede si infrange con l’applicazione di un’aritmetica semplice e spietata che considera effort, guadagni e tutte le opportunità derivanti dalla scalabilità.

Il precipitato è dunque che non esiste alcuna immunità dagli attacchi informatici collegabile ai criteri dimensionali dell’impresa o al conto economico.

Né tantomeno, ça va sans dire, l’aver già subito un attacco informatico non rende immuni se non si agisce sulle vulnerabilità, dal momento che non è un’evenienza da affrontare alla pari di un malessere stagionale o un fulmine per probabilità di occorrenza.

Tutto questo comporta l’esigenza di dover ragionare continuamente sulle proprie strategie di cyber sicurezza, organizzando le proprie difese dalla governance al piano operativo tenendo conto dei rischi.

La consapevolezza non è paura

Ragionare significa combinare una capacità di analisi e decisione, consapevoli dei rischi e del contesto.

Dal momento che nostro malgrado siamo destinati a vivere con una concezione lineare del tempo, dovremo fare pace con il fatto di dover adattare le strategie.

Motivo per cui ogni organizzazione dovrà integrare la cyber security nelle proprie strategie come fattore culturale andando oltre il “minimo dovuto”. Altrimenti, il destino è quello di essere continuamente impreparati a gestire i rischi emergenti.

Essere consapevoli non significa essere spaventati, bensì essere attenti. Ad esempio, quando si considerano gli scenari post-mortem, sia per analisi che per ripresa, ci si trova preparati anche ad affrontare il momento in cui apprendiamo la dura lezione per cui ogni nostra difesa è stata inefficace.

Come accade emblematicamente nel caso di attacchi zero-day. Quindi, raccontarsi una delle storie per cui si è immuni dagli attacchi cyber non è una buona strategia di difesa.

Anche perché i cyber criminali non credono a nessuna di queste storie.