La resilienza operativa digitale non nasce dalla tecnologia, ma dal comportamento dell’organizzazione. Rappresenta la capacità di vedere l’impatto prima che arrivi, di reagire senza esitazione e di apprendere da ogni errore più rapidamente di chi attacca.

In questo terzo capitolo della tetralogia dedicata alla lettura militare del DORA, si entra nella parte viva del regolamento: la resilienza come disciplina e addestramento.
La resilienza diventa così un modo di essere che nasce dalla cultura del comando e si alimenta con la capacità di leggere i segnali deboli.

È il passaggio chiave che unisce la visione del Board al comportamento quotidiano dell’intera organizzazione.

Ecco quale ruolo rivestono test, simulazioni, capacità predittiva e gestione dinamica del rischio.

La resilienza va costruita e migliorata continuamente

I manuali militari sono pieni di un concetto semplice: il campo di battaglia premia chi impara più velocemente dell’avversario.

Quindi, in generale, non tanto vince chi è più forte, quanto chi è più capace di adattarsi.

Nel dominio digitale vale la stessa logica perché:

• l’avversario cambia tattica ogni giorno;
• il terreno – o meglio l’ambiente – è fluido e le minacce si evolvono;
• ogni attacco è diverso dal precedente;
• ogni crisi è un test che arriva senza preavviso.

Il DORA riconosce tutto questo e vede la resilienza operativa digitale come un comportamento da tenere e non come uno stato tecnico.

Il regolamento ci dice che la resilienza deve essere costruita, provata, migliorata e deve vivere nelciclo quotidiano dell’organizzazione.

Ora entriamo in questa dinamica.

La resilienza è un comportamento

Nel linguaggio comune, “resilienza” è spesso intesa come capacità di resistere. Nel DORA – e nel mondo militare – invece la resilienza non è resistenza passiva, ma capacità di assorbire l’impatto e continuare ad operare mentre tutto si muove contro.

La resilienza è quindi un comportamento guidato dalla consapevolezza che non esiste sicurezza senza adattamento.

Quindi, un’organizzazione resiliente non è quella che non subisce incidenti, ma piuttosto quella che, quando li subisce, non perde la direzione né il tempo.

Il ciclo vitale del rischio: vedere, reagire, apprendere

In un’operazione militare:

• ogni evento produce apprendimento;
• ciascun imprevisto genera un adattamento;
• ogni errore, se analizzato, diventa opportunità di miglioramento.

Il DORA istituzionalizza questo principio nell’articolo 6(5) che stabilisce che “il quadro per la gestione dei rischi informatici deve essere riesaminato almeno una volta l’anno e costantemente migliorato”.

È un ciclo vitale che prevede di:

• identificare;
• analizzare;
• apprendere;
• testare;
• migliorare.

Il ciclo non si chiude mai perché non si ferma mai il continuo evolvere delle minacce. Quindi, nel mondo digitale, chi non apprende diventa prevedibile e rimane esposto alle minacce.

Per questo motivo, quello resiliente è un comportamento che non si ferma mai e non smette mai di guardare al rischio come a qualcosa di vivo e in continua evoluzione.

L’addestramento genera la reazione: test, simulazioni ed esercitazioni

In ambito militare si sa che nessuno è pronto finché non è stato messo alla prova. In linea con questa riflessione:

• un piano che non è stato testato è inesistente;
• una procedura che non è mai stata provata è inutile;
• una squadra che non ha mai simulato un ingaggio non è pronta.

Il DORA porta questa filosofia nel settore finanziario imponendo l’esecuzione di simulazioni, test di resilienza, penetration test, esercizi di continuità al fine di verificare la tenuta del sistema.

Le organizzazioni più mature eseguono test non per superare un audit, ma per capire dove:

• cede la struttura;
• si inceppa il flusso;
• la comunicazione non arriva.

Peraltro, ogni simulazione è anche un modo per allenare la memoria operativa dell’organizzazione e rendere automatici i comportamenti corretti.

La capacità di leggere i segnali deboli

In combattimento i segnali deboli fanno la differenza tra essere sorpresi e sorprendere.
Faccio riferimento a un rumore anomalo, un silenzio sospetto, un cambiamento nelle comunicazioni nemiche.

Nel dominio digitale, i segnali deboli sono ovunque e si manifestano attraverso:

• un log anomalo;
• aumento minimo di traffico;
• comportamento utente fuori standard;
• un alert interpretato come “falso positivo”.

Il DORA chiede alle organizzazioni di dotarsi di una capacità predittiva che consenta di non aspettare il danno, ma di leggere il precursore.

Questa capacità nasce dall’allenamento perché, evidentemente, occhi allenati vedono ciò che occhi inesperti ignorano e sistemi allenati rilevano ciò che sistemi statici non interpretano.

Reagire con lucidità

Durante una crisi, la pressione cognitiva è altissima e quindi, la mente ha poca capacità di elaborare.

Per questo motivo, in ambito militare tutto viene standardizzato, codificato e semplificato.

Ciò avviene non per limitare la creatività, ma per permettere alla creatività di funzionare quando serve davvero.

Allo stesso modo, nel dominio digitale, le organizzazioni che reagiscono meglio sono quelle che hanno:

• canali di comunicazione chiari;
• ruoli riconosciuti;
• procedure naturali;
• esercitazioni pregresse;
• fiducia interna;
• leadership presente.

La lucidità funzionale alla resilienza è il risultato di un comportamento ripetuto.

DORA, la resilienza è un tratto
comportamentale

La resilienza disegnata nel DORA è un tratto comportamentale, cioè, precisamente, il modo in cui l’organizzazione si allena, osserva, interpreta e apprende.

Questo comportamento si declina attraverso:

• il linguaggio quotidiano del rischio;
• l’insieme di scelte che permettono di rispondere all’impatto senza perdere il proprio equilibrio;
• l’arte di imparare più velocemente dell’avversario.

Nel prossimo capitolo della tetralogia entreremo nell’ultimo livello: quello della resilienza sistemica che riguarda i fornitori, le dipendenze critiche, le concentrazioni di rischio e la costruzione degli ecosistemi digitali.

Infatti, nessuna organizzazione è un’isola: si resiste o si cade insieme.