Punti di forza
- La maggior parte delle esercitazioni teoriche serve a confermare l’efficacia delle prestazioni anziché mettere in luce le reali lacune nella risposta agli incidenti.
- Affinché le esercitazioni siano efficaci, devono prevedere elementi di attrito, ambiguità e pressione, in modo da rispecchiare le situazioni reali.
- Limitare l’ambito dell’esercitazione a pochi scenari critici e definire il successo come l’individuazione dei problemi piuttosto che come il semplice risultato di fare bella figura può portare a intuizioni più significative e concrete.
- La partecipazione trasversale, e non solo quella dei team tecnici, è fondamentale per valutare con precisione la risposta dell’organizzazione.
- La vera resilienza si dimostra attraverso test di ripristino concreti, non solo con scenari teorici.
C’è un momento che la maggior parte dei responsabili della sicurezza riconosce, anche se non lo dice ad alta voce. L’esercitazione teorica è appena terminata. Il team sta uscendo dalla sala. Tutti sembrano ragionevolmente soddisfatti. E da qualche parte, in fondo alla mente, affiora una domanda silenziosa: abbiamo davvero imparato qualcosa?
Se si è onesti, la risposta è spesso no.
Questo non perché le esercitazioni teoriche siano una cattiva idea. Sono uno degli strumenti più preziosi a disposizione di un responsabile della sicurezza. Il problema è il modo in cui la maggior parte delle organizzazioni le conduce – e ciò che effettivamente misurano quando lo fanno.
La trappola delle prestazioni
L’errore più comune nelle esercitazioni teoriche non ha nulla a che vedere con lo scenario. Ha a che fare con l’obiettivo. La maggior parte dei team, consapevolmente o meno, organizza esercitazioni progettate per dimostrare competenza piuttosto che per individuare lacune.
Lo scenario segue generalmente un arco narrativo lineare. Le informazioni arrivano in sequenza logica. Le persone giuste dicono le cose giuste. Tutti si sentono preparati. E quella sensazione – di sicurezza, di aver provato a fondo, quasi di affiatamento – è proprio il problema. Gli incidenti reali non seguono un andamento lineare. Si presentano con informazioni incomplete, segnali contrastanti, persone irreperibili e un’azienda che esige risposte più rapide di quanto i fatti consentano. Se la vostra simulazione non ricrea questo tipo di attrito, non avete testato la risposta agli incidenti. Avete semplicemente provato una conversazione.
Quando l’esercitazione è progettata per convalidare anziché per mettere alla prova sotto stress, ne deriva un secondo problema: le persone smettono di essere oneste. Nessuno dice: «Non so a chi spetti quella decisione» o «non abbiamo mai effettivamente testato quel percorso di Recovery». Dicono ciò che suona giusto. E le lacune che dovrebbero emergere in un ambiente controllato rimangono nascoste finché non vengono alla luce in uno reale.
Cosa verifica effettivamente una buona esercitazione
Prima di elaborare uno scenario, devi rispondere a una domanda più semplice: cosa vuoi davvero imparare? Non venti cose. Tre o quattro.
Il vostro team è in grado di prendere una decisione di spegnimento con sufficiente rapidità e tutti sanno chi ha l’autorità per prenderla? Quando i reparti di sicurezza, IT, legale e comunicazione sono tutti nella stessa stanza con priorità contrastanti, riescono davvero a prendere decisioni insieme? Siete in grado di spiegare l’impatto aziendale di un incidente in modo sufficientemente chiaro da spingere la dirigenza ad agire – e non solo a capire? E se doveste ripristinare un sistema critico nelle prossime quattro ore, sareste davvero in grado di farlo?
Una volta che sapete cosa state testando, costruite uno scenario con attriti reali. Rendete indisponibile una persona chiave a metà dell’esercitazione. Introducete un’escalation da parte di un cliente. Fate in modo che un’autorità di regolamentazione ponga una domanda a cui il team non può rispondere attingendo al runbook.
Fornite alle persone informazioni incomplete e osservate come prendono comunque le decisioni. Il valore non sta nel vedere le persone avere successo sotto pressione. Sta nell’individuare i punti in cui il processo si interrompe mentre la posta in gioco è ancora abbastanza bassa da poterlo correggere.
Dite questo ad alta voce all’inizio: oggi il successo significa individuare i problemi, non fare bella figura. Quella sola frase cambia ciò che le persone sono disposte a dire in quella stanza.
Il problema delle persone
Una simulazione che coinvolga solo i reparti di sicurezza e IT è una discussione tecnica, non un’esercitazione di risposta agli incidenti. Se l’ufficio legale non è presente, se l’ufficio comunicazioni non è presente, se i responsabili di business e la dirigenza sono assenti, non state testando come la vostra organizzazione risponda effettivamente a una crisi. State solo verificando come un gruppo ristretto di persone competenti analizzi un caso ipotetico. Gli incidenti reali vengono gestiti a tutti i livelli dell’azienda. L’esercitazione dovrebbe rispecchiare questa realtà.
Parlarne non basta
È proprio qui che la maggior parte delle organizzazioni si ferma. Un esercizio teorico è importante, ma non basta a infondere fiducia. Discutere uno scenario di Recovery vi fornisce alcune informazioni. Ripristinare effettivamente un sistema vi fornisce informazioni diverse. Siete in grado di riportare le identità a un momento in cui erano integre? Potete verificare che ciò che state ripristinando sia affidabile? Siete in grado di ripristinare un’applicazione di primo livello e confermare che torni a funzionare correttamente, senza che l’infezione si propaghi?
Non sono domande a cui si può rispondere in una sala riunioni. A un certo punto, il piano deve confrontarsi con la realtà sul campo – e bisogna capire se i due aspetti sono compatibili.
Al termine dell’esercitazione
Il debriefing vi dirà se l’esercitazione è stata significativa. Se il debriefing immediato è silenzioso, vago o pieno di “buoni promemoria”, l’esercitazione non è stata abbastanza impegnativa. Un’esercitazione teorica ben condotta dovrebbe lasciarvi con un breve elenco di risultati concreti, responsabili chiari e scadenze precise. Se non siete in grado di rispondere a quali problemi si sono verificati, chi li sta risolvendo e entro quando, avete organizzato un evento, non un’esercitazione.
L’obiettivo non è mai stato quello di superare l’esercitazione. Era quello di imparare qualcosa di importante finché il prezzo da pagare per un errore era solo il tempo. Ascoltate la nostra ultima puntata del podcast STRIVE, in cui mi unisco al mio collega Chris Mierzwa, Senior Director del Portfolio Marketing, per una conversazione approfondita sulle esercitazioni teoriche.
Domande frequenti
D: Perché la maggior parte delle esercitazioni teoriche non riesce a fornire un valore concreto?
R: Molte esercitazioni sono concepite per far apparire i team ben preparati, piuttosto che per mettere in luce i loro punti deboli. Ciò porta a discussioni prestabilite che non rispecchiano l’imprevedibilità e la pressione degli incidenti reali.
D: Quale dovrebbe essere l’obiettivo di un’esercitazione teorica?
R: Dovrebbe concentrarsi sulla risposta a un numero limitato di domande fondamentali, quali la rapidità del processo decisionale, la chiarezza delle responsabilità e la capacità di recupero. Questo approccio aiuta le squadre a individuare lacune significative anziché limitarsi a osservazioni superficiali.
D: In che modo le organizzazioni possono rendere le esercitazioni più realistiche?
R: Introducendo elementi di incertezza, informazioni mancanti e interruzioni impreviste nel corso dello scenario. Questi elementi costringono i team a pensare in modo critico e ad agire sotto pressione, in condizioni più simili a quelle di un incidente reale.
D: Chi dovrebbe partecipare a un’esercitazione teorica?
R: Oltre ai reparti di sicurezza e IT, dovrebbero partecipare anche team come quelli dell’ufficio legale e della comunicazione, i responsabili aziendali e i dirigenti. Ciò consente all’esercitazione di rispecchiare il modo in cui gli incidenti reali vengono gestiti a livello dell’intera organizzazione.
D: Perché non basta parlare del processo di ripristino?
R: La discussione può mettere in luce i piani, ma solo dei test concreti dimostrano se i sistemi possano effettivamente essere ripristinati in modo corretto e rapido. È necessaria una verifica pratica per confermare la prontezza al ripristino.
D: Cosa determina il successo di un’esercitazione teorica?
R: Un’esercitazione efficace porta a risultati chiari, a responsabili ben definiti e a scadenze precise per l’adozione delle misure correttive. Se questi elementi mancano, è probabile che l’esercitazione non abbia messo sufficientemente alla prova il team.
Chris Bevil è responsabile del settore Global Cyber Resilience & AI presso Commvault.
