SECURITY RISK MANAGEMENT: GESTIRE IL RISCHIO PRIMA CHE DIVENTI EVENTO (Massimiliano Spataro, Ph.D.)

La sicurezza non comincia quando accade qualcosa. Comincia prima.

Un’organizzazione, una struttura, un’attività o una manifestazione sono sistemi nei quali convivono persone, beni, informazioni, infrastrutture, processi e relazioni. Ciascuno di questi elementi può essere esposto a condizioni capaci di comprometterne la sicurezza, la continuità o il corretto funzionamento.

Il Security Risk Management nasce dalla necessità di comprendere anticipatamente che cosa deve essere protetto, da quali minacce, attraverso quali vulnerabilità e con quali possibili conseguenze.

Gestire il rischio non significa eliminare ogni possibile evento. Significa costruire le condizioni per riconoscerlo, valutarlo, ridurlo e governarne gli effetti.

Una professionalità costruita sulla gestione della security

L’attività del Security Manager non coincide con la sola presenza di sistemi di sorveglianza, personale operativo o dispositivi di protezione. La sua funzione richiede capacità di analisi, organizzazione, valutazione e coordinamento.

Il percorso universitario specialistico “Security Manager: il Professionista della Security Aziendale” comprende ambiti quali organizzazione aziendale, management delle risorse umane, Risk Management, normativa di riferimento, sistemi informativi aziendali, strategie e tecniche di prevenzione, tecnologie per la sicurezza, sicurezza e criminalità urbana.

A questa formazione si è successivamente aggiunto il percorso universitario per Professionisti della Security, indicato dall’Università come valido ai fini integrativi della UNI 10459:2017.

Il punto non è quindi semplicemente “fare sicurezza”. Il punto è comprenderla come processo.

Dal contesto al rischio

Ogni attività di Security Risk Management parte dall’analisi del contesto. Prima di individuare una misura di sicurezza occorre comprendere il sistema nel quale quella misura dovrà operare.

Persone, infrastrutture, accessi, flussi, informazioni, beni materiali, attività produttive o organizzative possono assumere un valore diverso a seconda del contesto. Per questo il rischio non può essere rappresentato soltanto come un pericolo astratto. Deve essere messo in relazione con ciò che realmente può essere compromesso.

• ASSET  Che cosa deve essere protetto? Persone, beni, attività, infrastrutture, informazioni, continuità operativa e altri elementi rilevanti per l’organizzazione.

• MINACCE  Quali condizioni possono compromettere gli asset? Azioni intenzionali, comportamenti, fenomeni naturali, guasti, criticità tecnologiche o organizzative.

• VULNERABILITÀ  Quali debolezze possono consentire alla minaccia di produrre conseguenze? Una vulnerabilità può essere strutturale, organizzativa, procedurale, tecnologica o legata al comportamento umano.

• RISCHIO  Il rischio nasce dalla relazione tra questi elementi. Non è la semplice presenza di una minaccia, ma la valutazione di ciò che quella minaccia può concretamente produrre nel contesto considerato.

Dal rischio alle misure

Una volta identificato e analizzato il rischio, il processo deve tradursi in misure proporzionate. Prevenzione, protezione e mitigazione non sono concetti equivalenti.

Una misura preventiva tenta di ridurre la possibilità che l’evento si verifichi. Una misura di protezione tende a limitarne le conseguenze. Una misura di mitigazione interviene sulla capacità del sistema di assorbire e gestire gli effetti dell’evento.

Il valore di una misura non dipende però soltanto dalla sua esistenza formale. Dipende dalla sua capacità di funzionare nel contesto reale.

Il sopralluogo: verificare ciò che esiste realmente

Un documento può indicare un accesso. Una planimetria può rappresentare una via di fuga. Una procedura può stabilire chi deve intervenire. Ma la realtà operativa può essere differente.

Il sopralluogo consente di confrontare ciò che è previsto con ciò che è realmente presente. Permette di verificare distanze, accessibilità, percorsi, ostacoli, flussi, aree sensibili, punti di raccolta, possibilità di intervento e condizioni ambientali.

La valutazione tecnica non può quindi fermarsi al documento. Deve confrontarsi con il contesto.

Questo principio era già presente nella pianificazione della sicurezza degli eventi, dove il piano di gestione della sicurezza e dell’emergenza viene ricondotto a un’accurata e mirata analisi dei rischi ipotizzabili.

Le persone fanno parte del sistema

Un sistema di sicurezza non è costituito soltanto da infrastrutture, barriere o tecnologie. È costituito anche dalle persone.

Un operatore deve sapere cosa osservare, come comunicare, quale funzione svolgere e quale comportamento adottare quando il contesto cambia. Nella gestione degli eventi, gli operatori appositamente formati possono avere compiti di accoglienza, instradamento, regolazione dei flussi, gestione dell’evacuazione, osservazione e assistenza del pubblico.

La formazione diventa quindi parte integrante della misura di sicurezza. Una procedura che nessuno sa applicare rimane soltanto un documento.

Prima del dato viene il criterio

L’analisi del rischio non consiste nella semplice raccolta di informazioni. Prima ancora di acquisire il dato occorre stabilire quale dato è rilevante, quale è valutabile e quale non può essere utilizzato.

Nel Metodo P.G.E.® il criterio definisce il perimetro logico dell’analisi: stabilisce ciò che può essere considerato e ciò che deve essere escluso o dichiarato come limite. Solo successivamente vengono acquisiti i dati.

Questo passaggio è fondamentale. Un dato, se privo di criterio, può diventare rumore. Un’informazione, se isolata dal contesto, può essere sovrainterpretata. Una relazione tra elementi, se non verificata, può trasformarsi in conclusione prematura.

Il criterio serve quindi a evitare che l’analisi venga costruita intorno a una risposta già formulata.

Dal dato al quadro della situazione

Il Security Risk Management richiede la capacità di trasformare informazioni differenti in un quadro comprensibile.

Il Metodo P.G.E.® distingue chiaramente tra analisi, decisione e responsabilità e considera il quadro della situazione come una configurazione metodologica dello stato del processo in un determinato momento.

Il quadro non è ancora la decisione. Non è una previsione. È la rappresentazione di ciò che, sulla base dei dati e dei criteri disponibili, può essere considerato compatibile, incompatibile, indeterminato o non valutabile.

Questo significa che anche il limite deve poter emergere. Quando un elemento non può essere verificato, il processo non deve forzarlo. Deve dichiararlo.

Struttura di lettura del processo

CONTESTO	ciò che deve essere compreso
CRITERI	ciò che è rilevante e valutabile
DATI	ciò che è disponibile
ANALISI	relazioni tra asset, minacce e vulnerabilità
RISCHIO	scenario e possibili conseguenze
MISURE	prevenzione, protezione, mitigazione
RISPOSTA	procedure, persone, coordinamento
MONITORAGGIO	controllo, verifica, aggiornamento

Prevenire non significa prevedere tutto

Il Security Risk Management non permette di conoscere anticipatamente ogni possibile evento. Nessun sistema può eliminare completamente l’incertezza. Il suo compito è ridurla.

Significa costruire scenari coerenti, individuare vulnerabilità, predisporre misure proporzionate e mantenere il sistema capace di reagire quando le condizioni cambiano.

Per questo un sistema di security non dovrebbe essere valutato soltanto sulla base di ciò che riesce a impedire. Deve essere valutato anche per la sua capacità di rilevare una variazione, riconoscere una criticità, aggiornarsi e adattarsi.

Il rischio cambia

Una valutazione non rimane valida indefinitamente. Cambiano le persone. Cambiano le infrastrutture. Cambiano le tecnologie. Cambiano le minacce. Cambiano le condizioni organizzative.

Per questo il monitoraggio non rappresenta la fase conclusiva del processo. Rappresenta l’inizio di un nuovo ciclo di valutazione.

Anche il Metodo P.G.E.® considera la rivedibilità e la ricalibrazione come elementi strutturali del processo: nuovi dati o nuove condizioni richiedono aggiornamento, senza alterare la struttura logica dell’analisi.

Dall’analisi alla decisione

Il Security Risk Management non produce soltanto classificazioni. Deve fornire elementi utili a decidere.

• Quali rischi richiedono intervento?

• Quali possono essere mitigati?

• Quali misure sono realisticamente applicabili?

• Quali risorse devono essere impiegate?

• Quali responsabilità devono essere attribuite?

• Quali condizioni devono essere monitorate?

La decisione rimane responsabilità di chi la assume. L’analisi deve invece rendere chiaro su quali elementi quella decisione è stata costruita.

Questo principio coincide con uno degli aspetti centrali del Metodo P.G.E.®: il metodo non produce la decisione e non sostituisce la responsabilità decisionale, ma rende tracciabile il percorso metodologico che precede la scelta.

La sicurezza è un processo

Gestire il rischio significa costruire un sistema capace di comprendere il contesto, riconoscere le vulnerabilità, individuare scenari plausibili, predisporre misure, verificare la loro efficacia e aggiornarsi quando le condizioni cambiano.

Nel precedente contributo dedicato alla ricostruzione dell’evento, il dato rappresentava il punto di partenza per comprendere ciò che era accaduto. Nel Security Risk Management il punto di osservazione cambia.

Ricostruire significa comprendere ciò che è accaduto.Gestire il rischio significa prepararsi rispetto a ciò che potrebbe accadere.

In entrambi i casi, però, il principio rimane lo stesso:

prima comprendere.Poi valutare.Infine decidere.

Massimiliano Spataro, Ph.D.

Security Manager – Security Risk Management

Criminologo – Ricercatore

Referente SQUAD Verona

Ideatore del Metodo P.G.E.®