Rilevabilità del rischio nell'ambito della protezione dati
In questo articolo si sviluppa il tema della rilevabilità del rischio, una delle componenti da considerare nella valutazione dei rischio. La rilevabilità - detectability - (R) misura la facilità di intercettazione/individuazione dell’evento prima che questo si manifesti. Alcuni esempi:
- sistema di rilevazione dei fumi sala server: permette di rilevare, con un certo anticipo, l’innesco di un incendio nel locale adibito al server;
- sistema di allarme perimetrale: permette di rilevare la presenza di estranei all’interno del perimetro presidiato dove sono contenuti dati;
- sistemi di monitoraggio: attraverso “file civetta” si rileva, con tempestività una compromissione dei dati dovuta alla presenza di un Cryptovirus.
La rilevabilità del rischio è una delle componenti che possono concorrere alla misura dell’indice di priorità del rischio (a cui verrà dedicato un successivo articolo nicola è l’altro che ti ho inviato). La caratteristica della rilevabilità affianca le più note “gravità” e “probabilità”, che sono, a differenza della gravità e della probabilità espressamente citate dal REG. UE 2016/679.
Più è alta la rilevabilità e maggiore è la capacità delle misure poste in atto, di prevenire il verificarsi di un evento. Dato che l’indice di priorità del rischio è calcolato come il prodotto tra la rilevabilità, la gravità e la probabilità, maggiore è il valore associato alla componente della rilevabilità e minore è la possibilità di intercettare l’evento.
La scala di valore, associata al parametro, potrebbe basarsi, ad esempio, sul seguente modello (scala da 1 a 5) calcolato sulla base delle misure poste in atto che:
- quasi certamente individuano l’evento – rilevabilità valore associato 1
- hanno una alta possibilità di individuazione dell’evento - rilevabilità valore associato 2
- hanno una moderata possibilità di individuazione dell’evento - rilevabilità valore associato 3
- hanno una bassa probabilità di individuazione dell’evento - rilevabilità valore associato 4
- hanno una remota probabilità di individuazione dell’evento - rilevabilità valore associato 5
Quindi, sin dalla fase privacy by design, ovvero dalla progettazione di un trattamento, per ridurre i rischi associati al trattamento dovrebbero essere definite anche le misure che permettono di aumentare la rilevabilità degli eventi che possono incidere sui diritti e sulle libertà degli interessati.
La misurazione della rilevabilità è normalmente applicata nella metodologia FMEA (Analisi dei modi e degli effetti dei guasti - Failure Mode and Effect Analysis), volta ad analizzare le cause all’origine dei guasti e valutarne gli effetti su un sistema o su parti di un sistema.
Di norma, le misure poste in essere per aumentare la rilevabilità di un evento non incidono sulla gravità o sulla probabilità che esso si verifichi. Ad esempio, i sistemi di rilevazione fumi aumentano in modo significativo la rilevabilità dell’evento “incendio”, ma non hanno alcun impatto né sulla probabilità che questo si verifichi né sulle conseguenze che esso può comportare qualora non venisse “rilevato”.
In altri casi, alcune misura incidono su più parametri; ad esempio, la presenza di un “file civetta” permette di bloccare tempestivamente un attacco di un criptovirus, limitando le conseguenze (gravità dell’evento stesso); mentre non incide, in alcun modo, sulla probabilità di un attacco.
Peraltro, bisogna considerare che, dato che la caratteristica della rilevabilità si manifesta dopo che l’evento che porta a conseguenze indesiderabili/inaccettabili si è verificato, le misure che permettono di aumentare la rilevabilità sono “di rango inferire” a quelle che permettono di abbassare la gravità e/o la probabilità che l’evento accada.
In conclusione, laddove ci sono delle situazioni complesse è bene adottare anche queste buone prassi:
- la valutazione dei rischi può essere continuamente affinata introducendo anche la variabile della rilevabilità;
- le misure da porre in atto non devono limitarsi ad intervenire per abbassare il livello di gravità e/o probabilità associato alla minaccia, ma anche aumentare la rilevabilità della stessa.
