Più dubbi sulle basi del risk management

Anche MJR, in questa mail, esprime dubbi sull’utilizzo del concetto di rischio nella sicurezza IT. Il problema di fondo è che il concetto di rischio è legato al concetto di probabilità, e nel campo dell’IT la probabilità, salvo casi banali, non si riesce a calcolare realmente, sia perché mancano i dati storici attendibili su cui basare il calcolo, sia perché il contesto è in evoluzione così veloce che i dati del passato permettono di prevedere poco su quello che succederà nel futuro. Il risultato è che la probabilità è di fatto una rappresentazione più o meno numerica delle “sensazioni”, o nel migliore dei casi dell’esperienza, di chi fa l’analisi. Basare la valutazione sull’esperienza può anche essere una strada accettabile, tuttavia non ha le caratteristiche di oggettività e ripetibilità che si vorrebbero dare all’analisi del rischio.