Responsibility Shifting

Ma cosa sarà mai questo "Responsibility Shifiting"? Ecco un'altra "buzzoword", direte voi....E invece no, nel nostro paese questa tecnica per la gestione del rischio viene molto utilizzata.

Facciamo un'ipotesi: ammettiamo che in una grande società ci sia un problema di sicurezza assai pernicioso e rischioso. Possiamo decidere di risolvere il problema nel migliore dei modi, cercando una società di professionisti del settore che sappiano il fatto loro. A questo punto però dobbiamo giustificare il budget alla dirigenza. E come si fa a giustificare un costo per un qualche cosa di ipotetico che, se tutto va bene, non accadrà mai? E soprattutto, una volta che tutto sarà a posto ci sentiremo dire:

"Tutti questi soldi e non è successo niente; forse non era proprio necessario! Come al solito ci fai spendere un sacco di soldi".

Peccato che nella sicurezza, se non succede nulla, due sono le possibilità:

• siamo in balia di cracker talmente bravi da non accorgerci di nulla;
• siamo talmente protetti che nessuno riesce ad impensierirci;

Ma ritorniamo alla società di professionisti incaricata di gestire il rischio. Magari è un piccola società....e subito il committente comincia a pensare:

"E se non sono abbastanza preparati e fanno qualche casino?"

Ecco quindi che si insinua la voglia di "Responsibility shifting": ovvero gestire il rischio con una parte effettivamente valida, la società di superesperti, ma con la consulenza di una grande  e  ben conosciuta società che avalli l'approccio. In questo modo il committente dormirà sonni tranquilli perché, se qualche cosa andrà male, potrà sempre dire:

"Ma a me l'ha detto (e scritto) la Acme Consulting Inc." 

(provate poi a sostituire ad ACME società di 3 o 2 lettere...).

Peccato che questi soldi spesi in più siano solo per far stare tranquillo il committente di cui sopra!

Ma nell'esempio poc'anzi fatto, siamo ancora nel caso migliore. In altri casi invece si prescinde dallo skill delle società di superesperti e ci si affida invece solo alla grande società di consulenza. Inutile fare i nomi: sono società che iniziano con la I, la H, e anche qualche Carrier telefonico adesso offre servizi di sicurezza. Ho detto "sicurezza" non "spionaggio". Non pensate male come al solito ;-)

In questo caso il costo reale sarà ovviamente moltiplicato per 10, perché la grande società giustificherà il tutto con:

"noi ci mettiamo la faccia"

In conclusione quindi per far dormire sonni tranquilli al committente, gestiamo il rischio in malo modo, non valorizzando piccole e preparate realtà e spendendo anche un sacco di quattrini.

Secondo voi dov'è che viene praticato di più il "Responsibility Shifting"? Nella PA? Non solo. Anche nel privato purtroppo.
Ne sono stato testimone anni fa, quando qualcuno mi fece vedere una bella fattura di qualche migliaio di euro intestata alla società "Acme Consulting", che serviva solo a tranquillizzare il dirigente di turno.

Il risultato della consulenza consisteva in una presentazione PowerPoint realizzata in una settimana da consulenti iper-mega-intelligenti senza però alcuna preparazione specifica nel campo della security. Nelle slide alla fine c'era il karma: un "pallogramma" confidenzialità, integrità e disponibilità! Che geni!

Comunque, per chi non l'avesse ancora capito, il "Responsability Shifting" ha una italica traduzione: "Lo scaricabarile" :-)