Chi decide cosa: una RACI per le decisioni di cybersecurity
Dopo un incidente, la domanda più scomoda non è tecnica: è chi doveva decidere, e non l’ha fatto.
Nella maggior parte delle aziende, le decisioni di sicurezza si prendono per consuetudine più che per struttura: chi ha sempre approvato certe eccezioni continua a farlo, chi ha più esperienza tecnica finisce per decidere anche su questioni che meriterebbero un’approvazione di livello superiore. Funziona finché non succede qualcosa — e allora la domanda "chi doveva decidere questo?" non ha una risposta chiara, perché non è mai stata scritta.
Perché una RACI aiuta più di un organigramma
Un organigramma dice chi riporta a chi. Una RACI (Responsabile, Approvatore, Consultato, Informato) dice chi decide cosa, su quali categorie di rischio, e chi deve esserne almeno informato. Applicata alle decisioni di sicurezza più ricorrenti — accettare un rischio residuo, approvare un’eccezione a una policy, autorizzare un fornitore critico, decidere se un incidente è "significativo" ai fini NIS2 — trasforma una zona grigia in una responsabilità nominata.
Il valore non è burocratico. È che, nel momento in cui una decisione va presa velocemente — e nella sicurezza succede spesso — le persone coinvolte sanno già chi ha l’autorità di approvarla, invece di scoprirlo mentre l’orologio corre.
Dove di solito si rompe
Il punto più fragile è quasi sempre l’eccezione: la policy dice una cosa, ma il business ha bisogno di un’altra, e qualcuno deve avere l’autorità esplicita di approvare lo scostamento — con una motivazione registrata, non solo un’email persa in una casella di posta. Senza questo, le eccezioni si accumulano informalmente, e diventano il rischio più grande che nessuno ha mai approvato formalmente.
In sintesi
Una RACI per la cybersecurity non elimina le decisioni difficili. Elimina l’ambiguità su chi deve prenderle — e quando arriva l’incidente, questa è spesso la differenza tra una risposta rapida e ore perse a capire chi deve dire sì.
