Când cineva îți spune „aveți un risc de securitate”, propoziția aia, ca director, nu-ți folosește la nimic.

Când cineva îți spune „aveți un risc de securitate”, propoziția aia, ca director, nu-ți folosește la nimic. Nu poți decide nimic pe baza ei. Și totuși o auzi des de la IT-ul intern, de la consultanți, prin rapoarte. Un risc pe care chiar îl poți cântări sună complet altfel. Are patru părți: ce se poate întâmpla concret, cât de probabil e, cât te-ar costa dacă se întâmplă, și care e cea mai ieftină variantă care acoperă grosul. „Aveți un risc de securitate” nu-ți spune niciuna dintre astea. Compară „Email-ul nu are verificare în doi pași” față de „Dacă o parolă de email ajunge la cineva din afară, ne poate citi corespondența cu clienții și trimite facturi false în numele nostru; s-a mai întâmplat la firme ca a noastră; ne-ar costa zeci de mii dacă nu prindem o plată greșită; iar MFA acoperă vreo 80% din risc, gratis, o zi de lucru.” A doua e o decizie, prima e doar o frază la care îți vine să răspunzi „așa, și?”. Așa că, atunci când auzi „aveți un risc”, nu te opri acolo. Întreabă înapoi: ce se poate întâmpla, cât de des la firme ca a noastră, cât ne costă, ce variantă mică acoperă cât mai mult. Dacă omul din fața ta nu poate răspunde la astea, aia e de fapt prima problemă: încă nu știe destule despre riscul acela cât să ți-l poată explica.