Le eccezioni di sicurezza esistono in ogni organizzazione. Un aggiornamento non può essere applicato subito perché fermerebbe un sistema produttivo. Un fornitore usa un servizio utile ma non rispetta ancora un requisito interno. Un accesso privilegiato deve restare attivo più a lungo del previsto per chiudere una fase operativa.

In parole semplici, un’eccezione di sicurezza è una decisione temporanea: in una situazione specifica, una regola interna o una misura prevista non può essere applicata completamente o nei tempi ordinari. Non è un permesso per ignorare la sicurezza e non è una deroga permanente. È una scelta che deve dire con chiarezza che cosa non si riesce a fare, perché, quali protezioni alternative si adottano e quando la situazione verrà riesaminata.

Per esempio: un sistema non può essere aggiornato oggi perché fermerebbe la produzione; un fornitore deve accedere a un ambiente prima di aver completato tutti gli adempimenti previsti; un amministratore deve mantenere un accesso privilegiato per terminare una migrazione. In ciascun caso, la domanda non è se “chiudere un occhio”, ma come gestire una condizione temporanea senza lasciarla diventare invisibile.

Il problema non è quindi l’eccezione in sé. Il problema nasce quando viene trattata come una scorciatoia silenziosa: una decisione presa in fretta, senza proprietario, senza data di riesame e senza una misura alternativa. In quel momento non si sta più gestendo un’esigenza temporanea: si sta accumulando un rischio che nessuno vede con chiarezza.

Un approccio di governance efficace non blocca il lavoro con regole astratte. Rende invece l’eccezione visibile, proporzionata e verificabile.

Un’eccezione non è una deroga permanente

Una richiesta di eccezione dovrebbe avere un significato preciso: per un tempo limitato, una regola o una misura non può essere applicata nel modo previsto. Questo non elimina l’obiettivo di sicurezza; richiede una scelta consapevole su come proteggerlo in modo diverso o su quale rischio accettare temporaneamente.

La prima domanda utile non è “possiamo fare un’eccezione?”. È: “quale attività dobbiamo mantenere operativa, quale esposizione stiamo introducendo e fino a quando?”. La risposta evita di trasformare una necessità contingente in un precedente difficile da rimuovere.

Per esempio, rimandare un aggiornamento critico può essere ragionevole se il sistema supporta una lavorazione non interrompibile. Ma la decisione deve distinguere il rinvio motivato dall’assenza di pianificazione: nel primo caso esistono un perimetro, una durata e controlli alternativi; nel secondo resta soltanto un’attività non conclusa.

Separare urgenza, debito tecnico e scelta di business

Non tutte le richieste meritano lo stesso trattamento. Alcune dipendono da un’urgenza reale, altre da limiti tecnici accumulati nel tempo, altre ancora sono conseguenze di una scelta commerciale o organizzativa. Confonderle porta a risposte generiche e poco utili.

Una classificazione semplice aiuta a capire chi coinvolgere e con quale priorità:

• Urgenza operativa: un’attività essenziale non può attendere il ciclo ordinario di modifica.
• Vincolo tecnico: un sistema datato, una compatibilità o una dipendenza rendono temporaneamente impraticabile la misura prevista.
• Scelta di business: tempi, budget, rapporto con un cliente o un fornitore spingono a mantenere una condizione non ideale.
• Eccezione ricorrente: la stessa richiesta torna periodicamente e indica che processo, architettura o responsabilità vanno ripensati.

Questa distinzione non serve a creare burocrazia. Serve a evitare che l’IT gestisca da solo decisioni che, per impatto su continuità, costi o relazioni esterne, appartengono anche alla direzione o ai responsabili di processo.

Il registro minimo per decidere bene

Un registro delle eccezioni non deve essere un documento complesso. Deve però rendere leggibili le informazioni necessarie a chi autorizza, esegue e verifica. Una scheda efficace può contenere pochi elementi, sempre gli stessi:

1. la regola o la misura che non viene applicata;
2. il sistema, il processo o l’informazione coinvolta;
3. la motivazione concreta della richiesta;
4. i possibili effetti su riservatezza, integrità, disponibilità o continuità;
5. il proprietario della decisione e chi esegue le azioni;
6. le misure compensative previste;
7. una data di scadenza o di riesame;
8. l’esito finale: chiusura, rinnovo motivato oppure intervento strutturale.

Il valore del registro non sta nel numero di campi. Sta nella capacità di ricostruire una decisione senza dipendere dalla memoria di una singola persona o da una catena di email. Se la richiesta non è spiegabile in modo semplice, difficilmente potrà essere gestita bene nel tempo.

Misure compensative: ridurre l’esposizione mentre si lavora alla soluzione

Accettare temporaneamente un’eccezione non significa restare fermi. Le misure compensative servono proprio a ridurre l’esposizione fino alla soluzione definitiva. Devono essere concrete, assegnate e proporzionate al caso.

Se non è possibile aggiornare subito un componente, possono essere utili una maggiore separazione di rete, una limitazione degli accessi amministrativi, un monitoraggio mirato, backup verificati o una finestra di manutenzione già pianificata. Se un fornitore non soddisfa ancora una condizione richiesta, l’azienda può definire limiti di accesso, verifiche aggiuntive, vincoli contrattuali o una soluzione alternativa con tempi espliciti.

La misura compensativa non deve simulare una garanzia assoluta. Deve spiegare che cosa viene fatto ora, chi lo fa e come si saprà se funziona. Questa chiarezza consente alla direzione di valutare se il rischio residuo è coerente con l’operatività e con gli impegni aziendali.

Riesaminare prima che l’eccezione diventi la normalità

La data di scadenza è il punto che trasforma una deroga temporanea in un processo governabile. Senza un riesame, l’eccezione tende a diventare invisibile: cambia il personale, cresce il numero dei sistemi coinvolti e la motivazione iniziale perde rilevanza.

Il riesame dovrebbe rispondere a tre domande essenziali: la condizione che aveva generato l’eccezione esiste ancora? Le misure compensative sono state applicate davvero? Esiste ora un modo sostenibile per chiudere o ridurre l’eccezione?

Quando la stessa eccezione viene rinnovata più volte, è un segnale utile. Non è necessariamente un errore individuale: può indicare che il piano di aggiornamento non è realistico, che manca un proprietario dell’asset, che il contratto con un fornitore va rivisto o che una decisione di investimento è stata rimandata. Il riesame serve a portare questo segnale nel luogo giusto, prima che emerga soltanto durante un incidente o un audit.

Dalla gestione delle eccezioni a una governance più solida

Un’organizzazione non diventa più sicura perché vieta ogni eccezione. Diventa più affidabile quando sa riconoscere le situazioni in cui la regola ordinaria non basta, decidere con responsabilità e tornare a una condizione sostenibile.

Il percorso è pratico: rendere le richieste visibili, distinguere la causa, assegnare un decisore, definire misure temporanee e riesaminare entro una data condivisa. Così l’eccezione smette di essere un accordo informale e diventa un’informazione utile per migliorare processi, sistemi e priorità.

Per chi lavora su un sistema di gestione della sicurezza delle informazioni, questo metodo aiuta anche a collegare le decisioni quotidiane alla realtà operativa: non per aggiungere documenti, ma per evitare che le deroghe diventino punti ciechi.