Vulnerabilità organizzative
“[...] A hierarchical management structure can compound collaboration problems further by blocking, filtering, or distorting upward communications and it allows high-level officials to effectively ignore low-level personnel – especially if they don't agree with their views. Combine hierarchical structure, specialization, inter- and intra-organizational rivalry, and bureaucratic politics with inadequate collaboration processes and you have the potential to severely distort the analytic process itself. Kam summarizes all the different things that can go wrong:
[…] The nature of deception itself contributes to inadequate organizational learning. Strategic deception is primarily associated with high stakes situations and such situations are usually produced by complex combinations of factors that tend to occur in non-repetitive contexts. Such situations make learning difficult because of their rarity".
Subordinates, who have to decide what information to pass to their superiors, may withhold a disproportionate amount of discrepant information. Subunits tend to exaggerate the importance of some events and minimize that of others. The content of data may be changed in transmission. Ambiguity about responsibilities and standard operating procedures pertaining to the handling of information may lead to ignorance and neglect of critical evidence. Different units within the organization may hold conflicting assumptions regarding the significance of incoming information and consequent warning. Interpersonal difficulties may result in inadequate or distorted transmission of information. Scarcity of time and resources prevents proper handling of information and may lead to the selective and incomplete dissemination of information to its consumers.
The organization that emphasizes security, particularly with regard to the protection of the sources and methods, over effectiveness must face the fact that such emphasis is also likely to increase its vulnerability to deception. The problems are very similar to those created by inadequate collaboration processes. The unequal distribution of highly classified or compartmented information means that analysts and decision-makers in one organization may not be privy to information held by another. The consequences can include the failure to act in a timely manner, duplication of efforts, the inadvertent interference in the operations of one organization and that of another, a less effective coordination process or perhaps no coordination at all, and the general failure to use valuable information to its fullest possible extent.
[...] The unequal distribution of information creates the situation where no one really knows who has access to what; actors with access may assume that others are equally informed while those without access but are still aware of its existence have mistaken assumptions about its content and accuracy. Kam summarizes the resulting trap: “In general the result of selective distribution of information is the prevalence of a feeling in the intelligence community that somebody else probably knows what is going on and will take care of the situation.” In addition, since lower-level subject matter experts may not have access to the information, decision-makers are put into the position of doing their own analysis even though they lack the very depth and breadth of knowledge possessed by the analysts that are supposed to be supporting them.„
M. Bennett, E. Waltz, Counterdeception Principles and Applications for National Security, Boston, Artech House, 2007, p. 191-192.
Benché lo schema sopra riportato sia concepito per mettere in evidenza le vulnerabilità organizzative di un tipo di “impresa” assai speciale – le agenzie di intelligence – si può tuttavia adattare a molte imprese di medie e grandi dimensioni, e naturalmente alle multinazionali. Una parte del problema che Bennett e Waltz vogliono sottolineare è la difficoltà di fare funzionare in modo efficiente la trasmissione delle informazioni attraverso l'organizzazione, dalla base al vertice decisionale, e di elaborare queste informazioni durante questo percorso, in modo da fornire ai decisori un flusso di informazioni elaborate, analizzate e adeguatamente interpretate. La vischiosità di questa “lavorazione” delle informazioni è spesso tale da indurre i decisori – i manager del vertice di un'azienda – a decidere sulla base di una conoscenza incompleta e talvolta contraddittoria, tanto da indurli a scegliere tra le azioni possibili in modo intuitivo, cioè compiendo pericolosi salti logici nell'esame delle opzioni disponibili. Un altro aspetto che Bennett e Waltz non evidenziano in questo schema, è il percorso inverso, dal vertice alla base, del flusso di informazioni e di direttive. Anche questo processo è molto laborioso e può condurre le strutture intermedie a ignorare, o perlomeno a non applicare pienamente, le direttive del vertice. Poiché questi e molti altri problemi organizzativi che vengono studiati dalle discipline che si occupano di organizzazione aziendale sono comuni a tutte le organizzazioni, sia pure filtrati attraverso la specifica cultura organizzativa di ciascuna di esse, ecco che dall'osservazione di queste vulnerabilità nasce la possibilità di realizzare un piano d'inganno che attacchi le dinamiche di funzionamento dell'organizzazione e le sfrutti a vantaggio dell'attaccante. A questa deception che può aggredire l'organizzazione di un'azienda si contrappone un'attività di counterdeception che cerca di contrastare e ridimensionare proprio a livello organizzativo la vulnerabilità dell'azienda. Entrambe le modalità di utilizzo della deception – in funzione offensiva e in funzione difensiva – richiedono però un'attenta e approfondita formazione del personale. Come sostiene Kevin Mitnik nel primo capitolo del suo L'arte dell'inganno: “Il fattore umano è sul serio l'anello più debole della sicurezza”.
Daniele Zotti
