Idea principale

Quasi tutte le esigenze che accompagnano uno sviluppo si negoziano in base alla posta in gioco dell'oggetto prodotto. Il livello di test atteso su un piccolo strumento interno usa e getta non è quello di un modulo di fatturazione; review, documentazione e strategia di deploy si dosano allo stesso modo, ed è giusto così.

La sicurezza non si comporta così, perché il suo rischio non si misura sull'importanza dello strumento ma su ciò a cui dà accesso. Una schermata interna messa insieme alla buona che interroga il database di produzione è una porta, qualunque sia la serietà con cui la si considera; la fuga di dati non dipende dalla vita prevista dell'oggetto, e chi attacca non va a controllare in quale categoria l'organizzazione l'aveva messo.

L'esigenza di sicurezza va quindi posta fuori dalla griglia di graduazione, come l'unica linea che non dipende né dall'umore del momento né dalla posta in gioco dichiarata.

Perché è importante

Evita che una politica di alleggerimento — giustificata e utile su test, review e documentazione — si porti dietro anche la sicurezza per semplice coerenza di ragionamento. È lo slittamento naturale: appena si scrive «poca posta in gioco, poco formalismo», la sicurezza finisce nello stesso mucchio.

Rende anche la regola applicabile, perché la sicurezza è proprio il terreno su cui gli strumenti esistono già: integrazione continua, scanner, regole e pratiche gestite dai team di sviluppo non vanno reinventati per una produzione che arriva da altrove.

Sfumature e limiti

L'affermazione vale per l'esigenza, non per i mezzi. Uno strumento isolato, senza dati reali e senza esposizione in rete, non richiede lo stesso dispositivo di un servizio esposto — ma la differenza riguarda la superficie da proteggere, non il diritto di non proteggerla.

E un'esigenza non negoziabile non è per questo un'esigenza rispettata: vale solo se poggia su controlli automatici, altrimenti torna a essere una dichiarazione d'intenti.

Domande aperte

• Altre esigenze si comportano come la sicurezza — la conformità normativa, la tracciabilità degli accessi, la reversibilità delle scritture — o l'eccezione è davvero unica?