La gestione dell’incertezza è la pratica di prendere decisioni sicure e ponderate quando le informazioni sono incomplete, ambigue o in evoluzione. In ambito di cybersicurezza, i primi avvisi potrebbero non rivelare se un’attività è malevola, quanto si sia diffusa un’intrusione o quali sistemi siano interessati. Aspettare di avere certezze può far aumentare i danni, ma agire sulla base di supposizioni può anche interrompere i servizi o distruggere prove utili.
I difensori efficaci stabiliscono le priorità, verificano ciò che possono, comunicano ciò che resta ignoto e scelgono, ove possibile, azioni proporzionate e reversibili. Durante un sospetto attacco, ciò potrebbe significare isolare un sistema potenzialmente interessato, preservando al contempo i log e proseguendo le indagini. I team dovrebbero aggiornare le proprie decisioni man mano che emergono nuove prove, anziché cercare di adattare eventi inconsueti a un piano operativo inadeguato. Questo approccio aiuta a contenere il rischio senza fingere che ogni imprevisto possa essere previsto.