In qualità di presidente del consiglio di amministrazione del Gruppo Cinturion, Richard Marshall è direttamente impegnato a garantire la sicurezza della rete in fibra ottica che la sua azienda sta realizzando dall’India attraverso il Medio Oriente fino all’Europa.
La realizzazione del monumentale Trans Europe Asia System (TEAS) risulterà già di per sé piuttosto complessa, dato che sarà interrato sotto migliaia di miglia terrestri e marittime. A rendere la situazione ancora più complessa è il fatto che molti dei Paesi che ospiteranno il cavo non vanno molto d’accordo tra loro, il che comporta potenziali problemi di sicurezza informatica.
Quando, 15 anni fa, iniziò la sua carriera a livello dirigenziale, afferma Marshall, lui e i suoi colleghi amministratori avrebbero probabilmente delegato la responsabilità di garantire la sicurezza di questa infrastruttura agli “i esperti di informatica”. Ma oggi, con gli attacchi costosi del ransomware , e e le violazioni dei dati che incidono sempre più pesantemente sui profitti, egli afferma che i membri del consiglio di amministrazione e i loro comitati di revisione contabile riconoscono di non poter più ignorare tali responsabilità.
Gli amministratori sanno di dover essere più consapevoli e direttamente coinvolti. Infatti, il 88% di loro ora considera la sicurezza informatica un rischio aziendale piuttosto che un problema tecnologico, secondo la società di analisi aziendale Gartner.
«Ho constatato il cambiamento», afferma Marshall, che presiede anche altri due consigli di amministrazione e svolge attività di consulente in materia di sicurezza informatica. «I circuiti stampati stanno diventando sempre più sofisticati. Inoltre, essendo più giovani, tendono ad avere una maggiore consapevolezza in ambito tecnologico e sono più propensi a rendersi conto della necessità di impegnarsi nella mitigazione dei rischi.”
A gettare benzina sul fuoco: la probabilità di un aumento delle pressioni normative da parte del governo . L’anno scorso, ad esempio, la Securities and Exchange Commission ( ) ha proposto nuove norme che imporrebbero alle società quotate in borsa di rendere pubbliche le proprie pratiche di governance in materia di sicurezza informatica, comprese le modalità con cui i consigli di amministrazione vigilano sui rischi informatici. L'annuncio ha suscitato un ampio dibattito e non poche polemiche su . E sebbene le organizzazioni non siano tenute a nominare membri esperti in materia di tecnologia o di sicurezza informatica, le norme proposte dalla SEC imporrebbero loro di rendere noto se lo abbiano fatto.
Ciò potrebbe rappresentare un problema per molte organizzazioni, poiché i membri del consiglio di amministrazione provengono solitamente dal mondo degli affari piuttosto che da quello dell’informatica. Infatti, sebbene la percentuale di società quotate in borsa che hanno nominato amministratori specializzati in tecnologia sia recentemente aumentata, secondo Deloitte essa si attesta ancora a solo circa il 17%. Inoltre, un recente studio di DHR Global intitolato “ ” ( ) ha rilevato che solo il 1,4% delle aziende ha un responsabile della sicurezza informatica (CISO), attuale o precedente, all’interno del proprio consiglio di amministrazione, mentre il 65% delega la responsabilità di dirigere e riferire in materia di sicurezza informatica ai comitati di revisione contabile.
È vero, i CISO competenti sono sempre più difficili da trovare, ma ciò non è sufficiente, afferma la SEC.
«La sicurezza informatica figura già tra le principali priorità di molti consigli di amministrazione, e gli incidenti di sicurezza informatica e altri rischi sono considerati una delle maggiori minacce per le aziende», ha spiegato la commissione nel promuovere la modifica normativa. “Di conseguenza, gli investitori potrebbero ritenere importante che venga reso noto se alcuni membri del consiglio di amministrazione possiedano competenze in materia di sicurezza informatica, sia nel valutare il proprio investimento nella società registrata, sia nell’esprimere il proprio voto in merito alla nomina degli amministratori della stessa.”
Come possono, quindi, i membri del consiglio di amministrazione con scarse competenze tecnologiche mettersi al passo in materia di sicurezza informatica? Gli esperti sostengono che non sia necessario possedere una certificazione CISSP (Certified Information Systems Security Professional) dell’ , né una certificazione “ ”, né mettersi nei panni del CISO per un giorno (sebbene nessuno dei due approcci sarebbe di ostacolo). Piuttosto, suggeriscono alcune misure per far fronte alle normative imminenti e garantire una migliore supervisione.
1. Si nomini almeno un esperto di sicurezza informatica nel consiglio di amministrazione
La dott.ssa Keri Pearlson, direttrice esecutiva del Cybersecurity at MIT Sloan (CAMS), studia da oltre 30 anni l’intersezione tra tecnologia e mondo degli affari e ha pubblicato numerosi articoli in materia di sicurezza informatica. Era quindi logico che il TMF Health Quality Institute, alla ricerca di competenze in materia di sicurezza informatica per far fronte alle crescenti minacce in quel settore, chiedesse a Pearlson di entrare a far parte del proprio consiglio di amministrazione.
“[I membri dei consigli di amministrazione] sono più giovani, quindi tendono ad avere una maggiore consapevolezza tecnica e sono più propensi a rendersi conto della necessità di impegnarsi nella mitigazione dei rischi.”Richard Marshall, presidente del consiglio di amministrazione del Gruppo Cinturion
Sebbene altri membri del consiglio di amministrazione nutrano interesse, abbiano punti di vista e una certa esperienza in materia di sicurezza informatica, la signora Pearlson afferma che il suo ruolo consiste nel fornire approfondimenti e indicazioni su questioni fondamentali.
«Ritengo che i consigli di amministrazione stiano acquisendo maggiore maturità e che i loro membri comprendano tale responsabilità», afferma. «Si occupano della gestione dei rischi aziendali, e la sicurezza informatica è un rischio aziendale. «Ma non sono la stessa cosa, e quindi parte del mio lavoro consiste nell’esaminare le decisioni in materia di sicurezza informatica che prendono per assicurarmi che siano corrette».
Alcune aziende stanno rafforzando ulteriormente il proprio organico in materia di competenze nel campo della sicurezza informatica. Un recente sondaggio condotto da Gartner nell’ambito dell’ prevede che entro il 2025 il 40% dei consigli di amministrazione disporrà di un comitato dedicato alla sicurezza informatica, rispetto al 10% attuale.
«Molti consigli di amministrazione stanno istituendo comitati dedicati che consentono di discutere questioni relative alla sicurezza informatica in un contesto riservato, sotto la guida di una figura ritenuta adeguatamente qualificata», ha affermato Sam Olyaei, direttore della ricerca presso Gartner, in una dichiarazione. «Questo cambiamento nella governance e nella supervisione potrebbe influire sul rapporto tra il consiglio di amministrazione e il responsabile della sicurezza informatica.»
2. Rendere la governance della sicurezza informatica un punto chiave dell’ordine del giorno
Lo statuto societario prevede che i consigli di amministrazione si riuniscano almeno una volta all’anno, ma la frequenza tende a variare da uno Stato all’altro. In alcuni casi, ciò avverrà due o quattro volte all’anno. Secondo gli esperti, in una situazione ideale, la frequenza dovrebbe essere di una volta ogni sei-otto settimane.
Ciò è dovuto in gran parte al fatto che le questioni aziendali e di rischio possono cambiare da un momento all’altro e, se un consiglio di amministrazione prende delle decisioni a gennaio, queste potrebbero non essere più pertinenti poche settimane o pochi mesi dopo. Ciò vale in particolare per la sicurezza informatica, che deve essere un argomento ricorrente all’ordine del giorno di ogni riunione, afferma Marshall.
«Quando fornisco consulenza ai consigli di amministrazione, li incoraggio a invitare un CISO affinché rediga ogni volta un breve rapporto», afferma. “Ciò consente ai CISO di instaurare un rapporto di fiducia con il consiglio di amministrazione. Inoltre, ciò contribuisce a sensibilizzare i membri del consiglio di amministrazione, soprattutto se i CISO sanno come rivolgersi a loro da un punto di vista aziendale.”
3. Guardare oltre il rischio per concentrarsi sulla resilienza
Pearlson sostiene che i membri del consiglio di amministrazione debbano adottare un approccio diverso alla sicurezza informatica: anziché considerarla esclusivamente come un mezzo per mitigare i rischi tecnologici, dovrebbero dare priorità anche alla resilienza, che comprende le modalità di ripristino a seguito di un attacco informatico andato a buon fine.
“Non sarebbe fantastico se la Sua azienda subisse un incidente informatico senza subire alcuna perdita finanziaria? Nessuna perdita di dati? Nessun periodo di inattività del sistema? Nessun danno alla reputazione? Questa è la visione di ciò verso cui dovremmo orientarci in materia di sicurezza informatica.”Dott.ssa Keri Pearlson, direttrice esecutiva del Cybersecurity at MIT Sloan (CAMS)
Ciò richiede la volontà di passare dalla convinzione che gli attacchi siano per lo più prevenibili al riconoscimento che essi si verificheranno, per cui è necessario un piano volto a ridurre al minimo i danni, afferma.
«In qualità di membro del consiglio di amministrazione, è necessario partire dal presupposto che ogni azienda possa essere soggetta a una violazione o a un attacco di qualche tipo», afferma Pearlson. “È inoltre importante sapere che la vostra azienda è in grado di far fronte a eventuali problemi e di riprendersi rapidamente senza tempi di inattività. Insomma, non sarebbe fantastico se la Sua azienda subisse un incidente informatico senza subire alcuna perdita finanziaria? Nessuna perdita di dati? Nessun periodo di inattività del sistema? Nessun danno alla reputazione? «Questa è la visione di ciò verso cui dovremmo orientarci in materia di sicurezza informatica».
4. Seguite un corso di formazione: le competenze informatiche sono alla base di una governance informatica più efficace
Gli esperti sostengono che, pur avendo nel consiglio di amministrazione un membro incaricato della sicurezza informatica, la maggior parte dei membri svolgerebbe meglio il proprio lavoro se ricevesse una formazione di base in materia. Pearlson, ad esempio, sottolinea che il suo ateneo, l’ , il Massachusetts Institute of Technology, offre corsi specificamente concepiti per far acquisire ai membri dei consigli di amministrazione le nozioni fondamentali in materia di governance della sicurezza informatica. Corsi simili sono offerti da Harvard, Wharton e da Cyber GmbH Risk.
Inoltre, Marshall raccomanda di valutare la possibilità di avvalersi dei servizi di fornitori di assicurazioni contro i rischi informatici , i quali hanno un interesse diretto a garantire che i propri assicurati godano della massima sicurezza possibile. I consulenti esterni possono rappresentare un’altra opzione efficace, aggiunge.
5. Unitevi a noi — proprio ora
I membri del consiglio di amministrazione e i CISO non parlano sempre la stessa lingua, ma, secondo Pearlson, stanno sempre più trovando un terreno comune. Raccomanda ai membri del consiglio di amministrazione di cercare di instaurare rapporti più stretti con i CISO per rimanere al passo con le questioni fondamentali relative alla sicurezza informatica.
«Sebbene invitare i CISO a riferire al consiglio di amministrazione contribuisca a rafforzare la loro identità, ciò non crea legami solidi tra i membri del consiglio e i responsabili della sicurezza», afferma.
La signora Pearlson aggiunge che dalla sua ricerca è emerso che alcuni membri del consiglio di amministrazione e i CISO si riuniscono in modo proattivo tra una riunione esecutiva e l’altra per discutere delle notizie di attualità in materia di sicurezza informatica e degli incidenti potenzialmente dannosi. Poiché si conoscono meglio tra loro, tendono ad essere meglio preparati a collaborare per affrontare gli incidenti di sicurezza informatica man mano che si verificano.
«Un incidente informatico non è il momento giusto per costruire un ponte», afferma Pearlson. «Ciò dovrebbe avvenire con largo anticipo rispetto al momento in cui si dovranno affrontare conversazioni difficili.»
