Il divario in materia di responsabilità
Tanium ha collaborato con il NASDAQ per far luce sul divario esistente tra la percezione che i dirigenti aziendali hanno della propria vulnerabilità in materia di sicurezza informatica e la realtà effettiva. Nell’articolo “ : The Accountability Gap: Cybersecurity & Building a Culture of Responsibility” (si apre in una nuova scheda), i ricercatori della Goldsmiths, University of London, hanno individuato sette sfide intrinseche che le aziende devono superare per gestire le vulnerabilità in materia di sicurezza informatica: alfabetizzazione informatica, propensione al rischio, intelligence sulle minacce, legislazione e regolamentazione, resilienza della rete, risposta e comportamento.
L'importanza della gestione del rischio aziendale (ERM)
Il rapporto tra il rischio e il consiglio di amministrazione è una dinamica sempre più complessa. Il ritmo vertiginoso dei cambiamenti tecnologici ed economici ha reso la gestione del rischio aziendale ( Risk , ERM) una responsabilità sempre più impegnativa e concreta per gli amministratori. E sebbene l’assunzione di rischi comporti numerosi vantaggi strategici per la crescita di un’organizzazione, la sicurezza informatica è ormai diventata una priorità assoluta nell’ambito della gestione dei rischi aziendali (ERM): si tratta infatti di una minaccia di natura molto diversa, che richiede una strategia, un linguaggio e delle regole di base distinti. La vulnerabilità in materia di sicurezza informatica rappresenta un rischio che non può essere gestito né mitigato. Deve essere eliminato. Un’organizzazione non può più affidare la responsabilità in materia di sicurezza informatica esclusivamente ai responsabili tecnici: tutti, a partire dai vertici aziendali, dovrebbero essere ritenuti responsabili delle conseguenze derivanti dalle vulnerabilità in materia di sicurezza informatica.
Sebbene non ci si debba aspettare che i membri del consiglio di amministrazione siano esperti di tecnologia, il consiglio stesso dovrebbe essere in grado di porre le domande giuste in merito ai parametri di riferimento e alle migliori pratiche nel settore IT. Abbiamo riscontrato che il 91% dei membri dei consigli di amministrazione delle aziende più vulnerabili non è in grado di interpretare un rapporto sulla sicurezza informatica e solo il 50% ha dichiarato di aver seguito una formazione in materia di sicurezza informatica.
I consigli di amministrazione devono comprendere il panorama delle minacce informatiche di un’organizzazione, proprio come avviene per qualsiasi rischio finanziario. Ma se un’organizzazione non ha fiducia nei propri dati e non dispone dei controlli operativi adeguati, mentre i consigli di amministrazione non possiedono conoscenze sufficienti per valutare e supervisionare la sicurezza informatica, chi ne è effettivamente responsabile? I membri del consiglio di amministrazione possono fare di più per aiutare se stessi e la dirigenza tecnica può fare di più per collaborare con il consiglio di amministrazione.
Cosa possono fare di più i membri del consiglio di amministrazione per aiutare se stessi
I CIO e i CISO possono iniziare a invertire questa tendenza fornendo al consiglio di amministrazione:
- Una visione d’insieme del panorama delle minacce
- Un'identificazione accurata delle risorse aziendali e dei relativi livelli di rischio
- Una chiara illustrazione dei costi sostenuti per la sicurezza in relazione alla mitigazione dei rischi per l'azienda
Essendo io stesso un dirigente, mi confronto regolarmente con esperti di sicurezza informatica ed esamino casi di studio per rimanere aggiornato. Grazie alla mia pluriennale esperienza nei settori della tecnologia aziendale e di consumo, ho la fortuna di comprendere gli ambienti IT, le diverse categorie di tecnologie di sicurezza e il linguaggio comunemente utilizzato per descrivere le questioni relative alla sicurezza informatica; i membri del consiglio di amministrazione che non dispongono di tale background dovrebbero rivolgersi al CIO o al CISO della propria azienda. Come minimo, i responsabili dell’informazione e della sicurezza dovrebbero tenere una sessione annuale di “Cyber 101” ” e mettere a disposizione un glossario di termini spiegati in un linguaggio accessibile a tutti.
Altre attività consigliate:
- Ampliate il Comitato di revisione contabile del vostro consiglio di amministrazione in modo da includere sia la revisione contabile che l’ Risk (RSC), oltre ad aggiungere al comitato un membro esperto in rischi informatici che possieda una solida esperienza e conoscenza della sicurezza informatica, nonché delle sue implicazioni e del suo impatto sull’organizzazione
- Effettuare una valutazione dell’impatto aziendale e garantire che i dirigenti non tecnici comprendano l’impatto della sicurezza informatica sull’azienda
- Effettuare valutazioni annuali del consiglio di amministrazione per individuare in modo proattivo gli ambiti su cui concentrare gli sforzi al fine di migliorare costantemente le competenze informatiche
- Creare una serie standard di indicatori e una scheda di valutazione per facilitare il confronto mese su mese e anno su anno
- Elaborare un piano di sicurezza triennale che consenta al consiglio di amministrazione di comprendere e monitorare lo stato di avanzamento dei miglioramenti previsti per mitigare i rischi individuati
- L’introduzione della legge Sarbanes-Oxley, avvenuta dieci anni fa, ha rappresentato una svolta nella supervisione e nel controllo finanziario delle società e ha cambiato radicalmente il modo in cui veniva gestita la supervisione fiduciaria. Sebbene non si sia ancora raggiunto lo stesso punto di svolta per quanto riguarda la sicurezza informatica, la supervisione dell’ambiente informatico costituisce un elemento fondamentale per tutti i piani di revisione contabile delle società quotate in borsa. Mi rincuora constatare l’attuale sviluppo dei quadri di riferimento per la gestione dei rischi informatici e mi aspetto che i consigli di amministrazione delle società quotate in borsa finiscano per comprendere e supervisionare tali quadri di riferimento proprio come fanno oggi con la rendicontazione finanziaria. Fino ad allora, spetta a tutti i membri del consiglio di amministrazione assumere un ruolo attivo nel proprio percorso di alfabetizzazione informatica.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
