«Non è necessario essere una delle aziende di alto profilo recentemente colpite da un attacco informatico per rendersi conto che il mondo cibernetico rappresenta un pericolo reale e imminente.»
Così ha esordito Will Brandon, responsabile della sicurezza informatica della Banca d’Inghilterra, nel suo intervento dal titolo “ ” () (si apre in una nuova scheda) , tenuto in occasione della recente conferenza “City Week” (si apre in una nuova scheda). Brandon, l’uomo incaricato di fornire consulenza al settore finanziario britannico in materia di criminalità informatica, non potrebbe avere più ragione. Sebbene le aziende siano più che mai consapevoli della grave minaccia rappresentata dagli attacchi informatici, non stanno adottando misure sufficienti per proteggere se stesse e i propri clienti.
La sicurezza dell'organizzazione non può essere di esclusiva competenza del reparto IT
Non vi sono scuse per questa mancanza di leadership. La sicurezza dei sistemi e dei dati di un’azienda non può essere di esclusiva responsabilità del proprio personale tecnico. Anche se le minacce informatiche sono, come suggerisce Brandon, “poco chiare” e gli “autori sono notevolmente assenti”, gli obblighi fiduciari dei membri del consiglio di amministrazione devono includere la consapevolezza di tutte le possibili minacce.
Eppure molti consigli di amministrazione stanno ancora faticando a comprendere il rischio informatico e, in ultima analisi, a determinare la propria propensione al rischio. La nostra ricerca “ ”, condotta in collaborazione con il NASDAQ e la Goldsmiths, University of London, ha evidenziato che solo il 10% degli amministratori non esecutivi di aziende altamente vulnerabili ritiene di essere regolarmente informato sui tipi di minacce alla sicurezza informatica rilevanti per la propria attività. Nel Regno Unito, solo il 29% dei dirigenti di alto livello più vulnerabili è stato sottoposto a valutazioni dei rischi relativi alla sicurezza informatica; a livello globale, tale percentuale scende al 13%.
Quest’anno abbiamo assistito a una serie di attacchi informatici di grande risonanza che hanno dominato le prime pagine dei giornali, e non sono solo le aziende a esserne colpite. Anche le nazioni ne risentono: basti pensare alla violazione della rete elettrica ucraina e alla perdita, all’inizio dell’anno, di gran parte dei registri elettorali delle Filippine. Per le aziende, tuttavia, è facile immaginare l’entità del danno reputazionale e finanziario che si sarebbe potuto evitare se i dirigenti dell’organizzazione fossero stati più consapevoli delle minacce o avessero disposto di dati chiari e coerenti per valutare la propria propensione al rischio rispetto a tali pericoli. Il calo degli utili al lordo delle imposte, l’impennata degli oneri straordinari, l’imbarazzo pubblico e i numerosi clienti insoddisfatti: tutto ciò avrebbe potuto essere evitato.
Valutazione comparativa dei rischi informatici rispetto ad altri rischi
«Allora, come si fa a trovare un equilibrio tra il rischio informatico e gli altri rischi?» Chiese Brandon. «Credo che la prima cosa da fare sia quantificarlo, almeno nella misura del possibile. Ciò potrebbe comportare valutazioni o verifiche, ma probabilmente si inizia con l’individuare chi potrebbe occuparsi di cosa in relazione a quale parte del Suo patrimonio. O, per dirla in altro modo, suddividere il rischio in minacce, vulnerabilità e risorse.”
Joan Conley, Vicepresidente senior e Segretaria aziendale del Nasdaq, , raccomanda alle imprese che «nel determinare la propensione al rischio, il consiglio di amministrazione dovrebbe definire i propri obiettivi commerciali e comprendere tutti i rischi — ivi compresi quelli legali, operativi, competitivi e reputazionali — che potrebbero incidere su tali obiettivi». Solo in tal modo il consiglio di amministrazione potrà indicare i livelli di rischio auspicabili. Devono quindi continuare a valutare la probabilità e l’impatto dei rischi chiave in tutta l’azienda e verificare che la dirigenza continui ad operare nel rispetto della propensione al rischio stabilita.”
Elaborazione di un piano di risposta agli incidenti
Indipendentemente dalla propensione al rischio, ogni organizzazione può ridurre al minimo i rischi attenendosi alle pratiche fondamentali di “igiene della sicurezza” e disponendo di un piano di risposta agli incidenti collaudato. I consigli di amministrazione devono inoltre porre domande per assicurarsi che la dirigenza tenga conto della sicurezza informatica nell’ambito delle operazioni aziendali complessive:
- Qual è il livello di rischio informatico dell’azienda e quali sono le fonti e le tipologie di dati sensibili su cui si basa tale valutazione?
- L’azienda ha effettuato una valutazione di riferimento dei rischi informatici ed esiste un processo continuo volto a monitorare i miglioramenti nel tempo?
- Esiste un piano di risposta alle violazioni informatiche o un piano di gestione delle crisi?
- Quali informazioni verranno condivise con il consiglio di amministrazione in merito al rischio informatico? Esiste una procedura regolare per esaminare la situazione con il CIO a livello di comitato del consiglio di amministrazione?
- Dovremmo nominare un amministratore di riferimento all’interno del Comitato di revisione contabile, ampliare formalmente il mandato del Comitato di revisione contabile per includervi il rischio informatico, oppure il nostro rischio informatico è ritenuto sufficientemente elevato da giustificare la creazione di un Comitato per la sicurezza informatica (Cyber Risk ) separato e permanente?
- Qual è il costo della gestione dei rischi informatici rispetto al costo di una violazione dei dati? Abbiamo analizzato i casi di violazione verificatisi nel nostro settore per comprendere quali siano i costi complessivi di una violazione?
- L’azienda dovrebbe prendere in considerazione una polizza assicurativa sulla sicurezza informatica o altre nuove categorie di tecnologie di sicurezza per mitigare i rischi e i costi?
Una volta definito un insieme comune di indicatori, i responsabili dei settori IT e della sicurezza possono determinare congiuntamente la propensione al rischio dell’azienda, insieme ai propri pari nella dirigenza e ai membri degli organi di governance.
La criminalità informatica rappresenta un rischio grave e complesso. Se i vertici di un’azienda si prendono il tempo necessario per comprendere le sfide specifiche che la propria organizzazione deve affrontare, tale rischio può essere mitigato. Come ha affermato Will Brandon: «Le persone hanno bisogno di essere guidate». I processi devono essere gestiti… La sicurezza informatica è, in larga misura, una questione di leadership e gestione. «Una leadership che deve essere esercitata dall’alto – non solo dal reparto IT.»
Richard Olver, Vicepresidente per l’area EMEA, Tanium.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
