Quando si tratta di sicurezza informatica, la responsabilità ultima spetta al consiglio di amministrazione.
Questo è il messaggio che la Securities and Exchange Commission (SEC) degli Stati Uniti ha trasmesso in occasione dell’ 9 marzo 2022, quando ha presentato una proposta di nuove norme che impongono una maggiore trasparenza in materia di governance dei rischi informatici e di segnalazione degli incidenti nei documenti depositati presso le autorità di regolamentazione.
Qual è la forza motrice dell’agenzia? Il numero e il costo delle violazioni informatiche su larga scala stanno aumentando vertiginosamente, così come le aspettative degli azionisti in materia di trasparenza.
Sebbene la SEC stia ancora mettendo a punto le nuove norme, una cosa è chiara: l’agenzia richiederà presto ai consigli di amministrazione di fornire ogni anno informazioni di un livello di dettaglio senza precedenti in merito alla propria governance in materia di sicurezza, nonché di comunicare se e quando si verifichi una violazione significativa.
In particolare, gli amministratori dovranno indicare chi è “responsabile” della funzione di vigilanza — un comitato già esistente, come quello di revisione contabile o di gestione dei rischi, un nuovo comitato per la sicurezza informatica oppure il consiglio di amministrazione al completo — e in che modo tale funzione viene esercitata. Le normative di prossima entrata in vigore stanno esercitando una crescente pressione sui consigli di amministrazione affinché non solo rivalutino la propria struttura di controllo, ma anche ripensino la composizione del consiglio stesso.
Per prepararsi al mutevole panorama normativo , di seguito sono riportate quattro questioni relative alla governance della sicurezza informatica che i consigli di amministrazione dovrebbero inserire tra le priorità della propria agenda.
1. Il consiglio di amministrazione dovrebbe inserire al proprio interno un esperto di sicurezza informatica?
Oggi, la presenza di competenze in materia di sicurezza informatica nei consigli di amministrazione rappresenta più un’eccezione che la regola. Secondo il Center of Audit Quality, solo l’ e il 34% delle 500 società dell’indice S&P conta un esperto di sicurezza informatica tra i membri del proprio consiglio di amministrazione.
Le nuove norme della SEC imporrebbero alle società di indicare se vi siano membri del consiglio di amministrazione, e in caso affermativo quali, in possesso di competenze in materia di sicurezza informatica. Non si tratta tanto di un obbligo di nominare un esperto incaricato di supervisionare i rischi informatici, quanto piuttosto di una misura volta a garantire agli investitori trasparenza riguardo alle capacità di supervisione del consiglio di amministrazione.
«. Se state cercando un CISO per il vostro consiglio di amministrazione, avrete difficoltà a trovarne uno perché sono davvero molto richiesti.»Carolyn Frantz, co-responsabile del gruppo dedicato alle società quotate in borsa presso Orrick
A prescindere da ciò, i consigli di amministrazione dovrebbero cercare un esperto in rischi informatici da inserire nel proprio organico? Molti intendono farlo: nel 2021, il 65% dei consigli di amministrazione ha affermato che la sicurezza informatica è un’area di competenza ricercata in seno al consiglio, in aumento rispetto al 36% registrato nel 2018, secondo un rapporto di Ernst & Young.
La ricerca potrebbe rivelarsi difficile. «Se state cercando un CISO per il vostro consiglio di amministrazione, avrete difficoltà a trovarne uno perché sono molto richiesti e, in breve, c’è una forte carenza di figure di questo tipo », afferma Carolyn Frantz, co-responsabile del gruppo dedicato alle società quotate presso lo studio legale specializzato in diritto tecnologico Orrick.
Frantz sottolinea che, qualora trovaste un candidato alla carica di CISO, «deve anche possedere un’ampia gamma di competenze in grado di apportare valore aggiunto al vostro consiglio di amministrazione». «Non è opportuno inserire qualcuno nel proprio consiglio di amministrazione solo perché possiede una determinata competenza.»
Un’altra insidia che i consigli di amministrazione dovrebbero tenere in considerazione è che essi potrebbero affidarsi eccessivamente a un “esperto” come pretesto per sottrarsi alle proprie responsabilità di vigilanza, avverte Joe Nocera, partner nel settore dei rischi informatici e del marketing normativo presso PricewaterhouseCoopers (PwC).
«Ho partecipato a riunioni del consiglio di amministrazione in cui era presente un amministratore con esperienza nel campo della sicurezza informatica e il resto del consiglio tendeva a rimettersi al suo giudizio su ogni argomento», afferma Nocera, che a sua volta fa parte di diversi consigli di amministrazione di organizzazioni senza scopo di lucro. «È un po’ come dire: “Oh, Sally lavorava per un’azienda specializzata in sicurezza informatica, quindi non devo preoccuparmi di questo.”»
Un ambito in cui un esperto può davvero apportare un valore aggiunto, suggerisce Nocera, è quello di elevare il livello di competenza del consiglio di amministrazione. Gli esperti possono incoraggiare gli amministratori a seguire corsi di formazione attraverso programmi quali il corso di certificazione “ ” in materia di sicurezza informatica , offerto dalla National Association of Corporate Directors (NACD). (Ad oggi, solo circa 700 dei suoi 23.000 membri hanno ottenuto i certificati.)
Si noti che la SEC ha espressamente incluso quanto segue nella propria proposta relativa alla norma “ ” (): “Non è nostra intenzione che la designazione di un esperto in sicurezza informatica in seno al consiglio di amministrazione comporti una riduzione dei doveri, degli obblighi o della responsabilità degli altri membri del consiglio stesso”.
In altre parole: sebbene l’inserimento nel consiglio di amministrazione di un amministratore con competenze in materia di sicurezza informatica sia utile ai fini della vigilanza in generale, in ultima analisi l’onere — e la responsabilità — della vigilanza ricade sulle spalle dell’intero consiglio di amministrazione.
2. A quale comitato del consiglio di amministrazione dovrebbe spettare la “responsabilità” della sicurezza informatica?
Oggi, più di due consigli di amministrazione su tre (66%) affidano la responsabilità della supervisione della sicurezza informatica al proprio comitato di revisione contabile , secondo un’indagine 2021 condotta dal Deloitte Center for Board Effectiveness in collaborazione con la Society for Corporate Governance. Tra gli intervistati, il 15% attribuisce la responsabilità al comitato per la gestione dei rischi. Secondo quanto rilevato da Deloitte, solo il 9% affida tale responsabilità a un comitato dedicato alla sicurezza informatica.
«: la sicurezza informatica rappresenta innanzitutto una sfida in termini di gestione del rischio.» Non esiste una sicurezza perfetta.”Joe Nocera, socio nel settore del rischio informatico e del marketing normativo presso PricewaterhouseCoopers
«Il fatto che la maggioranza agisca in un certo modo non significa che quella sia la risposta giusta», afferma Nocera. «Abbiamo riscontrato che le organizzazioni che affidano la supervisione della sicurezza informatica a un comitato per la gestione dei rischi sono quelle che gestiscono meglio tale rischio.»
Perché privilegiare il comitato per i rischi rispetto al comitato di revisione? Le liste delle attività da svolgere dei comitati di revisione contabile sono già sovraccariche di compiti quali la supervisione della rendicontazione finanziaria e dei controlli interni, la protezione dei dati, le questioni relative all’etica e alla conformità e altro ancora. Poiché la sicurezza informatica rappresenta un rischio aziendale sempre più rilevante, i membri del comitato potrebbero disporre di risorse limitate da dedicare alla governance.
«La sicurezza informatica rappresenta innanzitutto una sfida in termini di gestione del rischio», afferma Nocera. «Non esiste una sicurezza perfetta. La domanda è: quale livello di rischio siamo disposti ad accettare e rientriamo nei limiti della nostra attuale propensione al rischio? ”
3. Il consiglio di amministrazione dovrebbe istituire un comitato per la sicurezza informatica?
Secondo il colosso della consulenza Gartner, nei prossimi anni i consigli di amministrazione potrebbero decidere di rinunciare del tutto ai comitati di revisione e di gestione dei rischi; l’azienda prevede infatti che il numero di consigli di amministrazione dotati di comitati dedicati alla sicurezza informatica quadruplicherà entro cinque anni, passando dal 10% nel 2021 al 40% entro il 2025.
Gartner ha formulato la propria previsione nel documento “ gennaio 2021” (La sicurezza informatica: una priorità per il 2024), e la proposta della SEC potrebbe rafforzare le ragioni a favore della separazione della supervisione in materia di sicurezza informatica dalle altre funzioni del comitato — in particolare il requisito che le società presentino alla SEC il modulo 8-K entro quattro giorni lavorativi dal verificarsi di un “incidente di sicurezza informatica” rilevante.
«Le aziende subiscono quotidianamente attacchi minori di tipo “ ”, malware o , phishing », osserva Nocera. «Non è pratico informare il consiglio di amministrazione in merito a ciascuno di tali episodi.» Il consiglio di amministrazione deve stabilire i criteri relativi a ciò che la SEC potrebbe considerare “rilevante”, ivi compresi i tipi di incidenti che richiederebbero la convocazione di una riunione straordinaria del consiglio di amministrazione.
La valutazione della rilevanza degli incidenti informatici, ivi compreso il momento in cui tali incidenti devono essere sottoposti all’attenzione dell’intero consiglio di amministrazione, potrebbe e dovrebbe essere di competenza di un comitato per la sicurezza informatica, suggerisce James Turgal, vicepresidente della società di consulenza e soluzioni informatiche Optiv.
Turgal raccomanda che tale comitato segua “un modello ibrido” e comprenda dirigenti di alto livello, membri del comitato di revisione contabile e membri del consiglio di amministrazione con competenze in materia di sicurezza informatica, in grado di allineare la strategia di sicurezza informatica e i processi di governance dell’azienda ai nuovi requisiti di informativa della SEC.
4. Con quale frequenza il comitato dovrebbe riferire al consiglio di amministrazione al completo?
Per molti consigli di amministrazione, oggi la sicurezza informatica viene inserita all’ordine del giorno solo una volta all’anno. Secondo Deloitte, quasi il 77% delle società private afferma che la questione viene affrontata ogni anno, così come avviene nel 40% delle società a grande capitalizzazione e nel 52% di quelle a media capitalizzazione.
È sufficiente una volta all’anno per garantire un controllo rigoroso? Non secondo Nocera, il quale raccomanda che un comitato informi il consiglio di amministrazione sulle questioni relative alla sicurezza informatica sei volte all’anno, o almeno una volta al trimestre, anche nel caso di aziende che non si considerano ad alto rischio.
Tali briefing dovrebbero affrontare non solo i rischi informatici più urgenti del momento, ma anche i piani strategici pluriennali; i piani di risposta agli incidenti, di ripristino delle attività aziendali e di relazioni pubbliche; la formazione e l’alfabetizzazione informatica tra i dirigenti e i dipendenti; nonché la maturità e la resilienza complessive dell’organizzazione in materia di sicurezza informatica.
Ritorno alle origini
Turgal concorda sul fatto che informare il consiglio di amministrazione, con un linguaggio semplice, sulle minacce informatiche attuali e in continua evoluzione sia una necessità per garantire un controllo efficace. «I membri del consiglio di amministrazione sono tenuti a porre domande scomode e a mettere alla prova i vertici aziendali per promuovere e tutelare il valore per gli azionisti», afferma. «Senza delle basi, non si può sapere ciò che non si conosce.»
E a questo punto, i membri del consiglio di amministrazione concordano sul fatto di non disporre di informazioni sufficienti. Secondo un sondaggio condotto da PwC, solo l’ e il 33% degli amministratori ritiene che il proprio consiglio di amministrazione comprenda le vulnerabilità informatiche della propria azienda: un ostacolo enorme alla realizzazione di una governance adeguata.
Pertanto, il primo passo verso un’efficace attività di vigilanza, soprattutto alla luce delle imminenti normative della SEC, potrebbe non consistere nell’inserimento da parte degli amministratori di un esperto di sicurezza informatica, nell’istituzione di un comitato per la sicurezza informatica o persino nell’organizzazione di ulteriori riunioni informative rivolte all’intero consiglio di amministrazione.
Inizialmente, possono e devono acquisire una conoscenza di base in materia di sicurezza informatica, in modo da poter non solo porre le domande giuste, ma anche comprenderne le risposte.
