I team di sicurezza e i consigli di amministrazione stanno registrando una mancanza di comunicazione in materia di rischi. Quando i CISO e i team di sicurezza condividono metriche e dati con il consiglio di amministrazione, utilizzano il linguaggio dell’IT: tentativi di phishing bloccati, sistemi aggiornati con patch, percentuali di endpoint che utilizzano software antivirus. Il consiglio di amministrazione è attento e all’ascolto, concentrandosi sul linguaggio del mondo degli affari: continuità operativa, rischio di interruzioni del servizio, ripercussioni sugli utili e sulla produttività, investimenti e costi irrecuperabili, nonché la probabilità di sanzioni normative o di una cattiva pubblicità.
Dati relativi alla sicurezza: aggiornamenti, patch, tempo medio di riparazione (MTTR). Anche il consiglio di amministrazione parla di cifre: dollari, numero di dipendenti, probabilità di un attacco. Entrambe le parti finiscono per parlare senza ascoltarsi a vicenda. Di conseguenza, si perde di vista il quadro dei rischi che l’azienda si trova ad affrontare. Senza una chiara comprensione dei rischi, l’azienda non è in grado di agire tempestivamente ed efficacemente per ridurre le minacce informatiche, quali le violazioni dei dati e gli attacchi ransomware.
Questa è solo una delle conclusioni emerse da un recente sondaggio condotto da Harvard Business Review Analytic Services (si apre in una nuova scheda), sponsorizzato da Tanium. L'indagine, intitolata "Le organizzazioni faticano a misurare e monitorare la sicurezza informatica" ( Risk), offre un quadro chiaro dello stato attuale della rendicontazione sui rischi nel mondo aziendale. Le conclusioni del rapporto offrono consigli utili a qualsiasi team di sicurezza o consiglio di amministrazione interessato a comprendere meglio il rischio e le modalità per gestirlo.
Lo stato attuale della rendicontazione sui rischi
L’indagine condotta da Harvard Business Review Analytic Services ha posto a 180 intervistati, ricoprenti ruoli dirigenziali di livello intermedio, senior o esecutivo in aziende di tutto il mondo, una serie di domande relative alla rendicontazione in materia di sicurezza e ai rischi. Gli intervistati hanno generalmente convenuto che i dirigenti aziendali di alto livello necessitino di informazioni più complete sui rischi sostanziali che le organizzazioni si trovano ad affrontare oggi.
- Il 70% si è detto “abbastanza d’accordo” o “pienamente d’accordo” sul fatto che i dirigenti senior della propria organizzazione dovrebbero prestare maggiore attenzione alla sicurezza informatica della stessa.
- Il 68% si è detto in parte o pienamente d’accordo sul fatto che i team IT potrebbero fare di più per garantire che i dirigenti di alto livello siano meglio informati sui rischi informatici e sulla sicurezza informatica della propria organizzazione.
Se si riscontrano problemi nella rendicontazione in materia di sicurezza informatica, vale la pena chiedersi con quale frequenza tale rendicontazione venga effettivamente effettuata. Dall'indagine è emerso che:
- Il 33% dei team di sicurezza informa i dirigenti aziendali di alto livello in merito ai rischi informatici su base ad hoc.
- 29% dei dirigenti riceve un resoconto mensile.
- Il 24% dei dirigenti presenta una relazione trimestrale.
- Ogni anno forniamo informazioni ai dirigenti al 7%.
- Il 7% dei dirigenti in mutande lo fa raramente o mai.
Una rendicontazione ad hoc, annuale o — peggio ancora — sporadica lascia i dirigenti aziendali all’oscuro dei rischi che potrebbero causare gravi danni all’organizzazione. Non ci si può aspettare che i team dirigenziali prendano le decisioni giuste in merito ai rischi se non ne vengono informati tempestivamente.
Un altro fattore preso in considerazione dall’indagine è stato il modo in cui sono stati segnalati i rischi. I team di sicurezza hanno presentato un lungo elenco di indicatori monitorati nel corso del tempo? Hanno optato per delle generalizzazioni? Oppure per una combinazione di indicatori e temi?
Dall'indagine è emerso che:
- 52% ha illustrato lo stato complessivo del rischio, corredandolo di alcuni indicatori e valori di riferimento.
- Il 44% ha illustrato lo stato generale e complessivo del rischio, con pochi o nessun parametro di riferimento.
- 13% ha presentato un'analisi esaustiva, che includeva numerosi indicatori e valori di riferimento.
Le considerazioni di carattere generale, ovviamente, potrebbero risultare troppo generiche per essere utili. Gli indicatori possono essere utili, ma solo se sono presentati in termini comprensibili ai dirigenti aziendali di alto livello.
L'importanza di comprendere il rischio
La maggior parte dei dirigenti non possiede una solida preparazione in ambito tecnologico. Hanno difficoltà a comprendere gli indicatori di sicurezza, in parte perché non è chiaro in che modo tali indicatori siano allineati agli obiettivi primari del consiglio di amministrazione. Tali obiettivi comprendono in genere la continuità operativa, i profitti e il mantenimento della conformità normativa.
Tenendo presenti tali obiettivi, in che modo i dirigenti aziendali dovrebbero reagire a un rapporto riguardante le tendenze relative al ransomware, i tempi di risposta più rapidi del service desk e il numero di computer portatili che necessitano ancora di un aggiornamento del sistema operativo? I dirigenti non sono in grado di dirlo.
È necessario effettuare una traduzione fondamentale. I team di sicurezza dovrebbero raccogliere dati relativi allo stato della propria infrastruttura IT. Tuttavia, è necessario tradurre tali indicatori in termini che siano significativi ai fini degli obiettivi aziendali.
I responsabili della sicurezza devono individuare gli indicatori che siano significativi e rilevanti per entrambi i team, in modo che tutti possano parlare la stessa lingua. Questi indicatori forniscono informazioni utili su cui i consigli di amministrazione e i team di sicurezza possono agire congiuntamente, tenendo conto delle persone, dei processi e della tecnologia.
In definitiva, i dirigenti aziendali partecipano a queste riunioni per prendere decisioni. Devono sapere in cosa investire e quali politiche adottare, correggere o abbandonare. Prenderanno tali decisioni sulla base degli obiettivi generali dell’azienda, che riguardano la stabilità finanziaria e la crescita.
Le ricerche indicano che gli indicatori dovrebbero essere correlati alla situazione finanziaria dell’azienda. Per stabilire tale relazione, i team di sicurezza devono comprendere in che modo le persone, i processi e la tecnologia sostengono oggi l’attività aziendale.
Devono comprenderne i dettagli. Ad esempio, se la nuova strategia di mobile App dell’azienda sta favorendo la crescita, da quali sistemi IT dipende tale App ? Quali server e database sono coinvolti? Quali sistemi operativi e pacchetti software sono in esecuzione su tali sistemi? Qualcuno di questi sistemi operativi è a rischio a causa di una vulnerabilità resa nota di recente?
Una volta chiarito questo contesto, risulta più agevole per i dirigenti comprendere cosa comporti, in termini di attività aziendale, un rischio legato ai server privi di patch. Reporting ha permesso loro di comprendere in che modo un indicatore di sicurezza sia correlato a un risultato finanziario: in questo esempio, la potenziale interruzione del funzionamento di un’ App che genera ricavi.
Come si legge nel rapporto dell’HBR: «I CISO devono ridurre il ricorso agli indicatori tecnici e inquadrare il rischio informatico in termini economici». Tali indicatori e termini dovrebbero essere coerenti di trimestre in trimestre, in modo che tutti, compresi i team di sicurezza e i dirigenti aziendali, possano comprendere la situazione dell’azienda riguardo alla questione fondamentale del rischio informatico.
Per ulteriori informazioni sul rapporto e sui suoi risultati, registratevi al nostro webinar all’indirizzo 27 aprile. (si apre in una nuova scheda) In questo webinar dal vivo e interattivo, Alex Clemente, amministratore delegato di Harvard Business Review Analytic Services, condividerà le conclusioni emerse da questa indagine su come le organizzazioni misurano e monitorano il rischio informatico.
Discuterà quindi della minaccia rappresentata dai rischi informatici e delle misure che le organizzazioni possono adottare per mitigarli, insieme a Chris Hallenbeck, responsabile della sicurezza informatica presso l’ Tanium. Clemente e Hallenbeck tratteranno i seguenti argomenti:
- In che modo le organizzazioni possono favorire una migliore comunicazione in materia di rischi informatici
- L'importanza di utilizzare gli indicatori adeguati per la valutazione dei rischi informatici
- Perché l’utilizzo di un numero eccessivo di indicatori (soprattutto di natura tecnica) può creare confusione
- Come garantire che i dirigenti mantengano l'attenzione sulla sicurezza informatica
Se desidera conoscere il profilo di rischio informatico della Sua organizzazione, richieda una valutazione gratuita dei rischi e ottenga una panoramica completa del profilo di rischio e delle misure proattive per proteggere la Sua organizzazione.
