Kevin Kelly avrebbe voluto riuscire a impedire al proprio cliente di trasferire 10 milioni di dollari a un hacker.
Il suo cliente è un’azienda di articoli sportivi dal valore di un miliardo di dollari. L'hacker ha trovato il nome dell' CEO e dell'azienda sul sito LinkedIn e ha creato un account e-mail fasullo a nome dell' CEOe. Il truffatore ha quindi redatto una fattura contraffatta proveniente dal fornitore del Sud-Est asiatico dell’azienda, specializzato in palloni da basket, bastoni da lacrosse e altre merci (completa di intestazione contraffatta), e l’ha inviata dall’account falso dell’ CEO al direttore finanziario dell’azienda, con l’ordine di effettuare un bonifico di 10 milioni di dollari all’estero.
Purtroppo, la truffa è stata scoperta troppo tardi. Si tratta di un fenomeno che è diventato fin troppo diffuso e redditizio nell’odierna rete delle catene di approvvigionamento globali. «I consigli di amministrazione e i dirigenti sono sempre più spesso bersagli e vittime di queste violazioni», afferma Kelly, responsabile della protezione dei dati ( CEO ) di Halo Privacy, società che offre soluzioni per la protezione dei dati a consigli di amministrazione, dirigenti, family office e persone facoltose.
Nessuno conosce l'entità complessiva del danno economico causato da tali truffe basate su fatture contraffatte e da altre simili. Questo perché spesso le aziende non vogliono rivelare dettagli talvolta imbarazzanti.
La situazione potrebbe cambiare. In base alle nuove norme della SEC proposte nell’ambito del “ ” (), i vertici delle società quotate in borsa — e i relativi consigli di amministrazione — sarebbero tenuti a comunicare tempestivamente gli incidenti relativi alla sicurezza informatica. Le norme proposte dalla SEC giungono in un contesto caratterizzato da un’ondata di attacchi informatici che hanno paralizzato società quotate in borsa, organizzazioni private e amministrazioni pubbliche. «Dal punto di vista del miglioramento della sicurezza informatica nazionale, si tratta di una misura attesa da tempo», afferma Megan Stifel, responsabile della strategia presso l’Institute for Security and Technology.
La SEC ( ) ha osservato che uno dei motivi principali alla base della modifica normativa è il fatto che gli incidenti informatici vengono riportati dai media anziché essere segnalati nei documenti depositati dalle società. Inoltre, l’agenzia ha riscontrato che, quando vengono fornite informazioni, i dettagli delle segnalazioni risultano spesso incoerenti o incompleti. (L’elemento più controverso della proposta della SEC è l’obbligo di rendere noti gli incidenti informatici entro quattro giorni dalla loro classificazione come evento “rilevante”.)
«La sicurezza informatica deve essere gestita come un rischio aziendale rilevante, non solo come una questione tecnica», afferma Phil Reitinger, presidente e CEO della Global Cyber Alliance, ex CISO di Sony e alto funzionario responsabile della sicurezza informatica nell’amministrazione Obama. «L’ignoranza degli aspetti finanziari di un’azienda non costituisce una giustificazione per una cattiva gestione da parte del consiglio di amministrazione, e lo stesso vale per la sicurezza informatica, che dovrebbe essere trattata allo stesso modo e lo sarà». «Se un consiglio di amministrazione non dispone attualmente delle capacità necessarie per definire le linee guida e svolgere funzioni di controllo, allora deve potenziare il proprio organico».
Rafforzamento della funzione di vigilanza del consiglio di amministrazione
Nell’ambito delle norme proposte, le società sarebbero tenute a rendere note le competenze in materia di sicurezza informatica del consiglio di amministrazione e le relative responsabilità di vigilanza. Le bozze di regolamento stanno già costringendo le aziende a porsi domande difficili sul ruolo della sicurezza informatica in seno al consiglio di amministrazione, tra cui se debba essere riservato un posto a un esperto di sicurezza informatica, afferma Ann Cleaveland, direttrice esecutiva dell’ Center for Long-Term Cybersecurity presso l’Università della California, Berkeley (
).
«I consigli di amministrazione e i dirigenti sono sempre più spesso bersagli e vittime di queste violazioni.»Kevin Kelly, “ CEO”, “Halo Privacy”
«Spesso i consigli di amministrazione non hanno affrontato la questione della sicurezza informatica in quanto competenza propria del consiglio stesso», afferma. Per prepararsi all’entrata in vigore delle normative, ella consiglia alle aziende di iniziare a porsi domande quali: la sicurezza informatica dovrebbe rientrare nelle competenze del comitato di revisione o dovrebbe avere un proprio comitato dedicato? «Qualunque sia la conclusione a cui giungeranno, in fondo non ha quasi importanza», afferma. «Ma le aziende e i consigli di amministrazione devono aver affrontato l’argomento.»
Wilson Sonsini, lo studio legale della Silicon Valley che fornisce consulenza ai più grandi nomi del settore tecnologico a livello mondiale, ha sostenuto in una lettera inviata alla SEC che le preoccupazioni relative alla sicurezza informatica non dovrebbero avere la precedenza su altre questioni fondamentali che comportano rischi. L’azienda teme che le norme “possano indurre le società a dare priorità alle competenze in materia di sicurezza informatica all’interno del consiglio di amministrazione
a scapito di altre misure di sicurezza informatica e di altre competenze
ritenute auspicabili”.
Come minimo, tuttavia, i membri del consiglio di amministrazione devono acquisire una maggiore padronanza in materia di gestione dei rischi e difesa informatica, afferma Justin Greis, partner di McKinsey specializzato in tematiche digitali. «I membri del consiglio di amministrazione dovranno comprendere ed essere in grado di descrivere — e probabilmente difendere — la situazione della propria azienda in materia di sicurezza informatica», afferma. «A tal fine, i consigli di amministrazione dovranno probabilmente occuparsi delle questioni relative alla sicurezza informatica con maggiore attenzione che mai.»
Infatti, aziende della classifica Fortune 100 come Citigroup e GM stanno investendo massicciamente in competenze in materia di sicurezza informatica alla luce della proposta della SEC, fino al livello del consiglio di amministrazione, afferma Jonathan Day, CEO di Tapestry Networks, società che fornisce consulenza ai consigli di amministrazione delle aziende in materia di strategia e governance. «Stanno assumendo dirigenti che vantano una profonda esperienza in questo settore», afferma
.
In che misura è opportuno rivelare la propria strategia?
Un altro elemento delle norme proposte è una disposizione che impone ai consigli di amministrazione di rendere pubbliche periodicamente le politiche e le procedure aziendali relative a , all’identificazione e , alla gestione dei rischi legati alla sicurezza informatica, nonché al ruolo del management nell’attuazione di tali misure. Secondo alcuni esperti, tale disposizione potrebbe costringere le aziende a divulgare troppe informazioni.
«. Probabilmente i consigli di amministrazione dovranno occuparsi delle questioni relative alla sicurezza informatica con maggiore attenzione che mai.»Justin Greis, partner, McKinsey & Company
«Una valutazione eccessiva dei rischi legati alla proprietà intellettuale potrebbe consentire ai concorrenti di ottenere un potenziale vantaggio», afferma Greis di McKinsey. «Una divulgazione eccessiva di informazioni relative alla difesa informatica potrebbe offrire agli hacker l’opportunità di sfruttare le informazioni rese pubbliche per compromettere le reti aziendali dell’
».
Secondo Day of Tapestry Networks, tali disposizioni attribuiscono inoltre alcuni dei compiti tradizionali del CISO ai membri del consiglio di amministrazione. «Non si tratta più semplicemente di dire: “Seguiremo la vostra strategia”, mentre il CISO ha il compito di chiudere a chiave le porte», afferma.
Il rischio legato alla sicurezza informatica è simile al rischio finanziario
Per Kelly di Halo Privacy, gli adeguamenti che le aziende e i consigli di amministrazione dovrebbero apportare per adeguarsi a queste nuove norme non sono dissimili dai grandi cambiamenti resi necessari dalla Grande Recessione del 2008 , quando egli ricopriva l’incarico di “ CEO ” presso la società di ricerca di personale dirigente Heidrick & Struggles.
«Le aziende della Fortune 100 , come Citigroup e GM, stanno investendo massicciamente in competenze in materia di sicurezza informatica alla luce della proposta della SEC, fino al livello del consiglio di amministrazione.»
All’epoca, la SEC ha inasprito i requisiti relativi alla divulgazione dei rischi finanziari e ha attribuito la responsabilità in merito al comitato di revisione contabile del consiglio di amministrazione. La SEC ha imposto l’obbligo di fornire informazioni tempestive, con la severa minaccia di provvedimenti coercitivi nei confronti delle società che non avessero adempiuto a tale obbligo.
Considerata la portata dell’attuale crisi della sicurezza informatica, Kelly si aspettava che la SEC richiedesse l’istituzione di un comitato del consiglio di amministrazione dedicato alla questione, con riunioni e incontri periodici. Si chiede inoltre se la SEC debba Enforce introdurre limiti di durata del mandato per i membri del consiglio di amministrazione, al fine di garantire che le competenze in materia di sicurezza informatica rimangano sempre aggiornate.
Greis, di McKinsey, afferma che alcune aziende stanno già valutando l’idea di istituire un sottocomitato dedicato interamente alla sicurezza informatica. «Può essere composto da amministratori indipendenti oppure da esperti, ma agisce per conto del consiglio di amministrazione», afferma. In questo caso, i CISO dell’ e fornirebbero aggiornamenti alla commissione o al consiglio di amministrazione nel suo complesso.
Per migliorare il livello di preparazione, gli esperti di sicurezza informatica e i membri dei consigli di amministrazione raccomandano inoltre di organizzare sessioni dettagliate di pianificazione degli scenari ed esercitazioni teoriche, nonché riunioni del consiglio di amministrazione fuori sede con esperti di sicurezza informatica, al fine di sperimentare in prima persona ciò che potrebbe accadere nel caso di una violazione della sicurezza informatica.
Sebbene le aziende possano opporre resistenza al rafforzamento dei controlli da parte della SEC, riconoscono che le norme proposte sono il risultato di una mancanza di pianificazione e di intervento. «Senza un piano, le aziende stanno mettendo a rischio moltissime persone», afferma Kelly.
Cleaveland, dell’Università della California a Berkeley, afferma che molte organizzazioni stanno già dando priorità alla pianificazione e alle strategie in materia di sicurezza informatica. «I consigli di amministrazione più sofisticati e maturi non si stanno preparando a questa normativa con un approccio incentrato sulla conformità», afferma. «Hanno già intrapreso questo percorso.»
