Come tutti gli altri dirigenti aziendali, anche i responsabili della sicurezza informatica (CISO) potrebbero ritrovarsi in fila alla ricerca di un nuovo impiego qualora, sotto la loro supervisione, qualcosa andasse gravemente storto.
Ma cosa accadrebbe se i CISO semplicemente non dimostrassero un valore aziendale sufficiente?
Ora che si profila una possibile recessione e le aziende stanno tagliando i costi, dimostrare che i programmi di sicurezza informatica sono vantaggiosi per l’azienda è diventato fondamentale per salvaguardare i bilanci e i posti di lavoro.
Ecco perché l’analisi comparativa delle prestazioni sta diventando un requisito imprescindibile per i responsabili della sicurezza informatica di tutto il mondo. Infatti, la società di analisi di settore Gartner prevede che entro il 2026 la metà di tutti i dirigenti di livello C avrà requisiti di rendimento legati al rischio integrati nei propri contratti di lavoro. Tali incentivi tendono a stimolare la concentrazione.
Aumenta la pressione per l’introduzione di un sistema di benchmarking in materia di sicurezza informatica
Poiché i dirigenti si trovano sempre più spesso a dover fare i conti con indicatori di performance basati sul rischio, i CISO saranno quasi certamente sottoposti a una pressione crescente per quantificare il successo dei propri programmi nel corso di riunioni e relazioni. Ciò significa uscire dalla propria zona di comfort incentrata sulla tecnologia e dare maggiore priorità a questioni aziendali quali il miglioramento dell’innovazione, i risultati degli investimenti e la maturità in materia di sicurezza informatica.
«I CISO hanno difficoltà a dialogare con i vertici aziendali perché ciò che questi ultimi vogliono sapere è: “Sono al sicuro?”» «Sono al sicuro?»” afferma Frank Dickson, vicepresidente del gruppo responsabile della sicurezza e della fiducia presso la società di analisi di mercato IDC. «Ciò che i CISO tendono a fare, tuttavia, è riferire una serie di dati relativi alle attività che non rispondono a tali domande, il che infastidisce gli amministratori delegati.»
Secondo Dickson, ciò su cui i CISO devono porre l’accento è il modo in cui le loro attività contribuiranno a ridurre il rischio. A tal fine, i parametri di riferimento sulle prestazioni consentono ai dirigenti di monitorare i progressi compiuti nella riduzione dei rischi e di dimostrare in che misura i propri programmi siano all’altezza degli obiettivi interni e di quelli delle altre organizzazioni del settore. Inoltre, consentono ai CISO di acquisire e presentare dati rilevanti per l’azienda.
«Oggigiorno i consigli di amministrazione e i team dirigenziali sono molto più coinvolti nella sicurezza informatica», afferma Lou Celi, CEO di ThoughtLab Group, una società di ricerca globale. «Vogliono assicurarsi di non trovarsi in una situazione difficile.» «Non vogliono fare meno degli altri.»
È giunto il momento di scegliere uno standard
Numerosi quadri di riferimento in materia di sicurezza informatica, elaborati da settori industriali e associazioni, possono risultare utili ai fini del benchmarking, tra cui: il quadro di riferimento per la sicurezza informatica (Cybersecurity Framework) del National Institute of Standards and Technology (NIST) , la Certificazione del Modello di Maturità della Sicurezza Informatica (CMMC) del Dipartimento della Difesa , la serie di norme 27000 dell’Organizzazione Internazionale per la Standardizzazione (ISO ) (le norme ISO 27001 e 27002 sono comunemente utilizzate nel campo della sicurezza informatica) e l’Information Security Forum (ISF) Standard di buone pratiche per la sicurezza delle informazioni. La maggior parte delle organizzazioni e degli strumenti utilizza questo tipo di framework.
«I consigli di amministrazione e i team dirigenziali… vogliono assicurarsi di non trovarsi in una situazione di svantaggio. Non vogliono fare meno degli altri.”Lou Celi, CEO, ThoughtLab Group
Dickson afferma che vale la pena esaminare tutti questi modelli, ma sottolinea che la loro applicabilità e utilità possono variare a seconda del settore. Egli sostiene che sia una buona idea informarsi e metterli a confronto, per poi «sceglierne uno che faccia al caso vostro».
Se attuati correttamente, i programmi allineati agli standard di riferimento in materia di sicurezza informatica possono ridurre la probabilità di violazioni della rete. Infatti, un recente sondaggio condotto da ThoughtLab su 1.200 grandi aziende ha rilevato che quelle che hanno raggiunto un livello più avanzato nell’applicazione del Cybersecurity Framework dell’ NIST ottengono risultati migliori rispetto alle altre su indicatori chiave quali il tempo necessario per l’ Detect e di una violazione (119 giorni per le organizzazioni più avanzate contro i 132 giorni delle altre). Secondo il rapporto, le organizzazioni leader hanno registrato anche un numero inferiore di violazioni gravi su base annuale.
Questi sono proprio i dati che i responsabili delle statistiche e i vertici aziendali amano sentire. Tali certificazioni indicano che un’organizzazione è esposta a un rischio minore di attacchi, il che contribuisce a comunicare al pubblico che essa sta proteggendo non solo i propri dati, ma anche quelli dei propri clienti e partner.
Poiché il rischio di subire attacchi informatici gravi è minore, un’azienda risulta anche molto più agile e in grado di innovare, il che può determinare un vantaggio competitivo.
«Se avete la vostra organizzazione ben gestita e siete in grado di dimostrare una certa agilità, potrete dimostrare ai dirigenti che state promuovendo una mentalità orientata allo “shift-left”», afferma Paul Watts, illustre analista dell’ISF. “È proprio qui che assumete un approccio proattivo in materia di sicurezza all’interno della vostra organizzazione, a tutela delle persone, dei processi e della tecnologia.” Significa che potete cambiare rotta e agire in modo rapido e innovativo. «Lei possiede la flessibilità necessaria per provare cose nuove.»
Gli approcci possono variare
Tuttavia, raccogliere dati pertinenti che dimostrino in che misura un team di sicurezza informatica sia conforme agli standard chiave può rivelarsi un’operazione laboriosa e complessa. Non tutte le organizzazioni lo fanno particolarmente bene.
Molti, ad esempio, continuano ad adottare un approccio “fai da te”. Selezionano uno standard, incaricano il personale di raccogliere i dati relativi alle prestazioni in tutta l’organizzazione e inseriscono tali dati in fogli di calcolo. Il problema è che la raccolta dei dati può richiedere molto tempo e, una volta inseriti i risultati definitivi, questi risultano spesso già obsoleti. Di conseguenza, le relazioni presentate al consiglio di amministrazione o ai vertici aziendali potrebbero non risultare altrettanto utili ai fini del processo decisionale aziendale.
Un altro approccio consiste nell’affidare a un consulente l’incarico di effettuare un’analisi comparativa in materia di sicurezza informatica. Ciò garantisce risorse e competenze immediate di cui il personale del CISO potrebbe non disporre. E, con ogni probabilità, questi esperti esterni potrebbero avere una visione più aggiornata del panorama in continua evoluzione dei quadri di riferimento per la sicurezza informatica rispetto al personale interno. Possono fornire alle aziende un’idea generale del proprio livello di sicurezza, ma, proprio come l’approccio “fai da te”, si tratta di valutazioni che rappresentano un’istantanea in un determinato momento e che potrebbero non fornire il contesto più pertinente per i dirigenti di alto livello.
Un terzo approccio consiste nell’investire in strumenti di benchmarking delle prestazioni di terze parti in grado di analizzare l’intera organizzazione, raccogliere dati rilevanti su larga scala e fornire report in tempo reale. Gli strumenti in tempo reale garantiscono che i risultati non siano obsoleti al momento della consegna.
Sono disponibili numerosi strumenti di benchmarking. Alcuni fornitori, ad esempio, hanno lanciato strumenti integrati nei propri prodotti o venduti in abbinamento a essi. Gli strumenti più efficaci consentono alle organizzazioni di confrontare in tempo reale i propri indicatori relativi all’ e e ai rischi informatici con quelli delle aziende del settore e di risolvere immediatamente eventuali problemi dalla stessa console. Associazioni quali l’ISF mettono inoltre a disposizione dei propri membri strumenti gratuiti di benchmarking in materia di sicurezza informatica , mentre gruppi come la Security Industry Association (SIA) offrono utili studi di benchmarking. Gartner intende inoltre mettere a disposizione il proprio strumento di benchmarking “ ” all’indirizzo.
Allineamento degli indicatori
In sintesi: le organizzazioni dispongono di numerose modalità per effettuare un’analisi comparativa delle prestazioni. Può risultare utile combinare diversi approcci. In effetti, è consigliabile, poiché le informazioni relative ai benchmark si basano talvolta su campioni di dimensioni ridotte e non rappresentativi. La combinazione di dati interni ed esterni può quindi fornire una visione più ampia e equilibrata dei progressi compiuti da un’organizzazione rispetto agli indicatori di riferimento.
“Se avete la vostra organizzazione ben strutturata e siete in grado di dimostrare un certo grado di agilità, potrete dimostrare ai dirigenti che state promuovendo una mentalità orientata al “shift-left”.”Paul Watts, illustre analista dell’Information Security Forum (ISF)
Per garantire che gli indicatori siano in linea con le esigenze aziendali, i CISO dovrebbero intrattenere un dialogo costante con i membri del consiglio di amministrazione e i dirigenti di alto livello al fine di comprendere l’evoluzione delle priorità. Watts, dell’ISF, afferma che tali colloqui dovrebbero valutare il livello di rischio che i dirigenti sono disposti ad accettare nel corso del tempo.
«[Le aziende] hanno una propensione al rischio diversa», afferma. «Le startup alle prime armi sono generalmente disposte ad assumersi un rischio leggermente maggiore, poiché stanno cercando di crescere e sono pronte ad affrontare eventuali ostacoli lungo il percorso.» “Le organizzazioni di maggiori dimensioni, in particolare quelle soggette a una rigorosa regolamentazione o tenute a rendere conto agli investitori, tendono ad essere più avverse al rischio.”
Watts aggiunge che i CISO dovrebbero collaborare con i vertici aziendali per stabilire quale livello di maturità in materia di sicurezza informatica un’organizzazione debba perseguire e concordare le strategie necessarie per trasformare tale posizione in un vantaggio competitivo.
Brogan Ingstad, vicepresidente del settore consulenza sui rischi presso Teneo, una società di consulenza globale specializzata in " CEO ", afferma che i CISO dovrebbero inoltre assicurarsi di valutare indicatori effettivi in materia di sicurezza informatica. Alcuni dirigenti, afferma, ritengono che le questioni operative, quali l’organico e il bilancio, costituiscano indicatori di sicurezza informatica. Sebbene ciò sia importante dal punto di vista gestionale, i CISO dovrebbero concentrarsi maggiormente sulla dimostrazione dei progressi compiuti dall’organizzazione rispetto a parametri di riferimento o obiettivi specifici in materia di sicurezza, afferma.
È inoltre importante evitare di perdere tempo con una quantità eccessiva di metriche, afferma Dickson di IDC. Spesso i CISO ritengono di dover monitorare 10 o 20 categorie di indicatori, quando invece farebbero meglio a concentrarsi solo su alcune di esse. Dickson ne raccomanda tre: efficienza in materia di sicurezza, rischio e valore aziendale.
«Nel campo della sicurezza, molto spesso ci lasciamo prendere dalla ricerca della perfezione», afferma. «La perfezione è nemica del bene, e quando si tratta di indicatori va bene accontentarsi di un risultato sufficientemente buono.»
