Considerati i danni finanziari, legali e reputazionali che un’azienda può subire a seguito di un attacco informatico o di una violazione dei dati, un numero crescente di consigli di amministrazione sta integrando competenze in materia di sicurezza informatica al proprio interno. Tuttavia, a seconda del settore, molti consigli di amministrazione delle aziende non sono così informati sulle questioni relative alla sicurezza informatica come dovrebbero. Altri, pur essendo stati informati, stanno ancora cercando di definire i propri ruoli in materia di gestione dei rischi.
Da un’indagine condotta lo scorso anno dall’ e del MIT Sloan è emerso che solo il 68% dei consigli di amministrazione discute regolarmente di sicurezza informatica, mentre il 9% continua a non affrontarne affatto l’argomento. Inoltre, sebbene la metà degli intervistati abbia affermato che si fosse discusso del ruolo del consiglio di amministrazione in materia di sicurezza informatica, non è stato raggiunto alcun consenso su quale dovesse essere tale ruolo.
Cosa possono fare, quindi, i CISO e i membri del C-suite per porre fine a questi cicli di discussioni e ritardi?
Questo tema sarà oggetto di discussione nell’ambito dell’evento “Do Better: Board-Level Accountability in Cybersecurity”, una tavola rotonda in programma alla RSA Conference 2023, moderata da Chris Hallenbeck, CISO di Tanium , alla quale parteciperanno Greg Silberman, associate general counsel di Zoom Video Communications; Brian Stafford, CEO di Diligent Corp.; e Maggie Wilderotter, CEO di Grand Reserve Inn. (The panel takes place Monday, 24 aprile, at 11:30 ET / 08:30 PT at RSAC 2023, which runs April 24-27 at the Moscone Center in San Francisco.)
La posta in gioco per quanto riguarda la responsabilità del consiglio di amministrazione non potrebbe essere più alta. Tra il forte aumento degli incidenti legati al ransomware , le massicce violazioni dei dati e un enorme picco degli attacchi di tipo “Business Email Compromise” (BEC) , il 2022 è stato senza dubbio uno degli anni peggiori mai registrati in materia di sicurezza informatica. L’FBI ha registrato oltre 800.000 denunce relative a reati informatici nel 2022 , con perdite totali superiori a 10 miliardi di dollari rispetto ai 6,9 miliardi di dollari dell’anno precedente. Gli hacker hanno inoltre compromesso i dati e i fondi di milioni di conti privati, portando il 57% delle organizzazioni ad aumentare i propri budget destinati alla sicurezza informatica quest’anno. Tutto ciò ha indotto la Securities and Exchange Commission (SEC) a proporre, lo scorso anno, una serie di nuove norme che avranno un impatto significativo sul modo in cui le società statunitensi — e i loro consigli di amministrazione — conducono la propria attività.
, di Focal Point, ha intervistato Hallenbeck per conoscere il suo punto di vista su come i consigli di amministrazione si stiano adeguando alle minacce informatiche e su ciò che i CISO devono sapere per collaborare più strettamente con essi.
In che modo è cambiata nel corso degli anni la responsabilità del consiglio di amministrazione in materia di sicurezza informatica?
Per molto tempo, i consigli di amministrazione hanno considerato la sicurezza informatica come un centro di costo, un requisito da spuntare o un lusso operativo di cui si occupavano al meglio i professionisti dell’IT. Non avevano alcuna voglia di essere coinvolti direttamente in tali questioni. Tuttavia, quando le violazioni hanno iniziato a comportare problemi di natura finanziaria ,, , legale e , nonché di immagine , i membri del consiglio di amministrazione hanno iniziato a rivolgersi ai CISO affinché li tenessero aggiornati sulle questioni che incidevano sull’attività aziendale; ciò ha comportato che i CISO dovessero imparare a esprimersi in termini aziendali anziché tecnici.
”Per molto tempo, i consigli di amministrazione hanno considerato la sicurezza informatica come un centro di costo, un requisito da spuntare o un lusso operativo di cui si occupavano al meglio i professionisti dell’IT. Non avevano alcuna intenzione di essere coinvolti direttamente.”Chris Hallenbeck, CISO, Tanium
Ora che il panorama delle minacce è diventato molto più complesso e gli endpoint sono più vulnerabili che mai a causa del passaggio verso un modello di lavoro remoto e ibrido , stiamo assistendo a una nuova tendenza: cresce infatti l’aspettativa che uno o più membri del consiglio di amministrazione possiedano competenze specifiche, o almeno una conoscenza di base, in materia di sicurezza informatica. Un numero crescente di organizzazioni avrà un membro del comitato di revisione, se non l’intero comitato, che dedicherà parte del proprio tempo alla sicurezza informatica. È un’altra cosa.
Questo fenomeno si verifica in tutti i settori?
Ritengo che questa tendenza si stia diffondendo ovunque, ma il ritmo con cui i consigli di amministrazione si stanno concentrando sulla gestione del rischio informatico varia a seconda del settore.
Se, ad esempio, lavorate nel settore sanitario , gran parte del vostro lavoro è gestito da dati e sistemi elettronici. Se nel vostro consiglio di amministrazione non vi è qualcuno in grado di comprendere le implicazioni di tale questione in materia di sicurezza informatica, ciò potrebbe essere considerato un grave fallimento. Lo stesso vale per i servizi finanziari , e altri settori poco inclini al rischio. Esistono altri settori in cui non vi è un impulso altrettanto forte alla sensibilizzazione in materia di sicurezza informatica a livello di consiglio di amministrazione, poiché non sono stati colpiti in modo così grave da violazioni dei dati e non sono soggetti a una regolamentazione particolarmente rigida.
Quindi, sì, i consigli di amministrazione di ogni settore stanno seguendo questa strada, ma a ritmi diversi.
Alla luce di questa nuova realtà, in che modo i CISO dovrebbero comunicare con i consigli di amministrazione?
Devono impostare le discussioni in modo da incentrarle sul rischio, poiché è proprio questo l’aspetto che sta a cuore ai membri del consiglio di amministrazione. In che modo questo incidente di sicurezza informatica o questo caso di quasi incidente rappresenta un rischio per l’azienda? Questo è il tipo di linguaggio che i membri del consiglio di amministrazione e i dirigenti di alto livello comprendono.
Va bene trovare un compromesso in cui si fondono aspetti commerciali e tecnici, purché i loro occhi non inizino a perdere interesse. E voi non volete entrare troppo nei dettagli. Allo stesso tempo, però, non dovreste trascurare di informarli in merito alle questioni che avete risolto e che potrebbero avere una rilevanza maggiore nel lungo termine.
Troppo spesso, molti CISO svolgono il proprio ruolo in modo prevalentemente operativo. Individuano un problema, lo risolvono e passano alla questione successiva. Dovrebbero invece informare il consiglio di amministrazione in merito ad alcune di queste questioni e affermare: «Abbiamo recentemente risolto questo problema». «All’epoca non era necessario segnalarle la questione, ma è opportuno che ne sia a conoscenza poiché era indicativa di una tendenza che potrebbe ripresentarsi e influire sull’attività in un momento successivo.»
[Leggi anche: In che modo i CISO possono contrastare il burnout e prolungare la propria carriera]
Per quanto riguarda la sicurezza informatica, non è necessario entrare nei minimi dettagli per fornire una presentazione incisiva al consiglio di amministrazione. Dovremmo tuttavia fornire una panoramica sufficientemente completa delle questioni che dobbiamo affrontare, unitamente a raccomandazioni specifiche su come affrontarle in futuro.
Qual è l’errore più grave che commettono i CISO quando comunicano con i membri del consiglio di amministrazione?
Essere troppo prolissi. Volete mettere in evidenza i punti salienti. Esponga i dati o i punti chiave che desidera nel modo più conciso possibile. Allora lasciate che quelle persone intelligenti facciano le domande che desiderano porre. Ascoltate attentamente le loro domande per capire cosa vogliono davvero sapere. Prestate attenzione ai loro commenti, poiché vi consentiranno di capire quali sono i loro interessi e quali sono le loro preoccupazioni, in modo da poter adattare la vostra presentazione di conseguenza la prossima volta che li incontrerete.
“Osservate se il loro sguardo diventa assente... e prestate attenzione al loro linguaggio del corpo per capire se ciò che state proponendo è proprio ciò che stanno cercando. In caso contrario, proceda ad adeguare la strategia al volo.”Hallenbeck
In realtà, il consiglio più importante che potrei darvi è quello di osservare se, in qualsiasi momento, il loro sguardo diventa assente e di prestare attenzione al loro linguaggio del corpo per capire se ciò che state comunicando corrisponde a ciò che stanno cercando. In caso contrario, si proceda ad adeguare la strategia al momento.
Ritiene che la tendenza verso la responsabilità dei consigli di amministrazione — e, più in generale, verso la loro consapevolezza in materia di sicurezza informatica — sia destinata a proseguire?
Certamente. Anche in questo caso, dipenderà dal settore. È possibile che, a un certo punto, le autorità di regolamentazione possano richiedere ad alcune società di includere nei propri comitati di revisione contabile una figura responsabile della sicurezza informatica.
Assicurazione contro i rischi informatici : anche le aziende potrebbero, in futuro, dover soddisfare tale requisito per poter beneficiare di determinate tariffe assicurative. Detto questo, ritengo che i consigli di amministrazione dovranno attraversare un processo di maturazione che li porti ad abbandonare l’idea che gli incidenti di sicurezza informatica non possano e non debbano verificarsi proprio a loro. Devono rendersi conto che gli incidenti di sicurezza informatica sono, purtroppo, una realtà inevitabile, indipendentemente da quanto si investa per evitarli.
La discussione dovrebbe invece vertere su come rendere tali episodi meno frequenti o meno gravi. Per affrontare le minacce alla sicurezza informatica in modo pratico ed efficace, è necessario trovare un equilibrio tra rischio e accettazione.
