Quando Theresa Payton, responsabile della sicurezza, ha assunto il suo precedente incarico nel campo della sicurezza informatica, una delle prime cose che ha chiesto è stata la frequenza con cui l’organizzazione effettuava la routine di gestione delle patch relative al programma “ ”. La risposta non era quella che avrebbe voluto sentire. Applicavano gli aggiornamenti software solo una volta al mese e seguivano una politica di “zero tempi di inattività”.
«Mi si è stretto lo stomaco», ha ricordato a proposito di quel momento. Il team stava agendo secondo quanto riteneva giusto e l’organizzazione era soddisfatta del processo, ma ciò semplicemente non era sufficiente a garantire un livello adeguato di sicurezza delle operazioni. «Cosa farò qui?» si chiese. «Mi mostri gli aggiornamenti in sospeso», chiese. Il carico di lavoro arretrato era notevole.
In definitiva, la signora Payton — la prima donna a ricoprire la carica di responsabile informatico della Casa Bianca, che ha supervisionato le operazioni informatiche per il presidente e il suo staff dal 2006 ° al 2008—sat ° mandato — si è rivolta al proprio direttore per chiedergli se l’organizzazione fosse aperta ad altre possibilità. Il modo in cui avrebbero deciso di procedere avrebbe avuto un impatto profondo sul successo della sua leadership nel campo della sicurezza informatica.
Per un responsabile della sicurezza informatica (CISO) appena nominato, i primi 90 giorni rappresentano un periodo caratterizzato sia da rischi che da opportunità. Se i CISO agiscono con troppa fretta o esercitano una pressione eccessiva, rischiano di alienarsi l’organizzazione. Se agiscono con troppa lentezza, i nuovi CISO rischiano di sprecare lo slancio iniziale e il periodo di grazia. Alcuni CISO di grande esperienza raccontano a Focal Point come hanno affrontato i primi mesi di lavoro. Ecco come affrontare il Suo nuovo ruolo.
Si prepari mentalmente prima di ricevere l’offerta di lavoro
Vi consigliamo di iniziare a farvi un’idea chiara dell’organizzazione prima ancora di ottenere il posto di lavoro, raccomanda David Elfering, direttore senior della sicurezza informatica presso ReSource Pro, un fornitore di soluzioni assicurative. Elfering consiglia ai candidati di comprendere il modello di business specifico dell’organizzazione e in che modo i suoi risultati aziendali dipendano dalla sicurezza informatica.
Il candidato alla carica di CISO vorrà inoltre comprendere la gerarchia organizzativa: a chi fa riferimento il CISO, quali sono i dirigenti chiave, qual è la situazione finanziaria complessiva dell’organizzazione e qual è il livello di turnover del personale. Infine: qual è il budget complessivo destinato all’IT e quale percentuale di tale budget è dedicata alla sicurezza?
«Le organizzazioni si aspettano che entriate in azienda con una visione quasi onnisciente e che siate subito operativi», afferma Elfering. «È importante essere il più preparati possibile.»
Mettetevi all’opera
La prima settimana di lavoro rappresenta uno dei momenti più critici. «Questa è la settimana dedicata all’azione sul campo», afferma Payton, che ora ricopre il ruolo di “ CEO ” presso la società di consulenza in materia di sicurezza Fortalice Solutions. «E io lo chiamo il Suo “tour di valutazione dell’ascolto”», aggiunge. Le fasi iniziali rappresentano il momento in cui è necessario concentrarsi completamente sulla raccolta di informazioni, prestando attenzione a tutti i dettagli fondamentali di cui un CISO avrà bisogno in futuro riguardo al programma. «È necessario incontrare tutti i dirigenti aziendali e prestare ascolto alle loro esigenze», aggiunge Payton. «Se non sostenete i dirigenti aziendali, allora non state svolgendo il vostro lavoro e non avrete successo.»
«Se non sostenete i dirigenti aziendali, allora non state svolgendo il vostro lavoro e non avrete successo.”»Theresa Payton, responsabile del reparto " CEO " presso la società di consulenza in materia di sicurezza Fortalice Solutions
Desiderate incontrare i responsabili delle risorse umane, dell’ufficio legale, della finanza, delle operazioni e, infine, l’ CEOe. Payton raccomanda di chiedere ai dirigenti quali aspetti ritengono funzionino bene. Si prepari a una lista breve, avverte. Chieda quindi loro cosa, a loro avviso, non funzioni bene. Si prepari a un elenco più lungo.
Questo è anche il momento giusto per instaurare un rapporto di fiducia. Martin Fisher, responsabile della sicurezza informatica (CISO) presso il Northside Hospital di Atlanta, consiglia di dire qualcosa del tipo: «Vorrei conoscere la sua opinione e resterò qui ad ascoltarla».
Se lo farete nei primi 90 giorni, conquisterete la fiducia del vostro team e contribuirete anche a risolvere alcune difficoltà che si presenteranno lungo il percorso. Nel frattempo, afferma, «state valutando il vostro programma». State valutando il vostro personale. «E state valutando il vostro stack tecnologico.»
Scoprite la cultura organizzativa
Il guru della leadership Peter Drucker ha affermato in una famosa citazione: «La cultura si mangia la strategia a pranzo». Fisher lo ha spiegato in questo modo: «Ciò significa che se si propone un’ottima strategia di sicurezza che però non è in linea con la cultura dell’organizzazione, essa è destinata a fallire».
Quando i CISO parlano di cultura, sono tre i rapporti che assumono particolare rilevanza: il rapporto gerarchico con i dirigenti e i responsabili aziendali, il rapporto con i dipendenti e gli utenti finali e il rapporto con il personale addetto alla sicurezza. «Stringete alleanze in questo periodo, poiché i risultati aziendali sono vantaggiosi per entrambe le parti, come ad esempio garantire in modo sicuro il raggiungimento degli obiettivi aziendali», afferma Elfering. «Ma ciò deve avvenire in modo coerente con la cultura dell’organizzazione.»
È fondamentale che i nuovi CISO apprendano in che modo l’organizzazione prende le decisioni e rispettino i processi già in atto. «La nostra organizzazione è decisamente gerarchica: è così e basta», afferma Fisher. «E se non viene rispettato in qualità di leader e se non si prende cura delle persone che fanno capo a lei, le cose finiranno male per lei.»
Rafforzare la credibilità a tutti i livelli della gerarchia
La prima regola per conquistare credibilità, afferma Fisher, è quella di «non comportarsi da idiota». In realtà, le persone si aspettano che un nuovo capo sia una persona sgradevole. «Questo Le offre un’ottima opportunità per dimostrare che non è un idiota, che ha ascoltato il team e i dirigenti e che è pronto a contribuire al loro successo», afferma.
Supponiamo che il nuovo CISO segua il consiglio espresso in precedenza di ascoltare e valutare il programma esistente, il team esistente e lo stack tecnologico attuale. In tal caso, è giunto il momento di conquistare la fiducia dei dirigenti.
«Se si verifica un malfunzionamento, potete rivolgervi al team e risolverlo.”David Elfering, direttore senior della sicurezza informatica presso ReSource Pro
Elfering raccomanda di capire come il team di sicurezza viene percepito dalle persone. In passato, il team di sicurezza li ha mai bloccati quando hanno cercato di fare cose interessanti? In che modo il nuovo CISO può ristabilire tale rapporto?
«Se si verifica un malfunzionamento, potete rivolgervi al team e risolverlo», afferma. «È possibile acquisire credibilità dimostrando al contempo il proprio valore per l’azienda e la capacità di generare valore nel più breve tempo possibile.»
Oltre a conquistare la fiducia dei dirigenti, è fondamentale instaurare il miglior rapporto possibile con il proprio team. "Qualcuno commetterà degli errori in quei primi giorni", afferma Fisher. I nuovi CISO hanno l’opportunità di dimostrare di saper reagire in modo equo agli errori commessi.
Iniziate ad apportare delle modifiche
Verso la fine dei primi 90 giorni, è giunto il momento di assicurarsi che tutti siano allineati su ciò che occorre fare per realizzare il nuovo programma di sicurezza. I CISO hanno conquistato la fiducia del proprio team. Le persone si sono sentite ascoltate. Hanno avuto la sensazione di essere parte integrante del processo di creazione del nuovo programma.
«È giunto il momento di iniziare a prendere le decisioni che i nuovi CISO devono adottare», afferma Fisher. «E ne sarà responsabile: nel bene, nel male o in ogni caso.»
“È una decisione che sta prendendo Lei. Non si tratta di una discussione.”Martin Fisher, responsabile della sicurezza informatica (CISO) presso il Northside Hospital di Atlanta
Quando si apportano modifiche, informi tutti su come tali modifiche contribuiranno a ridurre i rischi, a migliorare la vita lavorativa dei dipendenti e a potenziare l’azienda. È in questo momento che si dice: «Questi sono i cambiamenti di cui vorrei parlare». “Parliamo di come li metteremo in pratica.”
«È una decisione che sta prendendo lei», afferma Fisher. «Non è una discussione.»
Valutate il vostro successo rispetto a standard di riferimento
I dirigenti da noi intervistati hanno affermato che il successo in questa fase dipende dalla capacità del CISO di aver costruito una solida base di collaborazione con il team di sicurezza e la dirigenza aziendale. Il nuovo CISO vorrà valutare in che misura il team di sicurezza gli fornisca un supporto adeguato e quanta credibilità abbia acquisito presso i dirigenti. Il raggiungimento degli obiettivi di successo dipende meno dai bit o dai byte della tecnologia di sicurezza che hanno implementato e molto di più dal fatto che stiano generando i giusti risultati aziendali.
In che modo i nuovi CISO possono sapere di aver raggiunto il successo? Scegliete un mentore. «Sceglierei una persona appartenente all’unità aziendale che, secondo lei, si è dimostrata il suo più grande sostenitore durante il processo di selezione», afferma Payton. “Chiedetevi che cosa significhi per voi il successo. Dica loro che desidera ottenere un successo straordinario in questo ruolo all’interno di questa azienda e chieda loro di fungere da consulenti di fiducia che le indichino i suoi punti di forza e le sue lacune.
In che modo Payton è riuscita infine a risolvere il problema relativo alla gestione delle patch? Ha trascorso i primi mesi ascoltando il team e la dirigenza per comprendere il più possibile in merito al loro inventario IT, alle soluzioni di gestione delle risorse, ai processi e alla cultura del team.
Comprendendo i loro cicli di lavoro e lo stack tecnologico, Payton è riuscito a individuare soluzioni per accelerare i cicli di applicazione delle patch senza interferire con l’attività dell’organizzazione. «Abbiamo individuato gli orari di maggiore affluenza della giornata e della settimana per i vari gruppi e abbiamo potuto pianificare i nostri aggiornamenti in base a tali orari», spiega. «Se fossi entrato e avessi semplicemente dichiarato che avremmo applicato patch ogni giorno, non avrebbe mai funzionato.»
Nuovi CISO, prendete bene nota di questi saggi consigli. Vi aiuteranno a dare il meglio di voi stessi durante i primi 90 giorni.
