Quando è scoppiata la pandemia di COVID-19, Kurt John, responsabile della sicurezza informatica di Siemens USA, era pronto.
Già ben prima della pandemia, Siemens stava riflettendo sul futuro del lavoro. Tale futuro prevedeva il passaggio a una forza lavoro che operasse da remoto, ampiamente distribuita e protetta da un sistema di gestione delle identità e delle autorizzazioni ( ). Pertanto, quando il mondo ha iniziato ad adottare misure di quarantena, afferma John, questa transizione si è rivelata meno traumatica e di gran lunga più produttiva rispetto a quanto accaduto per molte altre aziende delle dimensioni di Siemens.
«Nessuno sapeva che il COVID stesse per arrivare, quindi non posso affermare di aver avuto una particolare capacità di previsione», afferma John. «Ma il fatto che stessimo già guardando al futuro, allineandoci alle priorità aziendali e mettendo in atto solidi meccanismi di sicurezza ci ha posto in una posizione di gran lunga migliore quando il mondo è cambiato. “Siamo stati fortunati.”
Come altre aziende che hanno subito un’e impennata degli attacchi informatici durante la pandemia, anche Siemens ha registrato lo scorso anno un aumento di circa il 30% dei tentativi di phishing . Tuttavia, i suoi oltre 385.000 dipendenti non hanno subito gravi ripercussioni grazie alla preparazione del reparto di sicurezza informatica. Infatti, il conglomerato globale ha registrato una diminuzione dei sistemi compromessi nel 2020.
A quanto pare, lo stesso si è verificato anche per molte altre imprese. In effetti, l’impennata degli attacchi di phishing e ransomware non ha comportato direttamente un numero di violazioni informatiche pari a quello che ci si sarebbe potuto aspettare. Questo perché i responsabili della sicurezza informatica (CISO) hanno svolto bene il proprio lavoro.
Il risultato: i CISO, i cui team erano stati considerati dagli altri dirigenti di alto livello come semplici “centri di costo”, si sono ritrovati seduti al tavolo virtuale proprio di fronte a quegli stessi dirigenti, apportando valore e influenzando la strategia aziendale.
Infatti, secondo quanto riportato su , il 81% dei CISO intervistati all’inizio di quest’anno afferma di riferire ora direttamente al consiglio di amministrazione, rispetto al 69% registrato prima della pandemia, secondo quanto riferito dalla società di ricerca di personale dirigente nel settore della sicurezza Hitch Partners. Secondo una recente stima di Gartner, entro il 2025, il 40% dei consigli di amministrazione disporrà di un comitato dedicato alla sicurezza informatica, in aumento rispetto all’attuale 10%, composto in parte da ex CISO. In questo contesto, l’accento dovrebbe essere posto sulla stima.
Per i CISO, tale visibilità non è affatto permanente. Infatti, mentre il mondo sta ritrovando una parvenza di normalità e i responsabili della sicurezza si riuniscono virtualmente in occasione dell’evento “ ” (RSA Conference 2021), i CISO si chiedono quali misure debbano adottare per continuare a svolgere un ruolo rilevante.
«Quando è scoppiata la pandemia, credo che sia stata la prima volta in assoluto in cui ho visto il personale addetto alla sicurezza ricevere grandi riconoscimenti dai vertici aziendali e dal resto dell’azienda», afferma Chris Hallenbeck, CISO per le Americhe presso Tanium. «Molte persone hanno finalmente iniziato a comprendere come la sicurezza informatica non solo possa garantire il funzionamento di un’azienda, ma anche accelerarne la crescita. «Per mantenere un ruolo di rilievo anche dopo la pandemia, i CISO dovranno continuare a dimostrare in che modo i loro team contribuiscono a guidare l’attività aziendale».
A tal fine, i CISO sottolineano tre strategie fondamentali.
Allinearsi agli obiettivi strategici aziendali
L’allineamento con i fattori che determinano la crescita dell’azienda non è sempre stato il punto di forza della sicurezza informatica. Come molti altri esperti di tecnologia, i CISO spesso si lasciano affascinare dalle tecnologie più recenti e all’avanguardia senza valutare appieno in che modo tali tecnologie possano influire sulla capacità di un’azienda di operare e di attrarre nuovi clienti. Microsoft, ad esempio, lanciò le prime versioni del proprio sistema operativo Windows Vista nel 2008 con così tante funzionalità di sicurezza restrittive che analisti, partner, media e clienti lo criticarono aspramente e, secondo quanto riferito, i reparti IT aziendali lo ignorarono.
Roger Kay, presidente della società di analisi Endpoint Technologies Associates, afferma che i CISO hanno una storia di investimenti eccessivi in tecnologie di sicurezza, pur animate da buone intenzioni, che apportano scarso valore all’azienda. Alla luce del nuovo slancio e dei recenti aumenti del budget destinato alla sicurezza, è fondamentale che i CISO evitino di ripetere quell’errore.
«I CISO dovranno continuare a dimostrare in che modo i loro team contribuiscono a guidare l’attività aziendale.»Chris Hallenbeck, CISO per le Americhe presso Tanium
«Quando si entra nella cerchia dei decisori e si ottiene un budget maggiore, può capitare, per natura umana, di lasciarsi un po’ prendere la mano», afferma Kay. «I CISO non possono permettersi di farlo. «Per mantenere un posto al tavolo dei dirigenti, devono stringere le redini ed evitare di spendere denaro per cose che in realtà non hanno alcuna importanza per l’azienda».
Ciò significa concentrarsi, invece, sui risultati aziendali. Tra questi figurano la riduzione dei costi operativi, il raggiungimento di una maggiore resilienza, il miglioramento dell’esperienza dei dipendenti e l’incremento dell’efficienza operativa.
[Legga anche: Come rafforzare la resilienza informatica]
Ciò può anche significare trasformare la sicurezza in un punto di forza per i prodotti o i servizi dell’azienda, accelerare i suoi sforzi di trasformazione digitale (anziché costituirne un ostacolo), garantire che l’organizzazione non incorra in problemi di conformità normativa e individuare le tendenze relative alle questioni di sicurezza che potrebbero aumentare i ricavi.
Promuovere relazioni proficue
Chris Payne, CISO del sito web immobiliare statunitense Zillow, ritiene fondamentale mantenere uno stretto rapporto con i vertici aziendali ed essere in grado di spiegare i concetti tecnici relativi alla sicurezza in modo che possano comprenderli e apprezzarli. Tuttavia, egli osserva che si tratta di un rapporto decisamente bidirezionale. I CISO devono essere in grado di illustrare chiaramente le priorità e gli orientamenti aziendali ai propri team con competenze tecniche, al fine di garantire che tutti siano sulla stessa lunghezza d’onda.
È inoltre fondamentale, afferma, che i CISO partecipino a tali discussioni sin dall’inizio e cerchino di instaurare relazioni su ampia scala, poiché la sicurezza non è di competenza di un solo reparto. Infatti, entro il 2024,il 60% dei CISO dovrà instaurare collaborazioni fondamentali con i principali dirigenti dei settori vendite, finanza e marketing, rispetto a una percentuale attuale inferiore al 20%, secondo Gartner. Tali relazioni avranno un peso maggiore rispetto a quelle in ambito tecnologico. Gartner ha rilevato che i CISO più performanti dell’ si incontrano regolarmente con un numero di stakeholder non IT tre volte superiore rispetto a quello degli stakeholder IT, secondo un sondaggio condotto dalla società all’inizio del 2020.
«I CISO devono essere in grado di spiegare a tutti che, se la sicurezza informatica viene coinvolta sin dall’inizio, essa può garantire il livello di sicurezza e la flessibilità di cui l’azienda ha bisogno per sperimentare in modo più sicuro le nuove tecnologie», afferma Payne. «Può contribuire a gettare basi solide per proteggere il patrimonio e i beni più preziosi dell’azienda, aprendo al contempo la strada alle imprese affinché possano lanciare nuovi prodotti e applicazioni con rischi minimi e a un ritmo molto più rapido.»
Date spazio al futuro
La creazione di questo tipo di base solida consente alle organizzazioni di aprire nuove possibilità, anziché dover reagire alle minacce solo a posteriori. Kurt John di Siemens afferma che, nel preparare la propria azienda al futuro del lavoro, il suo team era consapevole che ciò avrebbe comportato un numero maggiore di endpoint operativi al di fuori della rete. Pertanto, hanno elaborato un piano equilibrato e non restrittivo per la protezione dei dispositivi remoti che, alla fine, si è rivelato efficace.
«Tutto il lavoro preparatorio che abbiamo svolto si è rivelato utile, poiché quando è iniziata la quarantena disponevamo già di una procedura per l’implementazione continua dei controlli sugli endpoint, indipendentemente dalla loro ubicazione», afferma.
«La creazione di una base solida consente ai CISO di aprire nuove possibilità, anziché doversi limitare a difendersi dalle minacce a posteriori.»
John afferma che ciò che ha contraddistinto questa iniziativa dagli approcci tradizionali è stato il fatto che non fosse necessariamente incentrata sull’escludere le persone da qualcosa o sul dire “no”. Non era incentrato esclusivamente sulla tutela delle attività operative, dei ricavi o dei lavoratori. Anzi, ha anticipato le priorità aziendali e ha messo in atto misure di sicurezza per spianare la strada alla loro realizzazione.
È proprio in questo ambito che i CISO possono dimostrare il proprio vero valore, aggiunge John, collaborando con i vertici aziendali per comprendere il percorso strategico che stanno tracciando per l’azienda e procedendo di pari passo con loro.
«Esistono numerose tecnologie dirompenti — quali cloud, 5G, l’IoT e l’IA — che avranno un impatto sulle imprese», afferma. «Una delle sfide più grandi che i CISO dovranno affrontare è quella di riuscire ad allinearsi con i dirigenti su questi temi, proprio mentre essi stessi stanno ancora cercando di capire come sfruttarli al meglio.»
Anche se il percorso non è chiaramente definito, i CISO dovrebbero essere in grado di illustrare le implicazioni informatiche di tali tecnologie ai vertici aziendali, affinché questi possano prendere decisioni consapevoli.
