Ciao, sono Ale.
Oggi nella cybersecurity la competenza tecnica non basta più. Fino a una manciata di anni fa un tecnico che sapeva il fatto suo affiancato da un buon team poteva cavarsela nel ruolo di CISO.
Poi la cybersecurity è diventata un asset sempre più strategico ed è salita fino ai tavoli degli amministratori delegati come disciplina legata alla competitività e alla continuità del business.
Anche a livello di sicurezza nazionale e di stabilità geopolitica il ruolo della cybersecurity è diventato strategico e di conseguenza la politica ha iniziato a normare e regolamentare.
Questa evoluzione ha introdotto nuovi piani d’azione per team già oberati dall’operatività quotidiana.
Oggi essere al passo dal punto di vista tecnologico rimane un fattore abilitante e rappresenta il primo obiettivo di un CISO ma non è l’unico, è solo una parte dell’insieme.
Il bisogno di una consapevolezza maggiore su differenti piani è cresciuto e crescerà ancora. Cito per esempio, in ordine sparso, alcuni nuovi domini da acquisire:
Padronanza di un linguaggio manageriale, per parlare al business di impatti concreti, e legale, per tradurre i documenti di compliance in to-do list concrete.
Cultura della gestione del rischio, per stabilire gli impatti sul business, le criticità su cui intervenire e le vulnerabilità minori da monitorare.
La capacità di formalizzare procedure e redigere playbook per essere organizzati e pronti ad affrontare tutti gli scenari.
Per questo motivo anche la nostra organizzazione ha superato i confini delle sole competenze tecniche e in IPway è nato il team GRC (Governance, Risk and Compliance).
Una scelta per noi naturale, spinta in avanti dal riscontro sul campo della sua necessità in particolare in due ambiti.
1. Sicurezza e protezione del dato: Il DPO lascito del GDPR da rimettere al centro
Per anni l’obiettivo principale della cybersecurity è stato, di fatto, uno solo: impedire l’accesso ai sistemi. Difendevamo la rete e tenevamo fuori chi non doveva entrare. Era un lavoro tecnico, basato sulla difesa di un perimetro definito.
Oggi ogni dipartimento genera contenitori di file secondo il proprio bisogno, Google Drive per condividere al volo, repository su AWS, cartelle in cloud create per un progetto puntuale... Una mole di dati che non risiede più all’interno delle mie mura.
Prima si difendeva la porta d’ingresso, oggi bisogna difendere il contenuto. Sono due cose diverse, e la seconda è molto più difficile.
Pochissime aziende possono rispondere sì a ciascuna di queste domande:
Sai dove sono tutti i file della tua azienda? E cosa c’è esattamente nei tuoi archivi?
Sai quali uffici hanno aperto uno storage su Drive per un progetto?
Sai come hanno regolamentato gli accessi o classificato le informazioni?
Se domani subisci un data breach, sai esattamente quali informazioni sono state colpite?
Le informazioni sono censite e classificate per grado di riservatezza?
La risposta a queste domande dovrebbe darla il Data Protection Officer. Nella maggior parte delle organizzazioni questa figura, però, è relegata a un ruolo troppo limitato ad una generica compliance normativa e spesso poco presente quando si parla di progetti cybersecurity per saper rispondere nel merito.
Il DPO, responsabile di dati e informazioni, è nato con il GDPR ma è rimasto un ruolo sfumato limitato alla conformità, senza portafoglio, senza dialogo diretto con la parte tecnica spesso in outsourcing.
La nostra opinione è che anche il lavoro del DPO andrebbe raccordato con l’attività dei reparti tecnici ed è esattamente questa una mansione del nostro team GRC, invece che trattarlo come un adempimento parallelo che non si incontra mai con la tecnologia.
2. L’OT ha le sue leggi e non si può organizzare come l’IT
Le linee di produzione sono sempre più intelligenti, automazioni, sensoristica, macchine connesse, accessi di terze parti spesso fuori dal nostro governo. Quelle macchine OT parlano protocolli diversi da quelli dell’IT, ma stanno nelle stesse reti e questo significa che una rete può diventare la porta d’ingresso per l’altra.
Stanno nascendo i reparti di OT security, con figure che conoscono davvero quegli ambienti ma sono ancora molto pochi, mentre nella maggior parte dei casi la responsabilità è scaricata sull’ufficio IT che porta quello che conosce storicamente e cioè la logica della gestione “perimetrale” della sicurezza di rete e poco più.
Anche se i rischi tra IT e OT sono collegati, le modalità per gestire l’OT correttamente sono diverse, così come gli standard di riferimento. Pretendere che l’IT si “arrangi” con i propri strumenti tradizionali è una soluzione subottimale che mette a repentaglio la tua intera organizzazione.
Anche perché, a livello di governance e in particolare nel caso della NIS2 l’obbligo normativo non si ferma alla difesa dagli attacchi, ma alla continuità operativa.
In campo OT, se ti blocca una linea di produzione ha fatto danno anche senza esfiltrare alcun dato o ancora, esistono altri rischi da mitigare come la sicurezza fisica o il danno ambientale.
Per questo la sicurezza OT va maneggiata con una valutazione chiara dei rischi, piani di ripristino concreti e focus sulla continuità operativa e sui possibili impatti.
Per questo abbiamo deciso di non buttarci ad offrire soluzioni OT semplicemente perché sappiamo configurare un firewall ruggedized o curare una segregazione di rete ma siamo partiti dalla preparazione formale e dagli standard internazionali di riferimento, come l’IEC 62443 e dai principi di gestione del rischio.
Assessment e certificazioni: una precisazione
Oltre a parlare di sicurezza del dato e sicurezza OT, il nostro team GRC può aiutare a stabilire il percorso migliore verso compliance (vedi NIS2) e certificazioni, riordinare procedure e documentazione, supportarti nella valutazione del rischio e nelle Business Impact Analysis e formulare percorsi e piani operativi.
Qui ci tengo a fare una precisazione. Molti utilizzano gli assessment come strumento di vendita rivolti più a posizionare le proprie tecnologie che a definire percorsi di consapevolezza e reale formalizzazione dei tuoi processi di sicurezza.
Questo è l’opposto della nostra modalità di lavoro, noi abbiamo lo scopo di trasformare la teoria di norme e standard in piani operativi pratici ed efficaci da seguire per alzare l’asticella della sicurezza e della continuità operativa e non per introdurre semplicemente l’ultima novità tecnologica.
Non abbiamo certo la pretesa di farti un assessment come un organismo di valutazione neutrale, quale effettivamente non siamo, e se nella tua postura o nei tuoi processi individueremo margini di miglioramento, risponderemo anche con tecnologie e servizi disponibili nella nostra offerta, ma lo esplicitiamo fin da subito come presupposto condiviso.
Grazie alle competenze legali e manageriali del nostro reparto GRC, il progetto di sicurezza dei dati o il progetto OT sarà sempre documentato, allineato agli standard, con indicati i riferimenti normativi e gli obiettivi di compliance.
Non siamo un ente terzo neutrale ma motiviamo ogni scelta ed evidenziamo l’impatto concreto nella tua realtà.
Ale
Alcune cose che, se ti va, possiamo fare insieme:
Condividiamo — se hai un progetto che vuoi condividere con me o cerchi confronto su un argomento specifico.
Restiamo in contatto — ogni settimana condivido sul mio profilo LinkedIn insight legati alla tecnologia e soprattutto al suo impatto sul business.