La comunicazione tra i CISO e la direzione \u00e8 indispensabile per legittimare, valorizzare e scandire l’approccio alla sicurezza all’interno di un’organizzazione. Tuttavia, le interazioni possono essere difficili da avviare e cadenzare, a causa della mancanza di disponibilit\u00e0 o di interesse da parte di alcuni team dirigenziali. Ecco alcuni consigli maturati sul campo per instaurare un vero dialogo sulla cybersicurezza.<\/p>\n\n\n\n
Le aspettative dei comitati esecutivi (Comex) variano da un ambiente all’altro. In alcuni settori, il rischio penale che incombe sui dirigenti rappresenta una leva, mentre in altri, pi\u00f9 regolamentati, \u00e8 soprattutto il rischio di non conformit\u00e0 e per l’immagine a rendere il top management propenso all’ascolto. <\/p>\n\n\n\n “Nel mondo bancario, le porte vengono aperte dall’alto dal regolatore, che impone alla governance di prendere in considerazione queste questioni”<\/p>\n <\/blockquote>\n Tuttavia, \u00e8 inutile giocare sulla paura, poich\u00e9 i Comex sono complessivamente sempre pi\u00f9 consapevoli delle loro responsabilit\u00e0 in materia di cybersicurezza e alla ricerca di pareri informati sull’argomento. <\/p>\n\n\n\n “Occorre essere preparati su tutte le questioni, ma la sfida principale resta soprattutto quella di suscitare l’interesse del soggetto”<\/em>, spiega S\u00e9bastien Blard. Prima del suo primo intervento al Comex, il CISO di un importante gruppo industriale francese ha incontrato ciascun membro individualmente, per esporgli le sfide principali e valutarne le conoscenze in merito a tali questioni. “Questo ci consente di non coglierli alla sprovvista, di posizionare le cyber-sfide rispetto alle sfide della professione e di trasmettere dei messaggi. Poich\u00e9 il contesto \u00e8 one-to-one, il mio intervento al Comex \u00e8 dedicato alla discussione e al processo decisionale collettivo”<\/em>, conclude. <\/p>\n\n\n\n Anche Arnaud Martin ha incentrato il proprio intervento su briefing individuali. A questi momenti di incontro diretto, si affianca un comitato strategico per la sicurezza informatica. Questo organo comprende tre membri permanenti del Comex (direttrice dei rischi, direttrice delle operazioni e ispezione generale) e si riunisce almeno<\/em> tre volte l’anno per cadenzare il processo in corso. Precisa: “Questa anticamera del comitato esecutivo mi offre l’opportunit\u00e0 di trasmettere delle informazioni a queste ambasciatrici”.<\/em><\/p>\n\n\n\n Ma in che modo si possono sfruttare al meglio questi trenta minuti, comprese le domande e le risposte, ottenuti in occasione del prossimo Comex? Per S\u00e9bastien Blard, \u00e8 necessario avere qualcosa da raccontare. Consiglia di presentare diversi scenari, se possibile valorizzati in termini di investimento, in modo da definire collettivamente dove si posizioner\u00e0 il cursore in materia di cybersicurezza.<\/p>\n\n\n\n “Spesso non mostriamo nemmeno le nostre slide, il dibattito prende il sopravvento. \u00c8 l’occasione per presentare i risultati dei test indipendenti condotti sul dispositivo di sicurezza o per richiedere i fondi per effettuarli”<\/p>\n <\/blockquote>\n Nel caso dei comitati periodici, Arnaud Martin conta di comunicare degli indicatori, ma anche di fornire elementi ricavati dai feedback di terzi. “[I dirigenti] sono desiderosi di ottenere dati esterni o provenienti dal nostro CERT, che consentono loro di seguire meglio l’evoluzione della minaccia”.<\/em><\/p>\n\n\n\n Talvolta, \u00e8 complicato per il o la CISO collocare le proprie competenze all’interno dell’azienda. Anche i comitati esecutivi pi\u00f9 consapevoli possono mostrarsi riluttanti ad adottare misure di cyber-protezione che abbiano un impatto eccessivo sull’esperienza utente. “\u00c8 difficile quando si inizia a trattare la classificazione dei dati”<\/em>, ammette, ad esempio, Arnaud Martin. Un motivo in pi\u00f9 per essere assertivi, secondo St\u00e9phane Blard: “Occorre andare al nocciolo della questione, senza giustificarsi. Il CISO rimane un esperto che deve rimettere i rischi in prospettiva senza troppi termini tecnici”.<\/em> Tuttavia, la nomina di uno sponsor per la cybersicurezza tra i membri del comitato esecutivo lo aiuter\u00e0 nella sua missione.<\/p>\n\n\n\n Questi spazi di discussione periodici sono indispensabili all’avvento della cybersicurezza by design<\/em> all’interno dell’azienda. Del resto, \u00e8 con un esempio di grande maturit\u00e0 che la Cassa depositi ha terminato il proprio intervento: “non si avvia alcun progetto di sicurezza informatica senza un’analisi del cyber-rischio!”.<\/em><\/p>\n\n\n\n Com’\u00e8 andato il suo ultimo colloquio con Comex?\u2009<\/p>\n","protected":false},"excerpt":{"rendered":" La comunicazione tra i CISO e la direzione \u00e8 indispensabile per legittimare, valorizzare e scandire l’approccio alla sicurezza all’interno di un’organizzazione. Tuttavia, le interazioni possono essere difficili da avviare e cadenzare, a causa della mancanza di disponibilit\u00e0 o di interesse da parte di alcuni team dirigenziali. Ecco alcuni consigli maturati sul campo per instaurare un […]<\/p>\n","protected":false},"author":3,"featured_media":8572,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[491],"tags":[],"custom_format":[],"class_list":["post-24137","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyber-strategy-it"],"acf":[],"yoast_head":"\n\n
Partire su basi solide<\/strong><\/strong><\/h2>\n\n\n\n
Raccontare una storia<\/strong><\/strong><\/h2>\n\n\n\n
\n
Adottare l’atteggiamento pi\u00f9 adatto<\/strong><\/strong><\/h2>\n\n\n\n
Conclusione<\/strong><\/strong><\/h2>\n\n\n\n