La resilienza informatica è ben più di una semplice parola d’ordine — è una componente fondamentale della strategia aziendale. È quanto afferma Rosa Kariger, esperta di spicco nel campo della sicurezza informatica, che recentemente ha partecipato insieme a Sanjay Mirchandani, presidente e amministratore delegato di Commvault, allaPodcast “Resilience Uncompromised”. Rosa riflette sulla sua esperienza come CISO presso Iberdrola e nel campo della sicurezza informatica al Forum economico mondiale e condivide preziose riflessioni su come le organizzazioni possano costruire una cultura della resilienza informatica.
Comprendere la resilienza informatica come rischio operativo
La resilienza informatica non consiste solo nel disporre di sistemi affidabili di ripristino di emergenza e di Backup and Recovery. Si tratta piuttosto di consentire alla vostra azienda di continuare a funzionare e a fornire servizi essenziali anche quando l’infrastruttura IT è compromessa. Rosa sottolinea che la resilienza informatica dovrebbe essere integrata nella vostra strategia complessiva di gestione del rischio. Ciò significa considerare la sicurezza informatica come un fattore strategico per il business, non solo come una sfida tecnica.
L’importanza della preparazione
La preparazione è un pilastro fondamentale della resilienza informatica. Rosa sottolinea la necessità di pianificare diversi scenari, in particolare per quelle situazioni in cui si potrebbe verificare una perdita totale della connettività. È essenziale disporre di un piano B per le funzioni aziendali critiche. Ciò consente alla vostra organizzazione di mantenere operative le attività e continuare a servire i clienti durante un incidente informatico.
Responsabilità e rendicontazione ben definite
Per creare una cultura della resilienza informatica sono necessarie responsabilità e rendicontazione chiare. Rosa sottolinea che ogni dipendente, in particolare chi si occupa dell’implementazione delle tecnologie, dovrebbe essere ritenuto responsabile della sicurezza informatica dei propri processi. La sicurezza informatica non dovrebbe essere di esclusiva competenza del CISO o dei team IT, ma dovrebbe invece essere una responsabilità condivisa da tutta l’organizzazione.
I professionisti del settore tecnico dovrebbero essere incentivati a garantire la sicurezza informatica, poiché sono responsabili della qualità, dell’efficienza e dei costi delle tecnologie su cui lavorano. Questo approccio integra la sicurezza informatica nel cuore delle operazioni aziendali e garantisce che non venga considerata un aspetto secondario.
Il ruolo della funzione di sicurezza informatica
La funzione di sicurezza informatica dovrebbe fungere da consulente e da seconda linea di difesa. Ciò significa fornire indicazioni e informazioni all’organizzazione, mentre le responsabilità specifiche in materia di sicurezza informatica sono integrate nei team tecnici e operativi. In questo modo, la funzione di sicurezza informatica può offrire approfondimenti strategici e supporto, contribuendo a creare un’organizzazione più resiliente e sicura.
Misure concrete per rafforzare la resilienza informatica
Costruire una cultura della resilienza informatica non significa solo implementare tecnologie di sicurezza avanzate, ma anche promuovere una mentalità in cui ogni dipendente comprenda l’importanza della sicurezza informatica e se ne assuma la responsabilità. Ecco alcuni passaggi pratici ed esempi concreti per aiutare le organizzazioni a raggiungere questo obiettivo:
- Integrare il rischio informatico nella gestione complessiva del rischio: ciò significa che i rischi associati all’uso della tecnologia vengono identificati, accettati e gestiti a tutti i livelli. In questo modo, i dipendenti sono meglio preparati a gestire gli incidenti informatici, garantendo la continuità operativa anche in caso di malfunzionamento della tecnologia.
- Migliorare la preparazione: simulare regolarmente scenari di perdita totale della connettività o di altre gravi interruzioni. Ciò contribuisce ad aumentare la resilienza dell’organizzazione ai guasti. Ad esempio, un istituto finanziario potrebbe simulare uno scenario in cui tutte le transazioni digitali vengono interrotte e i dipendenti devono ricorrere a procedure manuali per proseguire le operazioni.
- Definire ruoli e responsabilità chiari: assicurarsi che ogni team, compresi i ruoli tecnici e operativi, abbia responsabilità ben definite in materia di sicurezza informatica. Questa ripartizione delle responsabilità incentiva tutti a garantire la sicurezza. Ad esempio, in un contesto industriale, un ingegnere che lavora alla digitalizzazione di un processo dovrebbe essere responsabile della sicurezza informatica di quel processo, non solo il CISO.
- Fornire una formazione adeguata: la formazione è fondamentale per consentire ai dipendenti di gestire efficacemente i rischi legati alla sicurezza informatica. I professionisti del settore tecnico dovrebbero ricevere una formazione che li metta in grado di comprendere e mitigare i rischi legati alla sicurezza informatica nell’ambito dei loro specifici ruoli. Ciò garantisce che dispongano delle conoscenze necessarie e siano in grado di attuare le misure di protezione necessarie.
- Attuare una strategia di “continuità operativa”: elaborare un piano B per garantire la continuità delle attività in caso di interruzioni dell’infrastruttura informatica. Ciò potrebbe comportare il ricorso a sistemi di backup, procedure manuali o canali di comunicazione alternativi. Ad esempio, un operatore sanitario potrebbe prevedere di utilizzare cartelle cliniche cartacee e procedure di registrazione manuali nel caso in cui il proprio sistema di cartelle cliniche elettroniche smettesse di funzionare.
Seguendo questi passaggi, le organizzazioni possono costruire una solida cultura della resilienza informatica. Questo approccio aiuta tutti a prepararsi a gestire gli incidenti informatici, a garantire la continuità operativa e a proteggere le informazioni sensibili.
La resilienza informatica è un percorso, non una meta. Integrando la sicurezza informatica nelle vostre pratiche di gestione del rischio, promuovendo una cultura della responsabilità e mantenendo una forza lavoro ben preparata e informata, potrete contribuire a creare un’organizzazione resiliente, pronta ad affrontare qualsiasi sfida. Siate proattivi, tenetevi informati e rimanete resilienti.
