Cyber Storytelling: comunicare i rischi al consiglio di amministrazione e oltre

I consigli di amministrazione valutano il rischio dal punto di vista finanziario e operativo. Un linguaggio incentrato sul business chiarisce le conseguenze e favorisce decisioni consapevoli. 

Chi sono gli autori degli attacchi, quali sono i loro obiettivi, qual è la probabilità che tali incidenti si verifichino e quale sia il potenziale impatto sul conto economico, sul marchio e sulle operazioni. 

Utilizzando esempi concreti di ransomware, quantificando i costi dei tempi di inattività e mappando i rischi in relazione a specifiche unità aziendali. 

Gli incidenti informatici hanno ripercussioni sulle catene di approvvigionamento, sui clienti, sulla conformità normativa e sui ricavi, rendendo indispensabile una responsabilità condivisa. 

Controlli attuali, piani di Recovery, lacune e Readiness: spiegati in un linguaggio aziendale per infondere fiducia. 

Per la trascrizione con l’indicazione dei tempi, guarda il videoqui

Ciao, benvenuti al podcast “Shift”.

Mi chiamo Melissa Hathaway e con me ci sono i miei amici John Zangardi e Shawn Henry.

Siamo qui per discutere di come comunicare i rischi al consiglio di amministrazione.

E parleremo di alcune storie molto interessanti e complesse relative alla sicurezza informatica.

Grazie mille per essere qui, non vedo l’ora di iniziare questa conversazione.

Cosa vogliono sentire i membri del consiglio di amministrazione durante le riunioni?

Cosa si aspettano dal CISO e quali informazioni desiderano ricevere sui rischi digitali?

Sapete, ogni volta che penso di parlare con il consiglio di amministrazione,

Si parte sempre dal rischio in senso generale.

Credo che spesso il consiglio di amministrazione si senta dire che ci sono molti problemi.

Ne parlano con gli amici a cena.

Sentono dire da altri consigli di amministrazione di cui fanno parte che si tratta di un problema, ma non
ne hanno necessariamente una comprensione approfondita e non hanno bisogno di una

.

Penso che debbano semplicemente capire chi sono i protagonisti, cosa stanno
sfruttando e, soprattutto, qual è l’impatto?

E se riescono a farsi un’idea chiara di tutto questo,

Allora potranno cominciare a capire in che modo l’azienda si sta preparando al meglio e come il CISO
sta davvero proteggendo l’azienda per ridurre il rischio.

I membri del consiglio sanno cos’è il rischio, sia che operino nel settore dei servizi finanziari sia
che abbiano avuto a che fare con il rischio per tutta la vita: sono professionisti.

E se la questione viene presentata in questi termini, è un ottimo modo per allineare le prospettive e
fornire un quadro di riferimento che consenta discussioni molto più approfondite su come l’

l’azienda stia migliorando nel garantire la sicurezza aziendale.

Faccio parte di alcuni consigli di amministrazione e penso che tutto ciò di cui Shawn ha appena parlato abbia
perfettamente senso.

Quindi, per quanto riguarda i destinatari di queste informazioni, ciò che apprezzo particolarmente è che, nell’ambito del comitato di revisione e rischio
, il CISO intervenga durante quella riunione e illustri la situazione così com’è

descritta da Shawn, in modo che il consiglio di amministrazione possa ascoltarla nel corso di quella riunione del comitato
di revisione e rischio.

È davvero importante che tu affronti i rischi.

E che dica: «Ehi, qual è la probabilità che ciò accada?

che possa succedere qualcosa di negativo e quali siano le conseguenze, giusto?

In termini aziendali comuni, ciò incide sul nostro marchio, sulla nostra reputazione, ma anche
spiegando all’intero consiglio di amministrazione come potrebbe gestire tali situazioni.

In questo modo sensibilizza il consiglio sui rischi che sta affrontando, utilizzando un linguaggio che
i membri possano comprendere, poiché non ci si può aspettare che ogni membro del consiglio sia un esperto di informatica.

giusto?

Quindi ci sono alcuni punti ciechi e penso che sia compito del CISO iniziare a fare
fare luce su quei punti ciechi.

Faccio parte di alcuni consigli di amministrazione e tengo riunioni informative per molti di essi.

Ho sempre ritenuto che non si tratti di una questione di IT.

È una questione di rischio aziendale.

E dobbiamo tenere presente che tutte le aziende sono aziende digitali.

E a che punto siamo, qual è lo stato di salute dell’azienda oggi?

E riflettere su questi concetti chiave del mondo degli affari:

Come si comunica effettivamente quali sono i rischi dal punto di vista del conto economico (PNL)?

E credo che molti dei nostri professionisti del settore lo considerino solo una
si tratti di una questione tecnologica e non stiano effettivamente traducendo il concetto in termini di business: se questo particolare sistema, fondamentale per l’azienda,

il sistema va in tilt e si trova in questo specifico stato PNL, il che ci costerà questa somma di
denaro al giorno, traducendo il tutto in termini aziendali.

Hai riscontrato casi di successo in questo senso, Shawn?

Credo che negli ultimi anni sia diventato molto più facile.

Il ransomware ha causato tutto questo

alla portata di tutti.

È possibile vedere quando un ransomware colpisce una determinata azienda e questa rimane inattiva per
due giorni, due settimane o due mesi, nonché il costo che ne deriva, e spesso ciò viene

reso pubblico.

Abbiamo visto alcuni esempi recenti riguardanti Jaguar nel Regno Unito, negli Stati Uniti e, a livello nazionale, moltissimi
altre aziende che hanno subito lo stesso destino.

Credo che il ruolo del CISO sia quello di supportare l’azienda.

Ciò avviene principalmente garantendone la sicurezza

, ma occorre anche assicurarsi di non limitare né ostacolare le attività aziendali.

Credo che quando il rischio di cui stiamo parlando qui viene comunicato in modo efficace, allora
il consiglio di amministrazione e gli altri dirigenti, in quanto parte integrante delle operazioni, abbiano una

comprensione e una maggiore consapevolezza e saranno disposti ad apportare modifiche se si renderanno conto che
quali saranno le conseguenze a lungo termine.

Quindi quantificarlo sta diventando più facile, poiché oggi i dati sono molto più diffusi.

Allora, Shawn, permettimi di aggiungere una cosa.

La fiducia è qualcosa di difficile da conquistare, ma facile da perdere, vero?

Ed è la prima volta che succede qualcosa di brutto, quando quel “forbice” si fa vivo e inizia a parlare
Per quanto riguarda gli aspetti negativi e il Risk, ormai è troppo tardi.

Non c’è fiducia.

La fiducia si costruisce attraverso l’interazione, giusto?

Quando entra in campo, il consiglio lo conosce bene, conosce il suo modo di fare, è
Essendo abituato a trattare con quella persona, ha potuto constatare il comportamento che ne deriva.

Quindi, quando si verifica quell’evento negativo, che capiterà a tutti, perché l’IT
È onnipresente, oggi è presente in ogni azienda ovunque; si vuole assicurarsi che

ci sia un elemento di fiducia tra la persona che riferisce al consiglio di amministrazione in merito ai rischi e il
il Consiglio stesso.

E in tutto questo, la responsabilità ultima ricade sull’amministratore delegato.

Quindi, anche se sto dicendo che questo è un compito che spetta al CISO, in ultima analisi è
è il CEO a esserne responsabile.

Ma non si tratta solo del CEO, del CISO, del CIO o del Chief Data Officer.

Si tratta di una responsabilità di ampia portata.

Quindi, come si raggiunge quella consapevolezza che tutto ciò riguarda l’azienda e che si
sta coinvolgendo il responsabile della protezione dei dati, il reparto IT e

coinvolgere il team di trasformazione digitale?

Il CEO può effettivamente trasmettere il tutto al consiglio di amministrazione e si giunge davvero a una responsabilità di squadra
piuttosto che a una responsabilità individuale.

Quindi penso che

quando si parla di responsabilità, ci deve essere qualcuno che se ne assuma la responsabilità.

In questo caso, forse è il CISO a farsene la responsabilità.

Ma deve essere rappresentata.

E tutti all’interno dell’organizzazione devono riconoscere e comprendere che si tratta di un lavoro di squadra
e che ognuno ne è in parte responsabile.

Tutti sono responsabili e una violazione grave o un incidente significativo comporterà
un impatto su tutti i membri dell’organizzazione.

Quindi si tratta sicuramente di una responsabilità condivisa.

Ma per quanto riguarda il CISO, penso che sia necessario che ci sia una persona che ne sia responsabile,

che contribuisca a definire la direzione strategica e che abbia il compito di garantire che vengano intraprese le azioni necessarie
necessarie e che la strategia venga attuata con successo.

Ma senza dubbio si tratta di una risposta che coinvolge l’intera azienda, non solo i dirigenti, ma ogni
ogni singola persona all’interno dell’organizzazione, poiché sono tutti utenti.

Tutti usano la tastiera, tutti gestiscono i dati, tutti sono responsabili, in
in un modo o nell’altro, dell’alimentazione dei database.

Tutti devono riconoscere e comprendere che:

Nella mia organizzazione, la sicurezza viene prima di tutto.

Ci stiamo impegnando al massimo e tutti riconoscono che una violazione avrebbe un impatto catastrofico
su di noi come gruppo.

Allora è proprio così.

Deve esserci un unico responsabile.

Il referente a cui rivolgersi, che coordina l’attività.

Ma molti consigli di amministrazione terranno una riunione a porte chiuse alla quale non saranno
presenti i membri dell’azienda e l’amministratore delegato.

E lì si terrà una discussione.

E a volte l’area in cui

I consigli di amministrazione non dispongono delle competenze necessarie nel settore informatico, nell’ambito dell’IT.

E ritengo sia importante che anche i consigli di amministrazione dispongano di tale competenza al loro interno.

E lo dico con tono sarcastico, non prendetevela: frequentare un corso NACD sulla sicurezza informatica
non rende un membro del consiglio di amministrazione un esperto in questo specifico settore.

Credo che per un consiglio sia davvero utile avere qualcuno che, quando succede qualcosa,

e si trovano in seduta a porte chiuse, ci sia qualcuno nel consiglio che, all’interno dell’azienda
laddove dovesse esserci una leggera perdita di fiducia, sia in grado di fungere da intermediario e di sollevare la questione

consiglio in modo più comprensibile o che li aiuti a contestualizzare le domande che stanno
ponendo.

Sì, quindi, per riassumere, bisogna affidarsi a un membro del consiglio di amministrazione che funga da
traduttore, magari insieme all’amministratore delegato, per rafforzare

il fatto che tutti abbiano la responsabilità fiduciaria di tutelare l’azienda.

Ed ecco la parola chiave: responsabilità fiduciaria.

Insomma, perché non avere nel proprio consiglio di amministrazione un ex CISO o un ex CIO o qualcuno di quel calibro?
che ti aiuti a riflettere su questi aspetti durante le riunioni a porte chiuse?

Sono d’accordo.

Ok.

Quindi, quando si inizia a riflettere su questo argomento, cerco sempre di inquadrare la
situazione, per capire cosa sta succedendo.

Sai, siamo stati

siamo stati vittime di un ricatto.

E allora? Siamo completamente offline e questo ci sta costando un sacco di soldi ogni ora e ogni giorno
di inattività.

E, come hai detto tu, Shawn, ci sono diversi esempi di aziende che
Sono offline ormai da quasi tre mesi e non riescono a fornire assistenza, non pagano i propri

fornitori, non pagano, non vendono i propri prodotti, eccetera.

E poi c’è il “e adesso?”, cosa dobbiamo fare ora, come ci siamo ritrovati in questa
situazione?

Quindi, se potessi iniziare a parlare di alcuni degli indicatori

che ritieni utili per spiegare questo concetto.

A mio avviso si tratta soprattutto di sistemi obsoleti, hardware e software non più supportati
e vulnerabili al 100% in ogni momento.

Ma quali sono alcuni degli indicatori che ritieni utili, Shawn?

Beh, penso che, ehm, quando si forniscono metriche, lo scopo del CISO nel fornirle
sia semplicemente, credo, quello di dimostrare al consiglio di amministrazione che si stanno compiendo progressi nella

sicurezza complessiva dell’organizzazione.

Quindi, se il mese scorso

In quel mese avevamo un numero X di vulnerabilità per le quali non era stata ancora rilasciata alcuna patch,

Questo mese abbiamo ridotto quel divario e stiamo spiegando perché sta accadendo.

E se ciò non sta accadendo, allora è necessario porsi alcune domande.

Pertanto, le metriche devono essere misurabili e devono essere significative nel dimostrare
che il programma è in fase di espansione.

Penso a aspetti quali la capacità dell’azienda di individuare gli attacchi.

Giusto.

È necessario avere una visione chiara di ciò che sta accadendo.

Ecco quindi cosa siamo in grado di rilevare.

La velocità di risposta.

Quanto tempo occorre per reagire e risolvere o mitigare il problema dopo che è stato individuato?

Stiamo colmando quel divario?

Abbiamo imparato, grazie all’intelligenza artificiale e a una serie di altri vettori di attacco, che l’incapacità di identificare, rilevare e ridurre rapidamente
Il divario comporta una violazione.

Succede regolarmente.

Abbiamo visto avversari che sono rimasti nascosti nelle reti per mesi o anni senza essere scoperti.

Queste sono alcune delle metriche.

Questo aspetto della vulnerabilità è fondamentale.

Ho apprezzato molto quando hai detto che, trattandosi di un sistema legacy, non è più supportato,
Non ci sono patch, è vulnerabile al 100% e fuori uso il 100% del tempo.

Va bene così?

Perché se lo siamo,

In caso di violazione, si tratterebbe di grave negligenza.

Sapevate che era vulnerabile e avete deciso di non intervenire; è stato sfruttato
E da ciò sono scaturite queste conseguenze.

Non va bene.

Pertanto, vorrei che il consiglio di amministrazione fosse rassicurato sul fatto che si stanno compiendo progressi.

Per quanto riguarda quanto detto da John, se si ha a che fare con persone che sono puramente uomini d’affari, prive di qualsiasi
Dal punto di vista della sicurezza, queste esperienze si basano davvero sulla fiducia riposta nel CISO.

Di per sé, non credo che ciò sia opportuno.

Dovreste avere qualcuno con una certa competenza, in grado di opporre resistenza in modo costruttivo e
professionale.

Ma dobbiamo dimostrare che stiamo crescendo e che siamo più sicuri.

Quindi vorrei aggiungere che tutto quello che stiamo facendo è fantastico.

Vorrei aggiungere una cosa.

E penso che questo rientri in qualche modo nella formazione.

E mi avete sentito parlare di aviazione troppe volte.

Ma nel settore dell’aviazione, quando si è in volo e si verifica una situazione di volo difficile o un contrattempo, si effettua un “hot wash”.

Si

si torna indietro e si analizza la causa principale di quanto è accaduto.

E potrebbe trattarsi di un motivo tecnico, oppure di altre ragioni.

Ma penso che sia importante che, quando si verifica quell’evento negativo, venga coinvolto
il consiglio di amministrazione e gli venga spiegato: «È successo questo.

Ecco perché è successo.

Ecco come ci siamo ripresi.

Queste sono le conseguenze che abbiamo subito in termini di, ehi, perdita di ricavi, danno alla
la reputazione o qualsiasi altra cosa.

E il motivo è che,

Lo sappiamo tutti: dagli errori si impara più che dai successi.

Quindi non sto minimizzando la questione, ma penso che sia un’aggiunta importante nell’ambito della
formazione e aggiornamento del proprio consiglio di amministrazione.

Mi piace sempre ricorrere a esempi e casi di studio reali, e la storia che mi è rimasta impressa nelle
Nelle ultime due settimane c’è stata la rapina al Louvre.

Abbiamo perso, sapete, 10 milioni di dollari in gioielli, o forse anche di più, vero?

E così il Louvre

utilizzava hardware e software non supportati in tutto il museo e ne era consapevole.

E le password erano “Louvre” e poi “Thales”, che era la società che avrebbe
ha dovuto occuparsi della sicurezza.

Quindi vulnerabile al 100%, sempre, con una password facilmente intuibile e, boom, i gioielli sono spariti
.

Hai qualche storia simile, un po’ “appiccicosa”, che puoi
usarlo come esempio?

Puoi

rendere anonima la storia, dicendo che è stata una brutta giornata e che si è trattato di un episodio reale e imbarazzante.

La password era “Louvre”?

Era… Sto scrivendo questo articolo questa settimana.

Non lo sapevo.

Ne parlerò nella mia newsletter di questa settimana.

Non credo di avere nulla di così imbarazzante.

Mi dispiace.

Ma, sai, tornerò sull’argomento di cui stavo parlando prima.

Sai cosa si impara dalle esperienze?

E ho avuto il privilegio di assistere a numerosi incidenti informatici nel corso della mia carriera mentre lavoravo per
il governo.

E, sai,

Quando sei al Dipartimento della Difesa e succede qualcosa di grave mentre stai vendendo loro qualcosa, il Cyber Command interverrà
in modo massiccio nella tua vita.

Il modo in cui dovresti gestirlo, perché è importante che tu lo gestisca, è una questione di
trasparenza: ammettere: «Questi sono gli errori che ho commesso».

Non vorrei mai dover dire al Cyber Command: «Beh, la nostra password era “Louvre”, ma dovete
«riuscire ad accedere».

Le conseguenze sono molto gravi quando si vendono prodotti al governo, quindi

Il Cyber Command emetterà un ordine operativo.

Si tratta sostanzialmente di una sostituzione completa e tutti i componenti e i servizi inizieranno a
rimuoverli.

È quindi molto importante essere completamente trasparenti quando si ha a che fare con quel tipo di persone.

E credo che questo valga anche per i clienti.

Se torniamo indietro e analizziamo il caso SolarWinds, che come tutti sanno è ormai entrato nella nostra
“vocabolario” come termine comune, e osserviamo come è stato gestito e come si sono sviluppati gli eventi,

ce ne sono molte

cose che sono andate storte e non mi addentrerò nei dettagli, ma se si osservano
Se si considerano i ricavi dell’azienda dal giorno in cui è successo fino ad oggi, si vede che è ancora in attività, è

un’azienda che funziona bene: il suo fatturato è aumentato perché ha adottato le misure necessarie, per quanto difficili
e nonostante gli errori commessi nel tentativo di migliorare, il prodotto sta vendendo bene anche se si chiama “SolarWinds”

è generalmente considerato un termine non proprio positivo.

Approfondiamo per un momento il tema della sicurezza dei prodotti, perché molte aziende

aziende non si considerano necessariamente specializzate in sicurezza.

E quindi potrebbero non aver investito nella sicurezza di quel prodotto.

E così in molti casi assistiamo a questo fenomeno: mi concentro su un prodotto, ne comprometto l’integrità
e poi raggiungo molti altri clienti che in realtà

contavano su di loro affinché facessero la cosa giusta: investire nella sicurezza, garantire che fosse un
prodotto di qualità immesso sul mercato, assicurarsi che ricevesse gli aggiornamenti, ecc.

Allora, come si racconta la storia di

quando un prodotto ha perso la sua integrità e si sa cosa ci si aspetta dall’azienda,
Come si fa a spiegare questa situazione al consiglio di amministrazione? Io non ho il loro potere decisionale in materia di bilancio.

Quindi credo che tu abbia citato SolarWinds e che NotPetya ne sia un altro esempio.

Si sono verificati casi più recenti in cui il prodotto è stato manomesso.

Credo che questo sia uno dei rischi e che il CISO debba illustrare chiaramente tali rischi al consiglio di amministrazione.

Credo che questo sollevi anche

un aspetto interessante riguardo alla continuità operativa.

E non si tratta solo di chiedersi: «In quali punti siamo vulnerabili?»

Perché siamo tutti vulnerabili in qualche ambito.

In quali ambiti siamo vulnerabili?

Chi ci sta prendendo di mira?

Perché ci prendono di mira?

Quali sono le conseguenze?

Se si verifica una di queste cose o se si verificano tutte, come possiamo riprenderci?

Come si manifesta la nostra resilienza?

E qual è il nostro piano per garantire di essere in grado di ricostruire l’azienda e riconquistare la fiducia?

In che modo tutto questo si concretizza?

E questo deve essere un elemento fondamentale delle comunicazioni del CISO al consiglio di amministrazione.

Ogni azienda si troverà ad affrontare un incidente.

Potrebbe trattarsi di qualcosa di semplice come la perdita di un computer portatile.

Potrebbe trattarsi di una situazione simile a quella verificatasi con Jaguar, in cui l’intera azienda rimane inattiva per
mesi e subisce perdite per centinaia di milioni o miliardi di dollari.

Come si presenta la risposta dell’azienda?

Chi ne è responsabile?

Come viene comunicata?

Come si fa, dal punto di vista tecnico, a coinvolgere

le organizzazioni esterne e i partner per aiutarvi in questo compito?

È un altro elemento importante per rassicurare il consiglio di amministrazione sul fatto che noi, come azienda
, abbiamo messo in atto il piano migliore.

La prima cosa che vogliamo fare è assicurarci di proteggere tutto.

Quando si presenta un problema, dobbiamo assicurarci di avere un piano pronto per risolverlo.

È una sorta di sicurezza a 360 gradi, perché non si può avere resilienza senza sicurezza, né
sicurezza senza resilienza.

Ben detto.

E penso che la resilienza sia un

un argomento di cui dovremmo parlare un po’.

Ho scritto molti articoli sulla monocultura del software e sulla creazione di una dipendenza da un unico
fornitore di software.

Non farò nomi.

Se ci si è accorti del problema, ci si assicura di aver creato una sorta di ridondanza per
garantire la resilienza.

Quindi queste questioni sono piuttosto complesse dal punto di vista della loro struttura.

Non mi aspetto che molti consigli di amministrazione siano in grado di affrontare queste questioni, ma penso che sia
È importante che un CISO sia sufficientemente trasparente,

e che il CIO sia sufficientemente trasparente da spiegare le misure precauzionali adottate e come le abbia strutturate
l’infrastruttura necessaria per garantire che siano state prese in considerazione le diverse eventualità che

potrebbero verificarsi.

E che non facciano troppo affidamento su un’unica fonte per il loro software.

Sì, la continuità operativa, il Recovery di emergenza… mi piace definirli “disastri digitali”.

E la sfida sta nel fatto che, mentre io potrei essere stato responsabile della sicurezza, qualcuno
Un altro è incaricato di ripristinare la situazione e di rimettere tutto in funzione.

Quindi si inizia a chiedersi: come mi preparo o come elaboro quegli scenari e conduco
Esercitazioni teoriche che coinvolgono il consiglio di amministrazione?

Lo so, Shawn, hai condotto diverse esercitazioni.

Sì, penso che abbiamo svolto esercitazioni con il personale operativo, il CISO e il suo team,
più in generale con il team esecutivo allargato e anche solo con il consiglio di amministrazione.

Credo che in queste situazioni la cosa più importante sia la consapevolezza e far sì che capiscano.

E poi, dal punto di vista pratico, cercare di stabilire chi è responsabile di cosa.

Posso dirti che ho partecipato a queste simulazioni.

Ne ho guidate alcune.

Una di quelle che per me è stata più importante e di maggiore impatto, e questo è successo tempo fa,
probabilmente otto o dieci anni fa, è stata quando mi sono seduto a un tavolo con un’importante organizzazione finanziaria e il

Il COO di quell’organizzazione era presente in sala e c’erano

Nella sala c’erano tra le 20 e le 30 persone: il CISO, oltre a numerosi tecnici, il CIO e il CTO.

Quando abbiamo illustrato l’attacco fittizio e ciò che era realmente accaduto, che aveva avuto un impatto sulla
piattaforma di trading di questo istituto finanziario, ricordo che il COO guardò dall’altra parte del

tavolo rivolto al CISO, quasi a chiedersi: «Potrebbe davvero succedere?»

Indicando la presentazione in PowerPoint, ha chiesto: «Potrebbe davvero succedere?»

E il CISO annuì in segno di conferma.

E rimase scioccato.

E poi abbiamo esaminato

Ok, bene, com’è la risposta?

Beh, oh, ci pensa Mary.

In realtà Mary è in ferie questa settimana.

Chi la sostituisce?

È Dave.

Dave non lavora più in azienda.

Per me è stato incredibile, ma sono proprio queste le situazioni che si presentano quando ci si trova ad affrontare queste
esercizi, e soprattutto quando un consiglio di amministrazione si trova ad affrontare un esercizio in cui può effettivamente

vedere tutte le ripercussioni a catena e come ci siano così tante variabili in gioco.

E questo li aiuta davvero a capire, a sostenere

e fornire risorse, oltre a sviluppare un senso di gratitudine, credo, ed è proprio questo il risultato.

Ne abbiamo già parlato: è un vero e proprio lavoro di squadra.

Ebbene, il consiglio di amministrazione fa parte della squadra perché, in fin dei conti, ha lo stesso
obiettivo comune a tutti all’interno dell’azienda: vuole che l’azienda abbia successo e soddisfi i propri

clienti.

Quindi penso che questi esercizi siano importanti e apportino un grande valore all’intero processo
di cui stiamo parlando.

Quindi sono d’accordo, e tutti abbiamo sentito parlare della curva di apprendimento.

Quindi la prima volta che succede qualcosa non dovrebbe essere quella vera

, giusto?

Visto tutto quello che stai dicendo, dov’è Dave?

Ha mollato.

Dov’è Mary?

È il suo giorno libero.

Man mano che si svolge un’esercitazione teorica e si analizzano questi aspetti, le persone acquisiscono maggiore
familiarità con le variabili in gioco e con il modo in cui dovrebbero gestirle.

E le situazioni impreviste danno adito a domande interessanti.

Ecco perché ci si allena: per imparare e acquisire maggiore competenza.

È bene acquisire una certa competenza prima che

è successo qualcosa di brutto.

Quindi consiglierei vivamente non solo una simulazione, ma anche esercitazioni periodiche che, per così
gravi, li portino tutti allo stesso livello.

Sviluppare quella memoria muscolare è davvero importante, così come altre cose simili.

Credo che questo sia fondamentale, ma è anche importante rendersi conto che, quando si ha una giornata storta
, non sono solo le persone incaricate di ripristinare i sistemi a dover

proteggere i sistemi.

Ci deve essere una strategia di comunicazione completa.

E bisogna riflettere attentamente su chi sarà il portavoce e su come opererà il mio team
addetto stampa o addetto ai media, su dove si trovano i miei consulenti legali, interni ed esterni, e su come iniziare a riflettere

a quella gestione delle emergenze, per così dire, Shawn.

Sì, no, ed è proprio questo il punto: un esercizio teorico è un ottimo modo per farlo.

Individua le persone con largo anticipo.

Non vorrai mica iniziare a sfogliare gli elenchi e a cercare le persone mentre ti
difficoltà a rispondere.

Bisogna prepararsi con largo anticipo.

Questo è anche un ambito in cui si comincia a parlare di governance, conformità e
normativo, giusto?

Nell’ambito del processo di comunicazione, devi parlare, innanzitutto, con
i tuoi clienti, ovviamente.

Devi parlare con tutti i tuoi partner.

Vuoi parlare con i tuoi dipendenti.

E in molti casi dovrai rivolgerti alle autorità di regolamentazione e a quel punto dovrai
coinvolgere il tuo responsabile legale affinché partecipi alla discussione, poiché vi sono alcune

potenziali problemi di responsabilità civile.

Tutto questo può essere pianificato in anticipo.

Non sarà perfetto al 100%.

Non sarà perfetto.

Ma vi consentirà di acquisire una certa familiarità e un certo livello di fiducia.

Permetterà di instaurare rapporti con queste persone esterne in modo che, quando succederà qualcosa
in caso di esito negativo – e ciò accadrà, a seconda della gravità – sarete in grado di

reagire.

Posso dirvi che chi è meglio preparato riesce a superare con successo queste situazioni.

E chi non è preparato fallirà miseramente.

Beh, si capisce se non ti sei preparato e sei l’amministratore delegato che, come mi aspetterei
In molti casi, dovrà confrontarsi con i propri clienti principali per illustrare la situazione.

Questo va fatto con attenzione e come se foste dei professionisti.

Pertanto, limitarsi a rispondere senza essersi preparati vi mette in difficoltà.

E credo che questo risulti molto evidente dal modo in cui viene rappresentato.

Inoltre, danneggerà la reputazione e l’immagine dell’azienda.

Quindi dare l’impressione di essere preparati,

con una certa raffinatezza e dimostrando di avere il controllo della situazione, credo sia qualcosa che devi
trasmettere in questa situazione.

E non si arriva a questo risultato senza tutto ciò di cui Shawn ha appena parlato.

Sì, ho tenuto un corso di formazione per una struttura sanitaria: è durato solo due ore ed è stato
suddivisa in blocchi di 30 minuti.

E alla fine,

l’amministratore delegato mi ha detto: «Avevo l’adrenalina alle stelle, la frequenza cardiaca a 140, e grazie a Dio si trattava solo
di un’esercitazione».

Proprio perché, se lo gestisci nel modo giusto, provi lo stesso livello di stress che proveresti se fosse
Davvero una giornata normale e una brutta giornata.

Beh, tutti e tre abbiamo lavorato nel settore pubblico e tutti e tre abbiamo dovuto rivolgerci al nostro
capo, che probabilmente era un funzionario politico di alto livello, per comunicargli cattive notizie.

Non è facile.

Proprio no.

Ma bisogna strappare il cerotto.

Bisogna farlo.

Sì, quindi nel governo diciamo che “il risultato finale viene prima di tutto”.

Il punto fondamentale all’inizio: iniziate tutti i messaggi destinati al consiglio di amministrazione con il punto fondamentale all’inizio.

Sono qui per parlarvi di A, B e C.

E oggi vi dirò quanto sia malata la nostra organizzazione, perché abbiamo così tanti
sistemi legacy che gestiscono il nostro core business.

Ed ecco cosa dobbiamo fare al riguardo.

Ed è proprio qui che ho bisogno del vostro sostegno.

E non andate mai via, soprattutto quando tenete una riunione informativa al Congresso: non andate mai via senza aver formulato la vostra richiesta.

Dovete chiarire fin dall’inizio l’obiettivo fondamentale e poi ciò che vi aspettate da loro.

Voglio il vostro sostegno.

Ho bisogno di soldi.

Abbiamo bisogno di più persone.

Hai proprio ragione al 100%.

Ma è proprio qui che entra in gioco la fiducia.

Se il consiglio di amministrazione ha fiducia nella responsabile della sicurezza aziendale perché in passato si è sempre dimostrata trasparente nei loro confronti, e hanno
ha già avuto un incidente in passato…

Lei ha, per così dire, il controllo della situazione, se così si può dire; ci sarà quel senso di
disponibilità e saranno molto più disposti a soddisfare la richiesta

senza fare troppe domande; non che non debbano fare domande, ma quando c’è un
A un certo livello di fiducia, il programma è stato strutturato in modo tale da favorire un libero flusso di informazioni

molto, molto più semplice.

Quindi le nostre autorità di regolamentazione ci hanno sostanzialmente detto che dobbiamo disporre di strategie, politiche,
responsabilità e finanziamenti adeguati per la sicurezza informatica e la resilienza digitale della nostra azienda.

E il consiglio di amministrazione dovrebbe tenere riunioni a cadenza regolare e dimostrare di adempiere effettivamente ai propri obblighi
nell’ambito della propria responsabilità fiduciaria.

Il 17% delle organizzazioni dichiara di non essere pronto ad affrontare una giornata difficile.

E molti consigli di amministrazione continuano ad occuparsene solo una volta all’anno, oppure hanno delegato la questione a un
comitato senza coinvolgere l’intero consiglio.

Qual è la sua opinione al riguardo?

Concordo sul fatto che questo debba essere uno dei rischi più significativi, se non il più
assolutamente significativo per ogni organizzazione, poiché l’intera impresa si basa sul

panorama digitale.

Pertanto, nell’ambito dell’ERM, deve essere un aspetto a cui

dedicare molta attenzione.

Ogni consiglio di amministrazione è leggermente diverso, ogni azienda è leggermente diversa, e anche il livello di
di familiarità e competenze diverse.

Quindi non esiste una soluzione valida per tutti, ma propenderei per l’approccio “meglio
“più che meno”, vista l’importanza della questione.

Non ho nulla in contrario al fatto che un comitato specifico, ad esempio
il comitato di revisione, sia l’ente responsabile sia il presidente del comitato di revisione

operano in modo quasi gerarchico rispetto al CISO, in modo che quest’ultimo abbia un filo diretto per alzare il telefono,
recarsi sul posto e parlare con il presidente del comitato di revisione in caso di problemi.

Ma credo che il consiglio di amministrazione nel suo complesso debba avere una visione d’insieme e una comprensione
della questione, e ciò richiede una comunicazione più frequente.

Quindi la penso come te: non faccio parte del comitato di revisione, ma credo che sia la scelta più logica
in cui collocarlo.

E dipende davvero da come l’azienda intende gestirlo.

Quindi non esiste una formula in sé, ma…

Immagino che ci sia una formula, nel senso che dovrebbe essere collegata in qualche modo al consiglio di amministrazione.

Ma dobbiamo davvero renderci conto che il mondo non sta diventando meno rischioso in termini di sicurezza informatica.

Sta diventando davvero sempre più rischioso.

E potremmo approfondire tutte le ragioni del perché, ma dovrebbero essere evidenti, dato che se ne parla nei
notiziari quasi ogni giorno.

Quindi non si può nascondere la testa sotto la sabbia.

Non si può nascondere la testa sotto la sabbia come uno struzzo.

Bisogna davvero rendersi conto che, ok, sta succedendo.

Lo vedo succedere.

Probabilmente è successo a uno dei tuoi amici nel mondo degli affari.

Come mi preparo?

Si inizia quindi ponendo alcune semplici domande al consiglio di amministrazione.

Allora, cosa facciamo quando succede?

E dare il via alle danze.

Questa è la prima cosa che dovete fare per iniziare a prepararvi.

Aggiungerei anche qualcos’altro.

Per quanto riguarda tutta questa questione della fiducia, non credo che il CISO debba limitarsi a rispondere
a tutte le domande del consiglio di amministrazione.

Credo che il CISO debba essere proattivo.

Ad esempio,

abbiamo parlato dell’intelligenza artificiale come di un rischio significativo.

È una nuova freccia nella faretra degli avversari.

Sarebbe fantastico se il CISO fosse proattivo e si presentasse al consiglio dicendo: «Ehi, probabilmente ne avete
ne ho già sentito parlare.

«Lasciate che vi spieghi cosa stiamo facendo qui».

Ciò contribuisce a rafforzare la fiducia nel fatto che i CISO prestino attenzione.

Sapete, “Ehi, so che stiamo costruendo un nuovo stabilimento in India.

Ecco alcune riflessioni e preoccupazioni al riguardo da parte del

dal mio punto di vista di CISO.

Ecco il genere di cose a cui dovremmo pensare.

Credo che essere proattivi sia segno di consapevolezza, competenza e
creo fiducia.

E penso che questo permetta davvero al CISO di contribuire al successo dell’azienda.

Allora, Shawn, non avevo mai pensato a quello che hai appena detto e mi piace tantissimo.

E il CFO è a sua volta collegato al presidente del comitato di revisione.

Se si verifica un problema del tipo:

potremmo avere difficoltà a pagare gli stipendi o qualche altro problema finanziario,
ci si rivolge al revisore.

La fiducia si costruisce tra queste due persone.

Non c’è motivo.

Non c’è alcun motivo valido per cui uno “sizzle” non debba fare qualcosa di simile.

Siate proattivi nelle vostre comunicazioni.

Sai, la vedo anche in questi termini: quali domande dovrebbe porre il consiglio di amministrazione?

Non è questo, è solo in generale.

Conosciamo davvero tutti i nostri sistemi critici per l’azienda?

Abbiamo una visione d’insieme di tutte le identità, umane e non umane?

E siamo pronti per la prossima ondata di identità legata all’agentica?

Conosciamo davvero tutti gli account con privilegi e stiamo effettivamente monitorando il dark web
sul web alla ricerca, ad esempio, delle nostre credenziali e cose del genere?

Se voi, noi, non riusciamo a rispondere a queste domande davanti al consiglio di amministrazione, questo è per me un campanello d’allarme che
indica che non disponiamo delle capacità di cui abbiamo bisogno.

Non siamo davvero pronti per questo, cioè, sapete, per essere un’azienda resiliente.

Quindi, all’inizio della conversazione, ho accennato al fatto che potrebbe essere utile per un consiglio di amministrazione disporre di
al suo interno una persona con esperienza nel settore dell’IT e della sicurezza informatica.

Per fare un esempio concreto, faccio parte del consiglio di amministrazione di un’azienda che stava modificando il proprio sistema delle risorse umane
, e come tutti sanno, una transizione del genere comporta sempre dei rischi.

Ma ne siamo stati informati.

Ma la vera comprensione del rischio mi è venuta proprio in qualità di membro del consiglio di amministrazione, perché ponevo delle domande
basate sulla mia esperienza nella transizione di quei sistemi

E questo è stato davvero utile per il consiglio di amministrazione per capire a che punto fossero le cose.

E, tra l’altro, è stato molto utile anche per l’amministratore delegato, poiché non era un esperto di informatica.

Così il rischio è stato davvero messo in primo piano e poi c’è stata una discussione approfondita del tipo: «Capisco…»
“che si tratti di un rischio ed ecco come lo sto gestendo”; è una discussione importante che i consigli di amministrazione

da affrontare quando si apportano modifiche al proprio sistema o anche solo per comprendere i propri sistemi critici.

Pertanto, il CISO deve rendersi conto che sta informando

le persone incaricate di vigilare sull’azienda.

Devono spiegare loro quali sono i rischi reali per l’attività e il rischio aziendale,
utilizzando un linguaggio comprensibile dal punto di vista aziendale.

E deve discutere concretamente il piano e sostenere ciò di cui avrà bisogno da
membri del consiglio di amministrazione.

Questo è assolutamente vero.

Ho avuto a che fare con molti consigli di amministrazione e con molti CISO.

E so che a volte i CISO sono riluttanti a farlo perché

il loro capo potrebbe essere seduto al tavolo e loro non sono interessati a fornire
le informazioni che dovrebbero fornire, poiché il consiglio di amministrazione ha tale responsabilità fiduciaria e

dovrebbe essere informato di tutti i rischi esistenti.

Ma sono riluttanti a farlo e vorrei dare un consiglio ai CISO, sempre agendo
in modo professionale e appropriato, che a volte ci vuole coraggio per fornire tali informazioni e si potrebbe

rompere qualche vetro, ma penso che sia necessario farlo e se vi trovate in una situazione
in cui ritenete di non poter fornire le informazioni legittime e autorizzate che il consiglio di amministrazione è

richieste o di cui dovrebbe essere a conoscenza, se non vi trovate in un ambiente favorevole
A tal fine, dovete cercare un altro lavoro.

È difficile.

Una storia personale, senza entrare nei dettagli, in qualità di CIO di un dipartimento

Ho molti CIO di componenti e si è verificato un problema in uno di essi, dove il
CIO di quella divisione aveva paura di parlare con i suoi superiori.

L’ho fatto io.

Non dovrebbe essere così.

Bisogna farlo.

E una volta che ho parlato con la dirigenza, la sorpresa era evidente sui loro volti, ma
si sono anche resi conto che, insomma, dovevamo fare qualcosa.

Quindi hai ragione, è difficile rompere il ghiaccio, ma bisogna farlo.

L’ho fatto con rispetto.

L’ho fatto in modo semplice.

E ci siamo messi a risolvere la questione.

Credo di aver detto a molti membri del consiglio di amministrazione che, quando ci si siede al tavolo, è necessario creare
un ambiente che favorisca un dibattito aperto.

Se, in qualità di membro del consiglio di amministrazione, sei lì seduto a cercare di cogliere qualcuno in fallo e
Se crei un ambiente che limita il libero dialogo, il problema sei tu.

Sta creando problemi a quel consiglio di amministrazione.

Deve essere favorevole.

Deve essere collaborativo.

E, ancora una volta, puntiamo tutti allo stesso obiettivo, giusto?

Vogliamo che l’azienda abbia successo.

Vogliamo ridurre al minimo i rischi e soddisfare i nostri clienti.

Questo è ciò che dovremmo fare come azienda.

Il consiglio di amministrazione ha una funzione di vigilanza.

Il CISO è responsabile dell’attuazione.

Ma, tutti insieme, dovete creare un ambiente che permetta che ciò avvenga.

E se, in qualità di membro del consiglio di amministrazione, non state creando quell’ambiente, dovete cercare altrove
.

Ma dobbiamo comunicare i rischi e ridurli.

Esatto.

E insieme formiamo una squadra.

E dobbiamo farlo in modo “delizioso”, perché mi piace quella parola.

Delizioso.

Beh, è stato davvero divertente parlare con entrambi, John e Shawn, grazie.

E con questo si conclude il nostro podcast SHIFT.

Sono Melissa Hathaway, e questo era “Comunicare il rischio informatico in consiglio di amministrazione”.