La resilienza cyber, un tema caldissimo e molto attuale, non nasce certamente oggi, ma è trattata con sempre maggiore insistenza e preoccupazione in seguito all’emissione del nuovo GDPR (General Data Protection Regulation), che entrerà in vigore il 25 maggio 2018. Il regolamento, teso a rafforzare il livello di protezione dei dati personali dei cittadini europei, si applicherà a chiunque gestisca dati personali nell’Unione Europea, anche se operante da territori esterni alla UE. Il tema del furto e della divulgazione illecita dei dati riguarderà quindi tutte le società, grandi o piccole che siano e operanti in qualsiasi settore.
Così, mentre l’ICT sta innalzando barriere e difese tecnicamente avanzate, altri attori aziendali si occupano (o dovrebbero occuparsi) del fattore umano, sensibilizzando i dipendenti sull’importanza di ogni aspetto nella gestione dei dati personali: la riservatezza delle password, i rischi di divulgazione dei dati, come comportarsi in caso di furto o perdita di dati, ecc. Ogni soluzione tecnica che implementiamo o implementeremo per difenderci è sacrosanta, tuttavia nessuno può dichiararsi davvero resiliente se non ha messo in pratica anche i principi fondamentali della continuità operativa.
A mio avviso, la tecnologia sempre più sofisticata e i crescenti investimenti nella difesa cyber hanno creato nel Top Management l’ingiusta convinzione che l’azienda, grazie alle sole soluzioni informatiche, sia presidiata e garantita dagli attacchi cyber al 100%. E che quindi non ci sia bisogno di fare altro. Se però si sottovalutano gli altri aspetti del management, altrettanto cruciali nella gestione dei rischi cyber, questo potrebbe generare un grande paradosso: da una parte i sistemi all’avanguardia, dall’altra una cultura di continuità pari a zero, e il risultato è un’organizzazione ancora più sensibile agli incidenti cyber.
A questo proposito, vorrei insistere su una questione che sta a cuore ai professionisti della Business Continuity. Sappiamo tutti molto bene che la difesa tecnologica da sé non è sufficiente. Gli White Hacker ci insegnano che nessun software o anti-virus può garantire al 100% l’impenetrabilità dei nostri database. Dobbiamo di conseguenza mettere in conto una profonda e quasi ossessiva formazione del nostro staff sul comportamento da tenere nella gestione dei dati personali e sulle procedure da seguire per garantirci continuità anche nel caso di un incidente cyber.
Un primo passo per valutare la nostra preparazione in materia di continuità operativa è porsi le seguenti 7 domande:
Se avete risposto no alla maggior parte delle domande qui sopra, allora forse dovreste ricalibrare i vostri investimenti in termini di tempo e risorse nella Business Continuity della vostra organizzazione.
Chi ha esperienza di Sistemi di Gestione della Continuità Operativa avrà sicuramente familiarità con tutti gli argomenti toccati: ha già la cultura e la preparazione per analizzare gli impatti (le conseguenze) di un incidente cyber, progettare le soluzioni e affidarsi a piani specialistici che indicheranno, ad esempio, come la comunicazione dovrà gestire l’evento, come il settore commerciale gestirà le domande dei clienti, come il Top Management reagirà alla crisi, ecc.
Invece, chi non pratica regolarmente la Business Continuity a livello avanzato, si sarà forse cimentato a usare solo alcuni strumenti della stessa, ma senza la sequenza logica di implementazione che i professionisti di BC conoscono bene. Ad esempio, mai come in questi tempi ho sentito molti ICT Manager discutere della necessità di effettuare le Business Impact Analysis (BIA) per dare priorità ai processi critici ICT.
La BIA è una parte fondamentale del Sistema di Gestione della Continuità Operativa, potremmo definirla il fondamento logico della Business Continuity; senza una BIA di qualità, difficilmente riusciremmo a dare un senso compiuto alle richieste di investimento del business. Ma la BIA è solo una parte dell’intero programma di gestione della continuità di un’organizzazione, e va inserita all’interno della giusta sequenza logica di implementazione perché sia fatta veramente bene.
Di seguito cercherò di dare alcuni suggerimenti utili per fare un’analisi corretta e evitare gli errori più comuni:
Buona business continuity a tutti!
A cura di: Gianna Detoni
Nel panorama odierno della sicurezza informatica, la protezione degli endpoint rappresenta un obiettivo imprescindibile per…
I numeri dell’evento Oltre 1000 ospiti, 42 relatori, 20 interventi tematici e 5 Tavole Rotonde:…
Group-IB è un fornitore, con sede a Singapore, di sistemi ad elevata attendibilità per il…
Le interazioni di natura digitale, su rete pubblica o all’interno di reti private, hanno assunto…
La Commissione Europea ha di recente ricordato come “Artificial intelligence (AI) is not science fiction;…
Di seguito il programma della Cyber Crime Conference 2024, che avrà luogo a Roma nei…