Oggi, il rischio informatico organizzativo riguarda quasi tutti i ruoli. Un solo clic su un’e-mail di phishing da parte di un dipendente non tecnico, un’approvazione affrettata da parte di un responsabile aziendale o un servizio cloud configurato in modo errato da un generalista IT possono scatenare un incidente grave. Per le organizzazioni, ciò può significare danni alla reputazione, multe normative e interruzioni operative.
Ormai la sicurezza informatica è compito e responsabilità di tutti. Le certificazioni di sicurezza informatica e la formazione basata sui ruoli contribuiscono a rendere reale questa responsabilità condivisa.
Da problema IT a rischio informatico a livello organizzativo
Per anni ha prevalso una visione semplicistica: il rischio informatico risiedeva nel data center e pochi specialisti lo tenevano sotto controllo. Questa visione crolla nel momento in cui si osserva dove si trovano effettivamente i sistemi digitali nelle operazioni aziendali.
In un’organizzazione tipica, funzioni fondamentali come la finanza, le risorse umane, il marketing e le operazioni si basano tutte su piattaforme connesse. Gli strumenti finanziari e di approvvigionamento gestiscono i pagamenti e i dati dei fornitori. I sistemi delle risorse umane e delle buste paga memorizzano i dati sensibili dei dipendenti. Le applicazioni di marketing tracciano il comportamento dei clienti e i dati personali. Molti strumenti aziendali sono utilizzati da quasi tutti i reparti e vengono adottati senza la supervisione centrale dell’IT.
Un attacco riuscito in questi ambienti non è solo un rischio informatico. Può ritardare la risposta alle emergenze, interrompere i servizi pubblici, esporre i dati dei cittadini o dei clienti o minare la fiducia dei residenti, dei partner e delle autorità di regolamentazione.
Cultura della sicurezza informatica aziendale come responsabilità collettiva
I leader lungimiranti parlano ora della cultura della sicurezza informatica aziendale e delle amministrazioni territoriali come di capacità a livello organizzativo, non come di ambiti tecnici ristretti. La sicurezza informatica non può più essere limitata a un singolo team.
Gli aggressori prendono sempre più di mira le persone e i processi, non solo le vulnerabilità del software. Cercano urgenza, ambiguità e lacune nella comunicazione. La tecnologia da sola non può risolvere questo problema.
Il personale ha bisogno di una formazione mirata sulla consapevolezza della sicurezza, adattata ai vari flussi di lavoro. Esempi realistici, indicazioni chiare su cosa fare e cosa non fare e semplici linee guida su come segnalare attività sospette sono molto più efficaci di un lungo modulo di e-learning generico una volta all’anno.
Leggi i prossimi articoli per approfondire il tema del rischio informatico e per conoscere le certificazioni CompTIA. Contattaci per maggiori informazioni.
