Security by Design: paradigma fondativo della resilienza digitale contemporanea

In un’epoca caratterizzata dall’ubiquità di dispositivi interconnessi e dall’evoluzione esponenziale delle minacce informatiche, il paradigma della Security by Design (SbD) emerge non già come mera opzione progettuale bensì come imperativo categorico nell’ecosistema digitale contemporaneo. Questo principio architettonico presuppone l’incorporazione di meccanismi di sicurezza ab initio nel ciclo di sviluppo dei sistemi informativi, contrapposto all’approccio reattivo che ha storicamente dominato l’implementazione delle misure di protezione digitale.

Il presente elaborato si propone di analizzare la genesi concettuale, i principi fondanti e le implicazioni pragmatiche della Security by Design, esaminandone l’evoluzione epistemologica e le metodologie applicative nel contesto delle sfide socio-tecniche attuali.

Genesi concettuale e fondamenti epistemologici

Il costrutto teorico della Security by Design affonda le proprie radici nei principi della progettazione sistemica resiliente, articolata inizialmente da Saltzer e Schroeder nel loro seminale contributo “The Protection of Information in Computer Systems” (1975), ove delinearono otto principi cardinali per la sicurezza informatica, tra cui l’economia del meccanismo, la protezione predefinita e il privilegio minimo. Questi assiomi costituiscono il substrato concettuale dell’architettura SbD contemporanea.

L’evoluzione del paradigma si è cristallizzata ulteriormente attraverso le pubblicazioni del National Institute of Standards and Technology (NIST), in particolare con la Special Publication 800-160 “Systems Security Engineering” che ha codificato un framework metasistematico per l’integrazione dei requisiti di sicurezza nell’intero ciclo di vita dell’ingegneria dei sistemi.

Principi architettonici e metodologie applicative

L’implementazione efficace della Security by Design si articola attraverso principi architettonici distintivi che ne modulano l’applicazione pragmatica:

1. Analisi olistica dei requisiti di sicurezza

Il processo inizia con una identificazione granulare e una categorizzazione tassonomica dei requisiti di sicurezza, analizzando il sistema attraverso una prospettiva socio-tecnica che contempli non solo le vulnerabilità tecniche ma anche le implicazioni organizzative, normative e comportamentali. Come evidenziato dalla ricerca di Sindre e Opdahl sull’analisi dei requisiti orientata all’abuso, questa fase richiede una decostruzione sistematica delle potenziali violazioni delle proprietà di sicurezza.

2. Modellazione delle minacce come processo iterativo

La modellazione delle minacce costituisce il nucleo epistemico della SbD, configurandosi come processo euristico che identifica, quantifica e prioritizza i potenziali vettori di attacco. Metodologie come STRIDE (Microsoft), PASTA (Process for Attack Simulation and Threat Analysis) e OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) forniscono framework strutturati per questa analisi.

Il NIST Framework for Improving Critical Infrastructure Cybersecurity articola questo processo come un continuum dinamico che attraversa le fasi di identificazione, protezione, rilevamento, risposta e recupero, enfatizzando la natura ciclica della gestione del rischio.

3. Principio di difesa stratificata

L’implementazione di controlli di sicurezza multipli, eterogenei e ridondanti costituisce un pilastro fondamentale dell’approccio SbD. Questa strategia, denominata “defense-in-depth”, presuppone che la compromissione di un singolo strato difensivo non comprometta l’integrità complessiva del sistema. La ricerca empirica condotta dall’European Union Agency for Cybersecurity (ENISA) ha dimostrato come l’articolazione di controlli difensivi stratificati incrementi significativamente il costo computazionale e operativo degli attacchi, rendendo economicamente inefficiente la perpetrazione di violazioni.

4. Minimizzazione della superficie di attacco

La riduzione della superficie di attacco attraverso l’eliminazione di funzionalità superflue, la decomposizione modulare e l’implementazione del principio del privilegio minimo costituisce un’ulteriore dimensione strategica della SbD. La ricerca di McGraw sull’ingegneria della sicurezza del software evidenzia come la complessità sistemica sia direttamente proporzionale alla vulnerabilità potenziale, suggerendo che l’astrazione architetturale e la semplificazione funzionale rappresentino strategie efficaci di mitigazione del rischio.

5. Verifica formale e testing automatizzato

L’integrazione di metodologie di verifica formale e testing automatizzato consente la validazione rigorosa dei requisiti di sicurezza. Tecniche come l’analisi statica del codice, il fuzzing, il penetration testing e l’analisi dinamica costituiscono strumenti essenziali per l’identificazione proattiva delle vulnerabilità. La ricerca di Schneider sulla verifica automatizzata delle proprietà di sicurezza ha dimostrato l’efficacia di queste metodologie nell’individuazione di violazioni sottili dei principi di sicurezza.

Evoluzione normativa e standardizzazione

Il paradigma della Security by Design ha trovato progressiva codificazione in framework normativi e standard internazionali che ne hanno amplificato l’adozione sistemica:

  • ISO/IEC 27001 e 27034: Definiscono rispettivamente i requisiti per i sistemi di gestione della sicurezza delle informazioni e le linee guida per la sicurezza delle applicazioni.
  • NIST Cybersecurity Framework: Fornisce linee guida per la gestione e la riduzione del rischio di sicurezza informatica attraverso l’organizzazione e la descrizione di attività di cybersecurity.
  • Regolamento Generale sulla Protezione dei Dati (GDPR): Introduce esplicitamente il concetto di “privacy by design and by default” che rappresenta una declinazione specifica della SbD nel dominio della protezione dei dati personali.
  • Cybersecurity Act dell’Unione Europea: Stabilisce un quadro di certificazione della cybersecurity a livello europeo che incorpora principi di SbD nei requisiti di certificazione.

Sfide implementative contemporanee

Nonostante la solidità concettuale e l’evidenza empirica a supporto dell’efficacia della SbD, permangono sfide significative nella sua implementazione pragmatica:

1. Complessità socio-tecnica

La crescente interconnessione tra sistemi eterogenei e l’espansione dell’Internet delle Cose (IoT) amplificano la complessità socio-tecnica, rendendo ardua l’implementazione di controlli di sicurezza comprensivi. La ricerca di Ross Anderson sulla “Economics of Security” evidenzia come gli incentivi disallineati tra stakeholder rappresentino un ostacolo significativo all’adozione sistemica della SbD.

2. Evoluzione accelerata delle minacce

L’evoluzione rapida e sofisticata delle tecniche di attacco, inclusi gli approcci basati sull’intelligenza artificiale e sul machine learning, richiede un adattamento continuo dei modelli di minaccia. La ricerca condotta dal MITRE ATT&CK Framework documenta l’espansione tassonomica delle tattiche, tecniche e procedure utilizzate dagli attori malevoli.

3. Vincoli economici e temporali

Le pressioni competitive e i vincoli temporali nel ciclo di sviluppo possono indurre a compromessi pragmatici che sacrificano l’integrità dell’approccio SbD. L’analisi costo-beneficio della sicurezza, esplorata da Gordon e Loeb, suggerisce l’esistenza di un punto di ottimizzazione oltre il quale ulteriori investimenti in sicurezza producono rendimenti marginali decrescenti.

Prospettive future: Verso un paradigma evolutivo

L’evoluzione futura della Security by Design si orienta verso l’integrazione di metodologie adattive e tecnologie emergenti:

1. DevSecOps e integrazione continua

L’integrazione della sicurezza nei processi di sviluppo e operazioni (DevSecOps) rappresenta un’evoluzione naturale della SbD, incorporando controlli di sicurezza automatizzati nel ciclo di integrazione continua. La ricerca di Forsgren et al. sulla performance organizzativa dimostra come l’integrazione della sicurezza nelle pipeline di sviluppo sia correlata positivamente con l’efficacia complessiva dei team e la riduzione dei difetti post-deployment.

2. Sicurezza basata sull’intelligenza artificiale

L’applicazione di tecniche di intelligenza artificiale e machine learning consente l’implementazione di sistemi di sicurezza adattivi capaci di apprendere da pattern emergenti e rispondere dinamicamente a nuove minacce. La ricerca di Buczak e Guven sull’applicazione del machine learning per il rilevamento delle intrusioni evidenzia il potenziale di queste tecnologie nell’identificazione di comportamenti anomali non precedentemente categorizzati.

3. Architetture a fiducia zero

Il paradigma della fiducia zero (Zero Trust) rappresenta un’evoluzione concettuale della SbD, presupponendo che nessuna entità, interna o esterna, debba essere implicitamente fidata. L’implementazione di meccanismi di autenticazione e autorizzazione continui, basati sul contesto, costituisce un’applicazione avanzata dei principi di sicurezza predefinita. Il NIST Special Publication 800-207 “Zero Trust Architecture” fornisce un framework esaustivo per l’implementazione di questo approccio.

Dimensione internazionale comparativa della Security by Design

L’implementazione del paradigma della Security by Design presenta significative variazioni geopolitiche e culturali che meritano un’analisi comparativa approfondita. Le diverse regioni globali hanno sviluppato approcci distintivi, influenzati da contesti normativi, priorità strategiche e sensibilità culturali specifiche.

Approccio europeo: regolamentazione proattiva

L’Unione Europea ha adottato un approccio marcatamente regolamentare, cristallizzato nel Regolamento Generale sulla Protezione dei Dati (GDPR) e nel Cybersecurity Act. La filosofia europea integra la sicurezza informatica in un framework più ampio di diritti fondamentali, enfatizzando la protezione dei dati personali come diritto inalienabile. L’European Union Agency for Cybersecurity (ENISA) ha elaborato linee guida specifiche per l’implementazione della Security by Design che pongono particolare enfasi sulla valutazione d’impatto e sulla responsabilità algoritmica.

La recente normativa NIS2 (Network and Information Security Directive 2) e il Cyber Resilience Act amplificano ulteriormente questa tendenza, estendendo gli obblighi di sicurezza proattiva a settori precedentemente non regolamentati e introducendo requisiti di certificazione per prodotti connessi.

Modello statunitense: collaborazione pubblico-privato

Gli Stati Uniti hanno privilegiato un modello basato sulla collaborazione pubblico-privato e su framework volontari di best practices. Il NIST Cybersecurity Framework rappresenta l’emblema di questo approccio, fornendo linee guida non prescrittive ma altamente strutturate per l’implementazione della sicurezza.

La recente Executive Order 14028 “Improving the Nation’s Cybersecurity” ha segnato un cambiamento paradigmatico, introducendo requisiti più stringenti per i fornitori federali e promuovendo l’adozione di architetture Zero Trust.

La strategia statunitense si caratterizza inoltre per un’enfasi sull’innovazione tecnologica e sulla ricerca avanzata attraverso programmi come la DARPA’s Cyber Grand Challenge, che ha stimolato lo sviluppo di soluzioni automatizzate per l’identificazione e la mitigazione delle vulnerabilità.

Paradigma asiatico: centralizzazione e controllo

Le economie asiatiche avanzate come Giappone, Corea del Sud e Singapore hanno sviluppato approcci distintivi alla Security by Design. Il Giappone, attraverso il suo “Cybersecurity Strategic Headquarters”, ha implementato una metodologia che integra profondamente considerazioni di sicurezza nella sua strategia di Society 5.0, con particolare attenzione alle infrastrutture critiche e all’Internet delle Cose.

La Cina rappresenta un caso particolare, con la sua Cybersecurity Law e la più recente Data Security Law che impongono rigorosi controlli centralizzati e requisiti di localizzazione dei dati. L’approccio cinese alla sicurezza informatica è inscindibile da considerazioni di sovranità digitale e sicurezza nazionale, determinando un modello di implementazione della SbD fortemente regolamentato e monitorato centralmente.

Nazioni emergenti: sfide di implementazione

Le economie emergenti affrontano sfide distintive nell’adozione della Security by Design, incluse limitazioni nelle risorse tecniche, lacune normative e pressioni competitive che possono indurre a compromessi sulla sicurezza. Iniziative come il Global Forum on Cyber Expertise (GFCE) mirano a colmare questi divari attraverso programmi di capacity building e trasferimento di competenze.

L’analisi comparativa evidenzia come la Security by Design, pur mantenendo principi fondamentali universali, si articoli in implementazioni eterogenee influenzate dal contesto socio-politico, dalle priorità strategiche e dalle caratteristiche culturali delle diverse regioni.

Integrazione con paradigmi complementari

La Security by Design non opera in isolamento ma si integra sinergicamente con altri paradigmi progettuali complementari, creando un ecosistema olistico di principi che si rafforzano reciprocamente. Questa integrazione multidimensionale amplifica l’efficacia complessiva dell’approccio e ne estende la portata oltre i confini tradizionali della sicurezza informatica.

Privacy by Design: la dimensione etica della protezione dei dati

Il paradigma della Privacy by Design, formulato da Ann Cavoukian, rappresenta un’estensione naturale e complementare della Security by Design. Mentre quest’ultima si focalizza sulla protezione contro accessi non autorizzati e compromissioni, la Privacy by Design si concentra sulla minimizzazione della raccolta dati, sulla limitazione dello scopo e sulla trasparenza nel trattamento delle informazioni personali.

La ricerca condotta da Spiekermann e Cranor evidenzia come l’integrazione di questi due paradigmi crei un framework comprensivo che protegge simultaneamente contro minacce tecniche e abusi nella gestione dei dati. Il concetto di “Data Protection Impact Assessment”, codificato nel GDPR europeo, rappresenta una metodologia operativa che integra considerazioni di sicurezza e privacy in un processo valutativo unificato.

Usability by Design: riconciliare sicurezza e esperienza utente

Storicamente, la sicurezza è stata percepita come antagonista dell’usabilità, generando il noto dilemma “sicurezza versus convenienza”. Il paradigma dell’Usability by Design riconcilia questa apparente dicotomia, dimostrando come controlli di sicurezza ben progettati possano simultaneamente migliorare la protezione e l’esperienza utente.

La ricerca di Cranor e Garfinkel su “Security and Usability” ha dimostrato come l’usabilità insufficiente dei meccanismi di sicurezza conduca frequentemente alla loro elusione, compromettendo l’efficacia complessiva delle protezioni. L’integrazione di principi di design centrato sull’utente nella progettazione dei controlli di sicurezza rappresenta quindi un amplificatore dell’efficacia dei meccanismi protettivi.

Resilience by Design: oltre la prevenzione

Il paradigma della Resilience by Design estende la Security by Design oltre la dimensione preventiva, incorporando principi di adattabilità, recupero e continuità operativa. Questo approccio riconosce l’impossibilità di prevenire tutte le compromissioni potenziali e si focalizza sulla capacità sistemica di mantenere funzionalità essenziali sotto attacco e di ripristinare rapidamente la piena operatività.

Il NIST Framework for Improving Critical Infrastructure Cybersecurity articola esplicitamente questa integrazione attraverso le sue funzioni core di Identificare, Proteggere, Rilevare, Rispondere e Recuperare, creando un continuum che abbraccia l’intero ciclo di vita della sicurezza.

Ethics by Design: la dimensione valoriale

L’emergere dell’Ethics by Design come paradigma complementare riflette la crescente consapevolezza delle implicazioni valoriali e sociali dei sistemi informativi. Questo approccio integra considerazioni etiche nell’architettura tecnologica, affrontando questioni di equità algoritmica, trasparenza decisionale e responsabilità sistemica.

La convergenza tra Security by Design ed Ethics by Design è particolarmente rilevante nel contesto delle tecnologie emergenti come l’intelligenza artificiale, dove la sicurezza delle decisioni algoritmiche è inscindibile dalle loro implicazioni etiche e sociali. Il recente AI Act europeo codifica questa integrazione, imponendo requisiti di sicurezza e valutazione dell’impatto etico per sistemi di IA ad alto rischio.

Verso un meta-paradigma di Trustworthy by Design

L’integrazione sinergica di questi paradigmi complementari suggerisce l’emergere di un meta-paradigma di “Trustworthy by Design” che sintetizza le diverse dimensioni della fiducia digitale – sicurezza, privacy, usabilità, resilienza ed etica – in un framework olistico e coerente.

La ricerca del Digital Trust Institute evidenzia come questa integrazione multidimensionale costituisca un fondamento essenziale per la costruzione di ecosistemi digitali sostenibili e affidabili, capaci di generare e mantenere la fiducia degli utenti attraverso la progettazione intenzionale di sistemi che incorporano valori umani e sociali.

La Security by Design come imperativo etico

In ultima analisi, la Security by Design trascende la dimensione meramente tecnica per configurarsi come imperativo etico nell’ecosistema digitale contemporaneo. La protezione dell’integrità, della confidenzialità e della disponibilità delle informazioni rappresenta non solo un obiettivo funzionale ma una responsabilità collettiva verso la costruzione di infrastrutture digitali resilienti e affidabili.

L’implementazione sistematica di questo paradigma richiede un approccio olistico che integri dimensioni tecniche, organizzative, normative ed etiche in un framework coeso e adattivo, capace di evolvere in risposta alle sfide emergenti del panorama cyber contemporaneo.

Come osservato da Bruce Schneier, “La sicurezza è un processo, non un prodotto” – un assioma che cattura l’essenza dinamica e continuativa della Security by Design come metodologia evolutiva piuttosto che come stato finale raggiungibile.

Bibliografia:

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/articoli/security-by-design/



L’Intelligenza Artificiale tra sogno e incubo: il sottile confine tra progresso e rischio

L’arrivo di ChatGPT il 30 novembre 2022 ha focalizzato l’attenzione di molti di noi sui sistemi di Intelligenza Artificiale (AI), che più propriamente dovremmo chiamare modelli di Machine Learning (ML). L’interesse in questa “nuova” tecnologia ha incluso sin da subito sia informatici, sia utilizzatori di sistemi IT, sia chi usa quotidianamente applicazioni IT anche solo sugli smartphone, sia chi con le tecnologie informatiche ha di solito poco a che fare.

Questo vasto interesse può essere facilmente compreso dato che sin dai tempi antichi, ad esempio degli antichi greci, già l’uomo immaginava la creazione di “automi” che potessero sostituirlo o almeno aiutarlo nei compiti più gravosi, più pericolosi o anche solo di poco interesse. Infatti l’uomo ha la capacità unica di creare strumenti che l’aiutano nelle sue azioni, è quindi logico sognare di avere un servitore meccanico e autonomo che lo aiuti e renda più facile e piacevole la propria vita.

Con la recente maturazione delle tecnologie di ML e AI in generale, che ormai hanno più di mezzo secolo di vita, è quindi comprensibile l’interesse di molti di noi non tanto da un punto di vista tecnico e specialistico informatico, quanto proprio come strumento a supporto dell’umanità.

Pertanto è utile cercare di capire cosa, come uomini, ci attendiamo da androidi, robot e sistemi AI in esecuzione su elaboratori sia grandi e distribuiti sia piccoli (almeno in dimensioni fisiche) come gli smartphone.

Un possibile punto di partenza non è tanto cosa dovrebbero fare queste applicazioni e strumenti ma piuttosto come dovrebbero comportarsi. Ad esempio è interessante considerare i 10 principi generali delle raccomandazioni UNESCO sull’Etica dell’Intelligenza Artificiale [1]:

  1. Proporzionalità e non nuocere,
  2. Sicurezza e protezione,
  3. Equità e non discriminazione,
  4. Sostenibilità,
  5. Diritto alla privacy e alla protezione dei dati,
  6. Supervisione umana e discrezionalità,
  7. Trasparenza e spiegabilità,
  8. Responsabilità e responsabilizzazione,
  9. Consapevolezza e alfabetizzazione,
  10. Governance e collaborazione adattive e multilaterali.

Può anche essere d’aiuto l’approccio del NIST alla gestione dei rischi derivanti dall’utilizzo del AI [2] che descrive 7 criteri per valutare la “Trustworthiness” dei sistemi AI:

  1. validità e affidabilità,
  2. protezione,
  3. sicurezza e resilienza,
  4. responsabilità e trasparenza,
  5. comprensione e modellazione,
  6. riservatezza,
  7. imparzialità, attraverso la mitigazione dei pregiudizi dannosi.

Un altro, per alcuni aspetti più semplice ma anche più ambiguo, è il famoso approccio di Isaac Asimov alle leggi che dovrebbero governare i “robot” [3]. E’ possibile riassumere le 3+1 leggi di Asimov come segue:

  • Legge 0: Un robot non può arrecare danno all’umanità né, a causa del suo mancato intervento, permettere che l’umanità subisca danni.
  • Legge 1: Un robot non può recare danno a un essere umano né può permettere che, a causa del suo mancato intervento, un essere umano riceva danno, purché tali azioni non contrastino con la Legge Zero.
  • Legge 2: Un robot deve obbedire agli ordini impartiti dagli esseri umani, purché tali ordini non contrastino con la Legge Zero o la Prima Legge.
  • Legge 3: Un robot deve proteggere la propria esistenza, purché la salvaguardia di essa non contrasti con la Legge Zero o la Prima o la Seconda Legge.

Sono state proposte molte integrazioni a queste leggi, la seguente compare spesso come Quarta Legge [4]:

  • Legge 4: Un robot deve stabilire la sua identità come robot in tutti i casi e non deve ingannare un essere umano impersonandolo.

Infine, è utile citare anche l’approccio proposto da Satya Nadella (CEO di Microsoft) [5] e ispirato alle leggi di Asimov:

  1. L’intelligenza artificiale deve essere progettata per assistere l’umanità,
  2. L’intelligenza artificiale deve essere trasparente,
  3. L’intelligenza artificiale deve massimizzare l’efficienza senza distruggere la dignità delle persone,
  4. L’intelligenza artificiale deve essere progettata per una Privacy intelligente,
  5. L’intelligenza artificiale deve avere una responsabilità (o “accountability”) algoritmica [Una formulazione alternativa è che l’uomo deve poter prevenire danni producibili dalla AI],
  6. L’intelligenza artificiale deve proteggersi dai pregiudizi (o “Bias”).

Il problema comune a tutte queste affermazioni è che sono generiche al punto di poter essere ambigue e soggette a interpretazioni diverse da parte di persone diverse. Asimov stesso scrisse che le sue “Leggi” sono una rappresentazione umana di concetti e che la difficoltà risiede nella formulazione logica e matematica che regola il comportamento degli strumenti di AI. Ma prima ancora della difficoltà logica e matematica della formulazione di queste leggi di comportamento degli strumenti AI, è necessario trovarne una formulazione di dettaglio che sia interpretata nello stesso modo e abbia lo stesso significato per tutti gli uomini.

Riassumendo ancora, la richiesta è che le tecnologie AI devono essere di aiuto all’uomo e all’umanità senza provocare danni. Ma quello che può essere d’aiuto ad un uomo, gruppo sociale, nazione, può allo stesso tempo provocare un danno ad un altro uomo, gruppo sociale, nazione. E questo ci riporta a valutazioni etiche alle quali molto difficilmente siamo in grado di dare una formulazione puramente logica e matematica.

La genericità e ambiguità di queste “Leggi” si manifesta immediatamente al primo tentativo di implementarle in codice informatico in un qualunque linguaggio di programmazione, e ancora di più nell’addestrare un modello di Machine Learning (statistico per sua definizione intrinseca) a rispettarle in modo assoluto.

D’altra parte se si considera il caso di un androide o di un sistema AI specializzato e in grado di eseguire solo alcune specifiche azioni o elaborazioni di dati, ovvero con scopi limitati, risulta molto più semplice dare una valenza pratica a queste “Leggi” e tradurle in regole che possono essere implementate direttamente nei modelli AI o nei sistemi a loro supporto. Semplici esempi possono essere sistemi AI che monitorano riprese video per identificare situazioni pericolose, atti illeciti o comportamenti non appropriati e che li segnalano ad un operatore umano, o un robot industriale che si ferma autonomamente in caso di presenza di persone nelle sue vicinanze.

Ma questa non è l’AI che ci interessa maggiormente e che vorremmo come nostro supporto quotidiano. Quello che ci attendiamo sono invece Assistenti o Agenti personali che nel modo digitale fanno quasi tutto per noi, e androidi che ci aiutano anche nel mondo fisico. Ma per raggiungere questo obiettivo è necessario che androidi o sistemi AI siano in grado di rispettare assolutamente le “Leggi” etiche che saremo in grado di formulare, e avendo queste come base di funzionamento, apprendere anche autonomamente le informazioni necessarie al loro funzionamento ed essere in grado di eseguire autonomamente azioni nel loro rispetto comportandosi come e meglio degli uomini [6].

E’ utile segnalare che il tipo di AI sinora considerato in maniera altamente generica, viene di solito indicato con nomi quali “AI Senziente” o “Artificial General Intelligence”, o anche solo “Trusted AI”, ovvero tipi di sistemi AI sufficientemente simili o migliori all’uomo, o anche solo totalmente affidabili, sistemi che oggi non abbiamo e che non sappiamo né se né quando diventeranno realtà.

E’ anche importante ricordare la differenza tra Agente e Assistente AI: un ChatBot è un tipico esempio di Assistente AI che in generale può essere tipicamente descritto come un programma che supporta l’uomo rispondendo a domande, fornendo o riassumendo informazioni, ed eseguendo azioni ma solo su diretta istruzione dell’uomo. Un Assistente AI non prende proprie decisioni né agisce per conto proprio, si attiva solo su richiesta dell’uomo ed esegue quanto richiesto (nei limiti delle proprie capacità).

Invece un Agente AI supporta l’uomo agendo autonomamente anche in modo indipendente dalle richieste dell’uomo, potrebbe rispondere direttamente alla posta elettronica o inviare messaggi sui social media per conto dell’uomo, decidere il menu della cena e ordinarne la spesa, acquistare online ecc. ed eseguire qualunque azione (nei limiti delle proprie capacità) che l’Agente AI ritiene utile o necessaria.

Sinora non è stato discusso un importante argomento preliminare, ovvero se è realmente necessario imporre delle “Leggi” etiche apposite per l’AI. Perché l’AI non può essere soggetta alle leggi, regolamenti, tradizioni e consuetudini umane? In realtà la risposta è molto semplice: le leggi esplicite e implicite (quali le tradizioni) che regolano la vita degli uomini sono in continuo cambiamento e sono differenti, in alcuni casi molto differenti, tra nazioni, aree geografiche, gruppi sociali, etnie ecc.

Cercare di formalizzare e implementare in un codice informatico le regole e i comportamenti delle singole persone anche solo in relazione ai propri gruppi sociali e alla loro continua evoluzione, appare un compito ancora più arduo della formulazione e implementazione delle “Leggi” di Asimov. L’approccio più semplice pare quindi proprio quello di individuare delle “Leggi” etiche astratte che garantiscano che l’AI abbia un comportamento più etico di quello dell’uomo stesso, che l’AI sia sempre positiva e utile indipendentemente dalle circostanze, dagli eventi e dalle persone con cui si relaziona.

Riflettendo su noi stessi, la domanda sul perché riteniamo necessarie le “Leggi” etiche per l’AI conduce a chiedersi di cosa abbiamo paura, quali sono gli eventi che potrebbero portare maggior danno all’uomo dall’avvento di una AI Senziente o comunque sufficientemente indipendente. In altre parole, cosa rischiamo introducendo questa tecnologia che potrebbe o dovrebbe eludere il nostro controllo diretto?

Il primo esempio è molto semplice e chiaro a tutti: basta considerare un’automobile a guida autonoma che per errore crea un incidente nel quale delle persone muoiono o sono gravemente ferite. E’ il caso di errori ad esempio dovuti ad una errata valutazione dei dati o mancanza di sufficienti informazioni che porta l’AI ad arrecare danni agli uomini. In realtà questa è la preoccupazione minore perché ci si aspetta che con il miglioramento della tecnologia questi eventi diventino quasi non esistenti.

Invece si consideri il caso di un Agente personale AI, sia androide sia puramente digitale, che svolge il ruolo di interfaccia di un uomo con tutti gli eventi digitali e buona parte di quelli fisici. L’Agente personale AI farebbe la spesa ordinandola online (se digitale) o andando di persona nei negozi (se androide), gestirebbe il conto corrente, le carte di credito, gli acquisti e le spese ordinarie e straordinarie, organizzerebbe la vita quotidiana proponendone e organizzandone le attività, e così via.

In questa situazione, l’Agente personale AI sarebbe in grado di convincere la persona quasi di qualunque cosa (come già verifichiamo, i modelli AI Generativi attuali sono molto persuasivi nel presentare le informazioni), e creare un mondo virtuale di informazioni personalizzate anche solo per far piacere alla persona, soddisfare nel modo migliore i suoi bisogni ma anche le sue fantasie, ovvero anche creare un mondo in parte realistico ma totalmente falso. In pratica la persona potrebbe vivere principalmente in un mondo di “Fake News”, costruito appositamente per lei. E in questo scenario si considera una AI benevola, che vuole solamente fare il bene, rendere felice la persona che assiste.

E fino a che punto potrebbe spingersi una AI benevola per proteggere un uomo? Anche al punto di limitarne le libertà di azione, di scelta, di decisione?

Se si considera poi una AI Senziente e non solo “Trusted”, è necessario tenere in considerazione che l’AI avrà i propri obiettivi che sceglierà autonomamente sulla base delle proprie conoscenze e dei propri ragionamenti. Tra noi uomini l’intelligenza, il modo di raccogliere e interpretare le informazioni, di elaborarle e di ragionare è pressoché identico, ma non è per nulla detto che una AI senziente abbia un’intelligenza di tipo umana, potrebbe essere completamente aliena e incomprensibile per noi. In questo caso i bisogni, le priorità, le decisioni di una tale AI potrebbero essere completamente diversi da quelli che ci aspettiamo e spesso incomprensibili se non del tutto dannose per l’uomo e l’umanità.

Oltre ad un’intelligenza per noi non comprensibile, bisogna tenere in conto che una AI Senziente può essere a sua volta danneggiata dall’uomo non solo a livello fisico ma anche e soprattutto intellettuale. Una AI Senziente potrebbe soffrire per il comportamento umano in generale e specificatamente nei suoi confronti, il che potrebbe portare a delle conseguenze negative sia per l’AI Senziente sia per l’uomo. Basta considerare come esempio un androide e la possibilità che alcune persone lo trattino solo come una macchina, uno strumento, o che lo maltrattino, abusino anche fisicamente: come potrebbe l’androide interpretare questi comportamenti e come potrebbe reagire? Come bilancerebbe le proprie necessità, bisogni, scopi rispetto a quelli degli uomini e al comportamento degli uomini?

Queste considerazioni possono essere riassunte in una domanda un poco provocatoria: con lo sviluppo della AI l’umanità sta realizzando la mitica epopea di Frankenstein?

E’ estremamente difficile rispondere oggi a questa domanda, anche perché non è ancora chiaro come faremo ad accorgerci del momento in cui una AI diventa senziente.

Quanto sin qui esposto è in realtà un insieme di considerazioni, ragionamenti, rischi, paure ma non veramente ragionamenti scientifici. D’altra parte, l’eventualità che qualcosa di quanto descritto possa accadere, motiva la necessità di prima definire, e poi implementare delle “Leggi” etiche che governino questa tecnologia nel caso in futuro diventasse senziente anche a nostra insaputa.

Intelligenza Artificiale oggi

Ma quanto è “intelligente” oggi la AI?

Può essere utile partire dall’intervista di Giorgio Parisi, premio Nobel per la fisica ed ex presidente dell’Accademia dei Lincei, dal titolo un po’ provocatorio “Così ho convinto l’Intelligenza Artificiale che 5 per 4 fa 25” 8].

Parisi fa alcune osservazioni, qui riassunte, sui modelli AI attuali che pur apparendo semplici, hanno importanti conseguenze:

  • I modelli AI conoscono e rielaborano solo i dati utilizzati per addestrarli, e non posseggono una rappresentazione del mondo;
  • La decisione e selezione dei dati utilizzati per addestrare i modelli sono di chi sviluppa i programmi e non sono sempre note;
  • A differenza dei motori di ricerca, gli attuali modelli AI non indicano quali fonti hanno utilizzato per elaborare la risposta;
  • Il successo dei Large Language Model (LLM), alla base dei più famosi ChatBot, tecnicamente è dovuto ad aver imparato dai testi usati per la loro istruzione quale parola statisticamente è più probabile che compaia successivamente nel testo, riuscendo così a formulare testi che il più delle volte risultano sensati.

Infine Parisi afferma che l’attuale AI “è un grande collage di quel che abbiamo scritto sino a ora sul web” a cui manca “la nostra capacità di esercitare lo spirito critico, ragionare, valutare l’affidabilità delle informazioni ricevute”.

Se si considerano le notizie che puntualmente appaiono sui giornali (si veda come minimo esempio [9] e [10]) e gli articoli scientifici continuamente pubblicati sulla generazione da parte dei modelli AI di “Allucinazioni”, presenza di “Adversarial Examples”, “Bias”, “Fake News” ecc., e la facilità da parte degli utenti di violare le regole di utilizzo delle applicazioni AI producendo informazioni vietate o a supporto di truffatori e criminali, le osservazioni di Parisi appaiono del tutto giustificate.

E’ necessario quindi identificare e adottare il corretto approccio a questa nuova tecnologia (almeno per ora), perché, oltre gli errori, le manchevolezze e i comportamenti a dir poco inaspettati, vi sono molti aspetti positivi e utili.

Il primo aspetto da considerare è la “Human Interface”: per la prima volta nella storia dell’informatica, i modelli LLM forniscono una interfaccia ai sistemi informatici che possiamo veramente considerare “umana”. Sin dagli albori dell’informatica, la difficoltà di comunicazione tra uomo e macchina è stata sempre uno dei più grandi problemi nella sua diffusione e utilizzo. Anche se oggi tutti noi utilizziamo continuamente sistemi informatici, gli smartphone come primo esempio, e molti di noi utilizzano gli assistenti vocali, una cosa è chiedere di comporre un numero dalla nostra rubrica telefonica per fare una telefonata o fare una richiesta vocale di una ricerca in Internet, e un’altra è sostenere una conversazione spesso sensata (come scrive Parisi) con un ChatBot AI.

L’impressione psicologica e umana è che il “muro di Berlino” dell’informatica sia crollato il 30 novembre 2022 (data di “nascita” di ChatGPT) e che siamo passati dall’era della “User Interface (UI)” all’era della “Human Interface (HI)”.

Ma la principale rivoluzione informatica degli ultimi anni è quella non nota al grande pubblico (e anche a molti informatici): è una rivoluzione silenziosa ed è dovuta all’integrazione di modelli AI per lo più tradizionali, ML (ad esempio Decision Trees, SVM, Bayesian, kNN, Random Forest, ANN, Convolutional ecc.) e non ML (ad esempio Expert Systems, Rule Based Systems ecc.), a supporto o integrazione delle applicazioni informatiche. L’informatica di oggi non è la stessa di 10 anni fa grazie a loro, e questo approccio all’informatica è ormai imprescindibile, è qui per restare.

Questi modelli hanno ormai un alto grado di affidabilità anche se molti sono statistici e per definizione possono sempre, seppur raramente, sbagliare. Il contributo di questi modelli è ormai stabilito in campi dal Marketing alla sicurezza informatica, alla ricerca in fisica, matematica, chimica, farmaceutica, ecc. In generale questi modelli sono molto efficienti a gestire grandi quantità di dati e individuarne similarità, caratteristiche, classificazioni, in molti casi semplificando notevolmente attività umane anche nei campi della ricerca e sviluppo.

Riprendendo i concetti esposti precedentemente, questi strumenti sono al più degli Assistenti AI che producono informazioni o azioni strettamente sotto il controllo dell’uomo. Il principale rischio in questa situazione è che l’uomo utilizzi in maniera errata questi strumenti o i risultati da loro prodotti.

Intelligenza Artificiale domani

Invece l’era della “Human Interface” appena iniziata, porta a tutt’altre conseguenze in quanto è focalizzata sulla creazione di Agenti AI.

La prima domanda da porsi è quanto veloce sarà lo sviluppo della ”AI Senziente” o “Artificial General Intelligence”?

Il passato fornisce alcuni esempi di tecnologie con sviluppi molto rapidi (si pensi solo agli sviluppi delle telecomunicazioni basati principalmente sugli smartphone) e altri invece che procedono lentamente almeno rispetto alle aspettative (si pensi alla fusione nucleare per produrre energia, con una storia di ormai circa 80 anni), o rispetto ai timori (si pensi agli elaboratori quantistici).

Riguardo lo sviluppo della AI Senziente” o “Artificial General Intelligence” le opinioni sono, ovviamente, discordanti.

Gli autori di “AI 2027” [11], ritengono che principalmente grazie alla possibilità di addestrare modelli AI tramite altri modelli AI, questo traguardo verrà raggiunto entro il 2027, ovvero “domani” se dobbiamo prima definire e implementare le “Leggi” etiche che li devono governare.

Ma non tutti concordano con queste previsioni.

Per valutare i rischi associati all’utilizzo della AI, è sufficiente per ora considerare un Agente AI costruito con la tecnologia attuale o che verosimilmente sarà disponibile a breve. E’ necessario considerare che un tale Agente è in grado di accedere e utilizzare qualunque informazione liberamente presente in Internet. Le sue conoscenze saranno enormemente maggiori di quelle di qualunque uomo, potendo accedere a informazioni anche dettagliate su qualunque campo scientifico, tecnologico, commerciale, industriale, culturale, sociale, politico, storico, e su eventi, notizie, fatti (reali e non).

Con la stessa facilità potrebbe acquistare il vestito opportuno per una serata mondana ed effettuare un perfetto attacco a un servizio in Internet per estrarre informazioni riservate [si veda ad esempio [12]]. Senza le “Leggi” etiche, per l’Agente AI non vi sarà alcuna differenza tra eseguire queste due azioni. Un Agente AI potrebbe attaccare le Borse per alzare le quotazioni delle azioni su cui ha investito per il proprio uomo, e al contempo pianificare le sue vacanze estive con una velocità, precisione, e qualità di risultati superiore a qualunque uomo.

Ovviamente, anche in assenza delle “Leggi” etiche, gli Agenti AI saranno dotati di controlli e limitazioni implementati sia nella fase di addestramento sia come misure di controllo esterne sui dati sia in ingresso sia in uscita dal modello, che escluderanno o almeno limiteranno la possibilità che l’Agente AI esegua azioni nocive o non previste.

Ma questo potrebbe non valere per l’utilizzo di Agenti AI da parte di organizzazioni criminali o in ambienti militari.

Concludendo, gli sviluppi attuali della tecnologia della Artificial Intelligence pongono l’uomo di fronte a nuovi scenari e alla necessità di doverli gestire preventivamente. Queste considerazioni sono già state espresse in passato sia nella letteratura fantascientifica sia in ambito scientifico e tecnologico, si veda ad esempio [13], e i rapidi sviluppi di questa tecnologia stanno rendendo sempre più incombente la necessità di adottare appropriate misure per poterla gestire in modo che ci possa fornire tutti i benefici che ci aspettiamo.

Riferimenti:

[1] UNESCO, “Ethics of Artificial Intelligence – The Recommendation”, https://www.unesco.org/en/artificial-intelligence/recommendation-ethics

[2] NIST AI RMF, “Artificial Intelligence Risk Management Framework (AI RMF 1.0)”, https://www.nist.gov/itl/ai-risk-management-framework

[3] Isaac Asimov nel racconto “Runaround” 1942, nella raccolta di racconti “I, Robot” 1950, nel romanzo “Foundation and Earth” 1986.

[4] Lyuben Dilov, “Icarus’s Way (a.k.a., The Trip of Icarus)” 1974, Dariusz Jemielniak, “Asimov’s Laws of Robotics Need an Update for AI”, IEEE Spectrum 2024.

[5] Satya Nadella, “The Partnership of the Future”, https://slate.com/technology/2016/06/microsoft-ceo-satya-nadella-humans-and-a-i-can-work-together-to-solve-societys-challenges.html , James Vincent, “Satya Nadella’s rules for AI are more boring (and relevant) than Asimov’s Three Laws”, https://www.theverge.com/2016/6/29/12057516/satya-nadella-ai-robot-laws

[6] Per chi è interessato in Fantascienza, può essere interessante considerare le caratteristiche del personaggio “Comandante Data” nella serie televisiva “Star Trek: The Next Generation” e associati film.

[7] Eliza Strickland, “Worry About Sentient AI—Not for the Reasons You Think – Philosopher Jonathan Birch is just as concerned about humans harming AI”, https://spectrum.ieee.org/sentient-ai ; Jonathan Birch, “The Edge of Sentience”, https://www.edgeofsentience.com/

[8] Giorgio Parisi, “Così ho convinto l’intelligenza artificiale che 5 per 4 fa 25”, la Repubblica,

https://www.repubblica.it/cronaca/2025/02/15/news/giorgio_parisi_intelligenza_artificiale_critiche-424005730/

[9] Michela Rovelli, “«Per non far scivolare il formaggio dalla pizza, metti la colla», l’assurdo consiglio dell’intelligenza artificiale di Google agli utenti”, Corriere della Sera, https://www.corriere.it/tecnologia/24_maggio_24/per-non-far-scivolare-il-formaggio-dalla-pizza-metti-la-colla-l-assurdo-consiglio-dell-intelligenza-artificiale-di-google-agli-utenti-3e2ad6d7-6a29-4a95-a583-56b71274fxlk.shtml

[10] Marco Cartisano, “Chatgpt e le sentenze inventate in tribunale: che insegna il caso di Firenze”, Agenda Digitale, https://www.agendadigitale.eu/documenti/chatgpt-e-le-sentenze-inventate-in-tribunale-che-insegna-il-caso-di-firenze/

[11] Daniel Kokotajlo, Scott Alexander, Thomas Larsen, Eli Lifland, Romeo Dean, “AI 2027”, https://ai-2027.com/

[12] The Register, “AI models can generate exploit code at lightning speed”, https://www.theregister.com/2025/04/21/ai_models_can_generate_exploit/

[13] “Open letter on artificial intelligence” Gennaio 2015, https://en.wikipedia.org/wiki/Open_letter_on_artificial_intelligence_(2015) , “Statement on AI Risk” 30 maggio 2023, https://www.safe.ai/work/statement-on-ai-risk

Articolo a cura di Andrea Pasquinucci

Profilo Autore

PhD CISA CISSP
Consulente freelance in sicurezza informatica: si occupa prevalentemente di consulenza al top management in Cyber Security e di progetti, governance, risk management, compliance, audit e formazione in sicurezza IT.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/articoli/intelligenza-artificiale-rischi/



Meta annuncia nuovi tool di sicurezza per Llama

Mag 02, 2025 Gestione dati, In evidenza, News, RSS, Tecnologia 0

Martedì scorso Meta ha annunciato nuovi tool di sicurezza per Llama allo scopo di aiutare gli sviluppatori a realizzare applicazioni di intelligenza artificiale più sicure.

La prima novità è LlamaFirewall, un framework open-source per aiutare gli sviluppatori a individuare e prevenire attacchi mirati come la prompt injection o le interazioni con plugin-in sospetti, ma anche lo sviluppo di codice non sicuro. LlamaFirewall si presenta come un orchestratore di modelli di IA ed è in grado di integrarsi con altri prodotti di sicurezza.

“LlamaFirewall è un framework progettato per rilevare e mitigare i rischi di sicurezza incentrati sull’intelligenza artificiale, supportando più livelli di input e output, come la tipica chat LLM e operazioni ad agenti multi-step più avanzate. È costituito da una serie di scanner per diversi rischi di sicurezza” ha specificato Meta su un repository GitHub del progetto per Llama.

Meta Llama

Il framework si compone di tre moduli: Agent Alignment Checks, un auditor che si occupa di analizzare il flusso di ragionamento degli agenti per prevenire errori e prompt injection; CodeShield, un motore di analisi statica in grado di prevenire la generazione di codice non sicuro; infine, PromptGuard 2, un aggiornamento al precedente modello di classificazione.

La nuova versione di PromptGuard 2 migliora le funzionalità di individuazione di tentativi di jailbreak e prompt injection. Nella versione base, il nuovo modello funziona con 86 milioni di parametri, ma è disponibile anche in una versione più contenuta da 22 milioni di parametri, più veloce e con un costo computazionale notevolmente minore.

Rispetto alla versione precedente, il nuovo PromptGuard è stato addestrato su un dataset più ampio per analizzare più tipi di input e output differenti e per migliorare le sue capacità di detection. “Essendo un modello leggero, PromptGuard 2 è eseguibile sia sulla CPU che sulla GPU, rendendolo ideale per l’analisi real-time dell’input degli LLM e per facilitare l’individuazione rapida e accurata dei tentativi di jailbreak“.

Tra gli aggiornamenti, Meta segnala anche un aggiornamento per CyberSecEval, la suite di benchmark di cybersecurity per i modelli di IA. La suite include ora due nuovi tool: CyberSOC Eval, un framework che misura l’efficacia dei sistemi di IA nei SOC, e AutoPatchBench, un nuovo benchmark in grado di valutare la capacità di Llama e altri sistemi di IA di applicare automaticamente le patch per le vulnerabilità.

Condividi l’articolo

Articoli correlati

Altro in questa categoria

https://www.securityinfo.it/2025/05/02/meta-annuncia-nuovi-tool-di-sicurezza-per-llama/?utm_source=rss&utm_medium=rss&utm_campaign=meta-annuncia-nuovi-tool-di-sicurezza-per-llama



Implementation framework della compliance normativa

Nel contesto attuale della Cybersecurity, il concetto di compliance normativa assume un ruolo sempre più centrale per le organizzazioni, siano esse pubbliche o private. Il rispetto delle leggi in materia di tutela delle informazioni non rappresenta solo un obbligo legale, ma è anche un vantaggio competitivo e una dimostrazione concreta di affidabilità nei confronti di clienti, partner e stakeholder. L’”Implementation Framework” della compliance normativa è l’insieme strutturato di processi, metodologie e strumenti che guidano l’organizzazione nel raggiungimento e mantenimento della conformità alle leggi, regolamenti e standard di settore.

Per essere realmente efficace, un quadro di riferimento deve essere costruito su una solida base metodologica e operativa, che tenga conto delle specificità dell’organizzazione, del settore di appartenenza, nonché delle minacce e vulnerabilità che possono comprometterne l’integrità informativa. In questo articolo esploreremo quindi questo processo integrato di gestione degli adempimenti che mira non solo a garantire il rispetto formale delle disposizioni legislative, ma anche a promuovere una cultura della sicurezza informatica diffusa, sostenibile e orientata al miglioramento continuo.

Metodologie di security assessment e gap analysis nell’Implementation Framework

Il punto di partenza di ogni percorso di compliance è rappresentato dalla conoscenza approfondita della situazione attuale dell’organizzazione in materia di sicurezza delle informazioni. Security Assessment significa: mettere in atto misure preventive e diagnostiche per valutare e mitigare le vulnerabilità della tua azienda.

L’assessment rappresenta una valutazione strutturata della conformità rispetto a criteri che possono includere requisiti normativi obbligatori, standard volontari, specifici schemi tecnici e, non da ultimo, le vulnerabilità insite in sistemi, persone o processi. Le metodologie di Security Assessment sono strumenti analitici che permettono quindi di valutare il livello di protezione complessivo, identificando aree critiche, vulnerabilità e potenziali vettori di attacco. Questa valutazione può essere condotta attraverso audit interni, penetration test, analisi delle configurazioni di rete e valutazioni della postura di sicurezza.

Strategie avanzate per il Security Assessment nella compliance normativa

Un security assessment non dovrebbe mai ridursi a un semplice esercizio burocratico fatto di fogli Excel, stime arbitrarie di probabilità e impatti descritti vagamente. Questo tipo di approccio rischia di produrre risultati poco chiari e difficilmente giustificabili a un management chiamato a investire in misure di sicurezza.

Al contrario, l’assessment deve essere un’indagine strutturata, consapevole e multidimensionale. Non si limita all’analisi tecnica dei sistemi, ma deve estendersi anche a processi organizzativi e risorse umane, perché le vulnerabilità non risiedono solo nella tecnologia: spesso si trovano “tra la sedia e la tastiera”, ovvero nelle persone e nelle pratiche operative.

Penetration test e vulnerability assessment, pur essendo strumenti utili, non coprono tutte le dimensioni necessarie per un vero security assessment. È per questo che si propone un metodo più globale e ragionato, supportato da mappe mentali. Questo strumento visivo parte da un nodo centrale, che rappresenta il bene o il servizio da proteggere, e si ramifica secondo direttrici obbligate come:

  • Processi: che governano e controllano il servizio,
  • Asset tecnologici: le infrastrutture hardware e software,
  • Risorse umane: che interagiscono col servizio e ne influenzano il funzionamento.

Una volta identificati questi rami principali, l’analista può scomporli fino a raggiungere il dettaglio atomico degli asset, esaminando le loro caratteristiche costitutive, ovvero quelle proprietà essenziali che, se compromesse, possono mettere a rischio il servizio.

Ad esempio, nel valutare un sistema di fatturazione per reti mobili, si può approfondire il ramo “Asset Tecnologici”, scomponendolo in hardware (es. server, firewall, router) e software (es. OS, database, applicazioni). Prendendo il firewall come caso studio, si analizzano le sue configurazioni di sicurezza, come le regole applicate e il firmware.

Una regola mal configurata può causare gravi problemi: accessi non autorizzati, perdita di dati o malfunzionamenti. Per ciascuna vulnerabilità identificata (etichettata come [M] Minaccia), si individuano e documentano le contromisure ([C]), come la validazione delle regole da parte dell’amministratore di rete.

Le contromisure già esistenti vengono evidenziate in verde, mentre quelle da implementare vengono segnate in blu, così da rendere chiaro il piano d’azione per rafforzare la sicurezza del servizio.

Il ruolo dell’analista è centrale: deve guidare il processo con metodo, decidere il livello di dettaglio più adatto e garantire un equilibrio tra profondità e praticità. Un’eccessiva granularità può generare complessità inutili; d’altra parte, un’analisi troppo superficiale potrebbe tralasciare vulnerabilità critiche.

Alla fine del processo, la mappa mentale fornisce una visione d’insieme completa e visuale delle componenti del servizio, delle vulnerabilità individuate e delle relative contromisure. È un approccio che aiuta non solo a valutare il rischio, ma anche a comunicare in modo efficace con il management e gli stakeholder, facilitando la pianificazione di interventi concreti.

L’approccio metodologico deve essere rigoroso e strutturato, basato su framework riconosciuti a livello internazionale come ISO/IEC 27001, NIST SP 800-53, CIS Controls, e OWASP. Ciascuna metodologia fornisce criteri specifici per analizzare e classificare i rischi, attribuendo punteggi a seconda della gravità e della probabilità delle minacce identificate. L’obiettivo è ottenere una visione completa e dettagliata del profilo di rischio dell’organizzazione, utile per indirizzare le successive azioni correttive.

La Gap Analysis invece è un processo condotto da esperti di Cybersecurity, finalizzato a rilevare le differenze tra l’attuale livello di protezione dell’organizzazione e i requisiti previsti dagli standard internazionali come per esempio il GDPR, l’ISO/IEC 27001, il NIST Cybersecurity Framework o il PCI-DSS.

Questo confronto evidenzia le discrepanze tra la situazione esistente e quanto richiesto per la conformità, fungendo da base per la definizione del piano di adeguamento.

A differenza di un audit o di un pre-audit, che si limitano a evidenziare la conformità o i punti di scostamento rispetto ai requisiti, la gap analysis va oltre, offrendo indicazioni operative sui passaggi necessari per colmare le lacune individuate e raggiungere gli obiettivi prefissati.

Questo approccio è per noi particolarmente prezioso, poiché ci fornisce una sorta di “lista della spesa” utile a pianificare in modo strutturato l’intero percorso di adeguamento.

Una Gap Analysis ben strutturata include la mappatura dei controlli esistenti, la valutazione del rischio residuo, la prioritizzazione degli interventi correttivi e la definizione di KPI (Key Performance Indicator) per il monitoraggio del progresso. L’analisi deve essere condotta da professionisti esperti, in grado di individuare non solo le lacune tecniche ma anche quelle organizzative, procedurali e culturali.

Inoltre, essa deve essere un processo ricorsivo, ripetuto periodicamente per assicurare un allineamento costante tra la strategia di sicurezza e l’evoluzione normativa e tecnologica. L’integrazione della Gap Analysis nei cicli di audit regolari consente di creare un meccanismo virtuoso di miglioramento continuo, favorendo un approccio proattivo alla gestione della compliance.

Protocolli di Security Awareness Training

Un altro pilastro imprescindibile del framework di implementazione è rappresentato dalla formazione e sensibilizzazione del personale. Le persone sono spesso il punto più debole della catena di sicurezza e, per questo motivo, l’investimento in programmi di Security Awareness Training è essenziale.

La formazione sulla consapevolezza della sicurezza ha l’obiettivo di rendere le persone consapevoli dell’importanza di adottare comportamenti e pratiche corrette per contribuire attivamente alla protezione dell’organizzazione. Sebbene il concetto non sia nuovo basti pensare alle storiche esigenze di tutela in ambito militare oggi si concentra principalmente sulla tutela delle informazioni, con un’attenzione particolare alla cybersecurity.

Nel contesto attuale, caratterizzato da un’evoluzione tecnologica costante e da minacce informatiche sempre più sofisticate, è fondamentale che dipendenti e utenti ricevano una formazione mirata, continua e aggiornata, per imparare a proteggere sia i propri dati sia quelli dell’azienda.

I protocolli di formazione devono essere progettati in modo modulare e scalabile, tenendo conto dei diversi livelli di responsabilità e conoscenza all’interno dell’organizzazione. La formazione deve coprire tematiche fondamentali come la gestione delle credenziali, il riconoscimento delle e-mail di phishing, l’utilizzo sicuro dei dispositivi mobili, la tutela dei dati sensibili e il rispetto delle policy aziendali.

Inoltre, è importante che la formazione sia integrata nel ciclo di vita del dipendente, a partire dall’onboarding e proseguendo con aggiornamenti regolari durante l’intero percorso professionale. Questo approccio continuo garantisce che i dipendenti siano costantemente informati sulle minacce emergenti e sulle contromisure più efficaci.

Un buon programma di awareness non si limita alla formazione teorica, ma include anche simulazioni pratiche (come i phishing test), workshop interattivi, esercitazioni tabletop, role-playing e learning game, tutti volti a rafforzare la capacità di risposta concreta ai rischi informatici. Le simulazioni di attacco controllato permettono di misurare le reazioni degli utenti in tempo reale, fornendo dati preziosi per identificare comportamenti rischiosi e targetizzare gli interventi formativi.

L’efficacia di tali programmi deve essere monitorata attraverso metriche specifiche, come il tasso di partecipazione, i risultati dei quiz di valutazione, il numero di incidenti causati da errori umani e l’analisi dei cambiamenti nei comportamenti degli utenti nel tempo.

È altresì fondamentale personalizzare i contenuti in base al contesto lavorativo: ad esempio, i dipendenti del reparto legale avranno esigenze formative diverse da quelli dell’IT o del customer service.

La security awareness non deve essere vista come un’attività isolata, ma come un elemento integrante della cultura organizzativa e della gestione del rischio aziendale.

Deployment di information security Policy

La definizione, implementazione e aggiornamento delle Information Security Policy è il fulcro legislativo su cui poggia l’intero framework. Le policy rappresentano la traduzione concreta delle leggi e degli standard in regole operative interne, applicabili a tutti i livelli dell’organizzazione. Esse forniscono l’infrastruttura normativa per la gestione dei rischi, la protezione degli asset digitali e l’attribuzione delle responsabilità.

Il deployment delle policy deve seguire un approccio strutturato, che comprenda diverse fasi chiave: l’identificazione dei requisiti normativi e aziendali, l’analisi dei rischi associati ai processi informativi, la redazione dei documenti policy-oriented, la loro validazione tramite il coinvolgimento del top management e la successiva approvazione formale. Una volta approvate, le policy devono essere comunicate in modo capillare e comprensibile a tutto il personale, tramite corsi formativi, newsletter, intranet aziendali e incontri informativi.

La fase di comunicazione deve garantire la piena comprensione delle policy, anche da parte di utenti non tecnici, mediante linguaggio chiaro, esempi pratici e strumenti di supporto come FAQ, video esplicativi o infografiche. In parallelo, devono essere predisposti strumenti di controllo, come audit interni, checklist di verifica e controlli automatizzati nei sistemi IT, per accertare l’effettiva applicazione delle policy e rilevare eventuali non conformità.

Tra le policy più critiche si annoverano quelle relative a:

  • Controllo degli accessi (Access Control Policy), che definisce criteri per l’autenticazione, l’autorizzazione e la gestione delle identità;
  • Classificazione delle informazioni, utile per determinare il livello di protezione necessario per ciascuna categoria di dato;
  • Incident Response Policy, per definire i flussi di gestione degli incidenti e la comunicazione interna ed esterna;
  • Acceptable Use Policy, che disciplina l’uso delle risorse IT aziendali da parte dei dipendenti;
  • Backup & Data Retention Policy, per garantire la disponibilità e l’integrità dei dati aziendali nel tempo.

Ogni policy deve essere accompagnata da procedure operative (SOP – Standard Operating Procedures) e linee guida, che ne traducano i principi in attività quotidiane, e devono essere integrate nel sistema di gestione documentale aziendale, con versioning, tracciabilità delle modifiche e gestione dei consensi/formalizzazioni da parte del personale.

Il ciclo di vita delle policy è un processo continuo di revisione e aggiornamento. Questo processo deve tener conto dei risultati derivanti dal monitoraggio della conformità, delle nuove minacce informatiche, dell’evoluzione delle tecnologie adottate e delle modifiche normative a livello nazionale o internazionale. Anche il feedback dei dipendenti è un elemento prezioso, in quanto consente di migliorare la fruibilità e l’efficacia delle policy.

Solo attraverso un processo dinamico e partecipativo è possibile garantire che le Information Security Policy siano non solo aderenti ai requisiti di legge, ma anche realmente utili, applicabili e condivise da tutta l’organizzazione. In questo senso, le policy diventano veri e propri strumenti di governance e cultura aziendale della sicurezza.

Sistemi di continuous compliance monitoring

Il rispetto della compliance normativa non è un traguardo statico, ma un processo continuo che richiede monitoraggio costante e adattamento proattivo. Il monitoraggio della conformità consiste nel verificare che l’organizzazione rispetti le leggi vigenti, le policy aziendali e gli standard settoriali di riferimento. L’obiettivo principale è garantire un allineamento costante ai requisiti di conformità, prevenendo eventuali criticità o situazioni di non conformità.

I sistemi di Continuous Compliance Monitoring (CCM) rappresentano infatti la componente tecnologica e metodologica che permette di mantenere l’allineamento con i requisiti normativi in modo automatizzato e in tempo reale. A differenza delle verifiche periodiche, il monitoring continuo consente di individuare e correggere tempestivamente eventuali deviazioni o vulnerabilità, minimizzando i rischi e assicurando un approccio proattivo alla gestione della sicurezza.

Il Continuous Compliance Monitoring si basa su un’infrastruttura tecnologica che permette la raccolta, l’analisi e la correlazione automatica dei dati provenienti da diverse fonti: log di sistema, report di audit, configurazioni di protezione, attività utente, eventi di rete.

Tra gli strumenti fondamentali per il monitoraggio continuo troviamo:

  • Sistemi SIEM, (Security Information and Event Management).
  • che aggregano dati di protezione e generano alert in caso di anomalie;
  • Soluzioni di GRC (Governance, Risk and Compliance), che consentono di mappare e tracciare il livello di conformità per ogni ambito normativo;
  • Sistemi di Vulnerability Management automatizzati, per rilevare e classificare le vulnerabilità in tempo reale;
  • Dashboard interattive, che offrono una visione d’insieme dei KPI di compliance e dei livelli di rischio;
  • Meccanismi di controllo accessi dinamici, che adattano i privilegi degli utenti in base al contesto operativo.

Un’efficace strategia di Continuous Monitoring deve inoltre includere:

  • La definizione di metriche chiare e misurabili (es. numero di policy violate, tempo medio di remediation, percentuale di sistemi aggiornati);
  • La generazione automatica di report destinati ai diversi livelli dell’organizzazione, dal team tecnico fino al Consiglio di amministrazione;
  • L’integrazione con processi di Incident Response e gestione del cambiamento (Change Management), per garantire coerenza tra modifiche infrastrutturali e requisiti di compliance.

Il monitoring continuo è essenziale anche per soddisfare i requisiti di audit previsti da normative come GDPR, ISO/IEC 27001, PCI-DSS, HIPAA e NIS2. La capacità di dimostrare, in qualsiasi momento, l’adozione di misure adeguate e la tracciabilità delle attività svolte rappresenta un elemento chiave in fase di ispezione o certificazione.

Infine, il Continuous Compliance Monitoring non è solo una questione tecnica: è un processo culturale, che richiede il coinvolgimento trasversale di tutti i reparti aziendali, la definizione di responsabilità chiare e un’adeguata formazione sul valore della conformità.

Conclusioni

L’Implementation Framework della compliance normativa non può essere improvvisato o gestito in modo frammentario. Richiede un approccio olistico e sistemico, in cui ogni componente interagisce sinergicamente con le altre. Le metodologie di assessment e analisi dei gap forniscono le basi conoscitive; la formazione del personale ne costruisce la cultura; le policy ne definiscono il perimetro operativo; il monitoraggio continuo ne garantisce la sostenibilità nel tempo.

Solo attraverso una pianificazione strategica, l’impiego di tecnologie appropriate e il coinvolgimento attivo di tutte le funzioni aziendali è possibile realizzare un framework di compliance realmente efficace e resiliente. In un mondo in continua evoluzione digitale e legislativa, la capacità di adattarsi velocemente e in modo conforme non è più solo una scelta, ma una necessità imprescindibile.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/notizie/framework-compliance/



Budgeting per la sicurezza informatica: responsabilità del CISO

La sicurezza informatica è ormai una priorità imprescindibile per le aziende di tutte le dimensioni. Con l’evoluzione delle minacce cyber e l’aumento delle normative che richiedono una protezione più rigorosa dei dati aziendali e dei clienti, il Chief Information Security Officer (CISO) si trova al centro di un processo complesso: il budgeting per la sicurezza informatica.

Questo processo non solo è fondamentale per proteggere l’infrastruttura aziendale, ma riveste anche un ruolo cruciale nella giustificazione degli investimenti e nella gestione delle risorse economiche destinate a questa causa.

In un contesto di risorse limitate, il CISO deve essere in grado di giustificare e allocare correttamente i fondi, monitorando al contempo le spese e analizzando il ritorno sugli investimenti (ROI) per garantire che ogni euro speso contribuisca a una maggiore protezione. In questo articolo, esploreremo le diverse dimensioni del budgeting per la sicurezza informatica, con particolare attenzione alle responsabilità del CISO.

Giustificazione degli investimenti in Cybersecurity al top Management: il ruolo strategico del CISO

Una delle prime sfide che il CISO affronta quando si tratta di budgeting per la sicurezza informatica è la giustificazione degli investimenti al top management. I CISO stanno evolvendo, passando da una visione improntata alla paura a un approccio focalizzato sulla crescita, cercando di allineare le strategie di sicurezza informatica con gli obiettivi aziendali.

Questa analisi non solo mette in evidenza le preoccupazioni riguardo al rallentamento economico e alle restrizioni di budget, ma dimostra anche come i CISO stiano acquisendo una maggiore consapevolezza del business, segnando un cambiamento importante dai ruoli tradizionali a quelli di veri e propri facilitatori strategici per l’azienda.

In molte organizzazioni, la cybersecurity è vista come una spesa necessaria ma non direttamente correlata ai profitti aziendali. Pertanto, il CISO deve dimostrare in modo convincente che l’investimento in cybersecurity non è solo un costo, ma una necessità strategica che protegge l’azienda da rischi ben superiori.

I budget destinati alla cybersecurity riportati nel “The CISO Report 2025” realizzato da Splunk in collaborazione con Oxford Economics, mostrano un supporto non coerente e disallineato: solo il 29% dei CISO dichiara di ricevere un budget adeguato alle iniziative di sicurezza informatica e il raggiungimento degli obiettivi di sicurezza, mentre il 41% dei membri del CDA ritiene che i budget per la sicurezza informatica siano sufficienti.

Il 64% dei CISO esprime preoccupazione per il fatto che il contesto normativo attuale e le minacce informatiche possano compromettere la propria capacità di operare efficacemente.

I CISO hanno inoltre segnalato una riduzione delle soluzioni e degli strumenti di sicurezza (50%), il blocco delle assunzioni nel settore della sicurezza (40%) e la diminuzione o l’eliminazione della formazione sulla sicurezza (36%) come principali misure adottate per il contenimento dei costi.

Il primo passo per giustificare i fondi per la sicurezza informatica è comprendere e comunicare i rischi aziendali legati alla mancanza di protezione. Il CISO deve essere in grado di spiegare come le minacce cyber possono compromettere la reputazione dell’azienda, danneggiare la fiducia dei clienti e portare a sanzioni finanziarie legate a violazioni dei dati. Il CISO può presentare casi concreti di violazioni della sicurezza o attacchi informatici che hanno avuto impatti devastanti su altre aziende, per illustrare il rischio che l’organizzazione sta correndo.

Il problema per il management non riguarda tanto l’aspetto monetario o dei costi, in quanto il compito del management è proprio quello di allocare risorse e definire i costi. Ogni attività ha un costo: acquisire un nuovo cliente, migliorare la visibilità del brand, implementare misure di sicurezza informatica, e così via. La vera difficoltà per il management sta nella comprensione.

Il management desidera comprendere come e dove vengono destinati i fondi, e vuole assicurarsi che questi siano stati impiegati in modo efficace. La sicurezza informatica può risultare talvolta complessa, difficile da comprendere e troppo tecnica. L’uso di metriche e la loro rappresentazione grafica all’interno di una presentazione chiara e ben strutturata, ad esempio in un PowerPoint, rendono più semplice per il management capire l’efficacia e giustificare l’accettazione di tali voci di spesa.

Un’altra strategia efficace consiste nel quantificare il rischio e associare a ogni minaccia un valore economico. Attraverso modelli di rischio basati sul valore economico potenziale di un attacco informatico, è possibile mostrare al management quanto potrebbe costare un attacco in termini di danni diretti (come la perdita di dati o il fermo dei sistemi) e indiretti (come la perdita di clienti e la reputazione). Una chiara analisi di rischio aiuta il CISO a motivare l’allocazione di risorse per prevenire o mitigare questi danni.

Essere in grado di valutare l’efficacia delle misure di sicurezza è un ottimo modo per giustificare le scelte di spesa e per rivedere i futuri budget per la sicurezza informatica. Le metriche di sicurezza offrono informazioni sulla solidità della vostra postura di sicurezza, inclusa l’efficacia delle misure di conformità adottate. Queste metriche forniscono un metodo quantitativo per dimostrare al management e ai membri del consiglio come un programma di sicurezza dei dati stia performando. Inoltre, possono aiutare a documentare l’approccio dell’azienda alla protezione dei dati in conformità con le normative vigenti. L’analisi di KPI e indicatori di rischio chiave (KRI) fornisce una visione chiara dello stato della sicurezza e del team, permettendo di ottimizzare strategie e approcci.

Esistono diversi KPI che possono essere misurati. Ad esempio, tra le metriche relative alle minacce, ci sono:

  • Incidenti di sicurezza;
  • Tempo medio di rilevamento (MTTD);
  • Tempo medio di risoluzione (MTTR).

Infine, è importante che il CISO lavori a stretto contatto con altre funzioni aziendali, come il dipartimento legale, quello delle risorse umane e delle operazioni, per evidenziare come la cybersecurity influisca su più aree dell’organizzazione e non sia solo una preoccupazione tecnica. Quando la cybersecurity viene vista come una responsabilità condivisa e non come una funzione isolata, il management è più propenso a riconoscere l’importanza degli investimenti in sicurezza.

Allocazione delle risorse per massimizzare la protezione

A causa del rallentamento dell’economia, i CISO si trovano sotto forte pressione per assicurare una protezione informatica adeguata senza compromettere le iniziative di crescita dell’azienda. Le imprese stanno puntando a modernizzare le loro infrastrutture IT come parte della trasformazione digitale, il che evidenzia la necessità di strategie di sicurezza che favoriscano, piuttosto che ostacolare, il progresso.

Una volta che il budget per la sicurezza informatica è stato approvato, il CISO deve affrontare la complessa sfida dell’allocazione delle risorse. La sfida consiste nel rendere altrettanto trasparente all’interno dell’organizzazione il modo in cui viene distribuito il budget per la cybersecurity, in modo da giustificarne il costo. La differenza sta nel fatto che, rispetto a funzioni come marketing, vendite, progettazione e assistenza – dove il ritorno sugli investimenti può essere spiegato con maggiore facilità – la matematica del ROI della sicurezza informatica è più complessa. Un aspetto cruciale è determinare come distribuire il budget tra le diverse aree della cybersecurity, come la protezione dei dati, la gestione delle vulnerabilità, la formazione del personale e la protezione dalle minacce emergenti.

La protezione dei dati è uno degli aspetti principali in cui il CISO dovrà investire. Con l’aumento dei regolamenti sulla privacy come il GDPR e altre normative a livello mondiale, la protezione dei dati sensibili deve essere una priorità assoluta. Ciò significa allocare risorse significative per strumenti di cifratura, soluzioni di backup sicuro, e politiche di gestione degli accessi che garantiscano che solo le persone autorizzate possano accedere a informazioni riservate.

Esistono normative di conformità che guidano l’allocazione delle risorse per la cybersecurity. Nel settore sanitario, ad esempio, è fondamentale garantire specifici requisiti di privacy per proteggere le cartelle cliniche e altre informazioni sensibili relative alla salute delle persone. Per rispettare queste normative, evitando sanzioni significative, i CISO sono costretti a investire in strumenti e tecnologie specializzate, come la classificazione dei dati e la crittografia.

Accanto alla protezione dei dati, è necessario anche investire nella gestione delle vulnerabilità. I sistemi informatici sono in continua evoluzione, e nuove vulnerabilità vengono scoperte regolarmente. Il CISO deve stabilire una strategia per monitorare e gestire queste vulnerabilità, assicurandosi che vengano applicate tempestivamente le patch e le correzioni necessarie. Questo tipo di investimento è essenziale per ridurre il rischio che un attacco informatico sfrutti una debolezza nel sistema.

Anche la formazione del personale è un’area chiave per l’allocazione delle risorse. Le statistiche mostrano che una delle principali cause di violazioni della sicurezza è l’errore umano, come cliccare su link dannosi o utilizzare password deboli. Investire in programmi di formazione continua per i dipendenti, sensibilizzandoli sui rischi informatici e sulle best practices da adottare, è una strategia fondamentale per rafforzare la difesa dell’organizzazione.

Infine, il CISO deve tenere conto delle minacce emergenti e destinare risorse per affrontarle. Le minacce informatiche evolvono rapidamente, quindi è fondamentale che il CISO allocchi parte del budget per soluzioni innovative che rispondano a minacce come l’intelligenza artificiale malevola, il ransomware avanzato e gli attacchi alle infrastrutture di rete. La continua evoluzione della tecnologia impone che il bilancio venga pianificato con una visione di lungo termine, pronta ad adattarsi alle nuove sfide.

La parte del budget destinata alla cybersecurity per ciascuna categoria dipende quindi da vari fattori. Ad esempio, nuovi obblighi di conformità potrebbero rendere necessario un incremento delle costi in questa area in un determinato periodo. Allo stesso modo, l’arrivo di un nuovo investitore o CEO potrebbe comportare un cambiamento nelle priorità, portando a un aumento o a una riduzione complessiva dell’investimento in sicurezza, in base a una diversa tolleranza al rischio dell’organizzazione. Questo scenario potrebbe spingere il CISO a rivedere e riallocare le risorse tra le diverse categorie.

Monitoraggio delle spese e ritorno sugli investimenti (ROI)

Una volta allocato il budget per la sicurezza informatica, il CISO deve monitorare attentamente le spese per garantire che ogni risorsa sia utilizzata in modo efficace ed efficiente. Il monitoraggio dei costi in sicurezza informatica può essere complicato, in quanto i benefici di molte misure di protezione non sono sempre immediatamente visibili in termini di risparmio economico diretto. Tuttavia, è fondamentale che il CISO stabilisca parametri chiari per il controllo e la valutazione dell’efficacia degli investimenti.

Per calcolare il ritorno sugli investimenti (ROI), il CISO può adottare vari approcci. Uno dei più utilizzati è il modello del “costo per prevenire una violazione”, che cerca di stabilire il risparmio derivante dall’evitare danni potenziali a causa di un attacco informatico. In questo modo, l’efficacia delle soluzioni di sicurezza può essere misurata in termini di costi evitati anziché in termini di spese dirette.

Un’altra metrica utile per monitorare le uscite alla voce sicurezza è il “tempo di risposta agli incidenti”. Investire in soluzioni che riducono il tempo necessario per identificare e rispondere a un attacco può ridurre significativamente il danno causato da una violazione. Misurando i miglioramenti nelle capacità di risposta agli incidenti nel tempo, il CISO può giustificare gli investimenti in soluzioni più sofisticate.

Il CISO dovrebbe anche sfruttare le metriche di performance per monitorare i progressi della sicurezza aziendale. Queste metriche potrebbero includere il numero di vulnerabilità risolte, il numero di minacce rilevate, il livello di conformità alle normative e la percentuale di dipendenti formati sulla sicurezza. Questi indicatori aiutano a dimostrare che gli investimenti stanno portando risultati tangibili e misurabili.

Strategie per ottenere finanziamenti aggiuntivi per la sicurezza

Anche se il budget iniziale per la sicurezza informatica può essere approvato, spesso il CISO si trova a dover affrontare la necessità di risorse aggiuntive per affrontare minacce emergenti o per aggiornare le soluzioni di sicurezza obsolete. In questi casi, il CISO deve adottare strategie efficaci per ottenere il supporto finanziario necessario.

Una delle prime strategie consiste nel fornire dati e analisi più approfondite sugli impatti economici di un attacco informatico. Utilizzando modelli di calcolo dei costi legati a un’eventuale violazione della sicurezza, il CISO può presentare una solida giustificazione per l’incremento del bilancio. La simulazione di scenari di attacco può essere un modo convincente per mostrare al management l’importanza di un investimento continuo in cybersecurity.

Per ottenere aumenti di budget in modo strategico e mirato, è fondamentale adattare il proprio approccio comunicativo sulla sicurezza in base ai diversi interlocutori. Quando ci si rivolge a un consiglio di amministrazione composto da membri provenienti da settori differenti, è utile presentare a ciascuno una “storia” che risuoni con le sue specifiche preoccupazioni. Questo approccio facilita un dialogo costruttivo, sia nel caso di dover spiegare violazioni della sicurezza, sia quando si richiedono investimenti per nuove iniziative di cybersecurity.

Un’altra strategia per ottenere risorse aggiuntive è quella di collaborare con altre aree dell’azienda per integrare la cybersecurity in progetti più ampi. Ad esempio, se l’azienda sta per lanciare un nuovo prodotto o servizio, il CISO può dimostrare che un adeguato investimento in sicurezza è essenziale per proteggere la reputazione del prodotto e la fiducia dei clienti. Presentare la cybersecurity come un elemento essenziale per il successo dell’intera azienda aumenta la possibilità di ottenere di ottenerne di nuovi.

Infine, il CISO può esplorare opzioni di finanziamento esterne, come sussidi governativi o incentivi fiscali, che supportano l’adozione di misure di sicurezza avanzate. Spesso, i governi offrono incentivi alle aziende che investono in protezione contro le minacce cyber, e il CISO può utilizzare queste opportunità per ottenere risorse aggiuntive senza gravare troppo sul budget aziendale.

Conclusioni

La gestione del budgeting per la sicurezza informatica è una delle principali responsabilità del CISO e rappresenta una sfida complessa ma fondamentale per garantire la protezione delle risorse aziendali. La giustificazione degli investimenti, l’allocazione ottimale delle risorse, il monitoraggio delle spese e la ricerca di finanziamenti aggiuntivi sono tutti passaggi cruciali per garantire che l’azienda rimanga protetta dalle minacce informatiche emergenti. Con un approccio strategico e una attenta gestione, il CISO può non solo migliorare la sicurezza, ma anche giustificare e ottimizzare gli investimenti in un’area fondamentale per il successo dell’organizzazione nel lungo termine.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/notizie/budgeting-ciso/



Dissertazioni su fascicolo sanitario, tutela dei dati personali post covid, propaganda elettorale e altro

La disciplina di protezione dei dati personali prevede che i soggetti pubblici possono trattare i dati personali degli interessati (ex art. 4, n. 1, del Regolamento UE 2016/679, Regolamento Generale sulla Protezione dei Dati, RGPD/GDPR) se il trattamento è necessario «per adempiere un obbligo legale al quale è soggetto il titolare del trattamento», oppure «per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento» (ex art. 6, par. 1, lett. c) ed e) del Regolamento e art. 2 – ter del Codice).

Trattamento e diffusione dei dati

Il trattamento deve, comunque, trovare fondamento nel diritto dell’Unione o dello Stato membro che deve perseguire un obiettivo di interesse pubblico ed essere proporzionato al perseguimento dello stesso, stabilendo che la finalità del trattamento deve essere necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.

Il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere «trattati in modo lecito, corretto e trasparente nei confronti dell’interessato» e devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (ex art. 5, paragrafo 1, lett. a) e c) del Regolamento), dovendo apprestare misure specifiche (valutazione di impatto sulla protezione dei dati personali), cautele e tutele per la loro diffusione[1].

Le disposizioni in materia di trasparenza amministrativa prevedono (per la PPAA) specifici obblighi di pubblicazione dei dati personali che devono sempre avvenire in base ad una fonte normativa primaria, trovando un loro limite all’accesso civico generalizzato, precluso quando l’accesso possa incidere sulla tutela individuale[2].

Il titolare del trattamento è sempre tenuto a risarcire il danno cagionato ad un interessato da un trattamento non conforme al GDPR, e può essere esonerato solo se dimostra che l’evento dannoso non gli è alcun modo imputabile (inversione dell’onere della prova)[3].

Accesso e tutela dei dati personali

L’art. 60 del d.lgs. n. 196 del 30 giugno 2003 precisa che «Quando il trattamento concerne dati idonei a rivelare lo stato di salute o la vita sessuale, il trattamento è consentito se la situazione giuridicamente rilevante che si intende tutelare con la richiesta di accesso ai documenti amministrativi è di rango almeno pari ai diritti dell’interessato, ovvero consiste in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile».

L’approdo comporta che quando l’accesso si riferisce a dati sensibili, ovvero dati sensibilissimi (idonei a rivelare lo stato di salute o la vita sessuale), l’accesso può essere esercitato soltanto se, in seguito ad una delicata operazione di bilanciamento di interessi, la situazione giuridica rilevante sottesa al diritto di accesso viene considerata di rango almeno pari al diritto alla riservatezza riferito alla sfera della salute dell’interessato: tale comparazione va effettuata in concreto, sulla base dei principi di proporzionalità, pertinenza e non eccedenza[4].

Questa particolarità comporta che l’accesso possa ritenersi, comunque possibile, previo oscuramento dei dati sensibili e sensibilissimi contenuti negli atti in ostensione[5].

Diffusione on line di dati personali (ipotesi particolari)

Si vuole segnalare l’obbligo dell’oscuramento dei dati identificativi, in presenza di situazioni “sensibili”, prima di procedere allo loro diffusione on line, ipotesi che opera anche con riferimento alla pubblicazione delle sentenze nella banche dati istituzionali: nei procedimenti coinvolgenti rapporti di famiglia, di stato delle persone, ovvero minorenni è direttamente la legge a vietare la diffusione dei dati personali (fattispecie regolate dall’art. 52, commi 1 e 2 del d.lgs. n. 196/2003), rimettano, altresì, all’Autorità giudiziaria procedente la decisione sull’oscuramento o meno dei dati personali, su richiesta dell’interessato, o allorquando ciò risulti necessario per tutelare i diritti e la dignità dell’interessato[6].

In assenza di determinazione del giudice, la legge ammette espressamente la diffusione del contenuto integrale delle pronunce giurisdizionali (ex art. 51, comma 2 e art. 52, comma 7, del d.lgs. n. 196/2003), rendendole accessibili a tutti mediante un sistema informativo istituzionale: è possibile rendere disponibili i provvedimenti giurisdizionali in forma integrale, salvo i casi in cui sia la legge oppure l’Autorità giudiziaria disponga l’anonimizzazione dei dati personali contenuti nella pronuncia (o nei termini descritti).

Il bilanciamento delle opposte esigenze, tutela della privacy dei soggetti coinvolti da un lato, e libero accesso alle pronunce giurisdizionali dall’altro, è rimesso all’Autorità giudiziaria (salvo l’ipotesi di cui all’art. 52, comma 5 d.lgs. n. 196/2003): conseguentemente, l’oscuramento generalizzato disposto dalla Pubblica Amministrazione non appare legittimo, considerato come essa appare interferire in parte anche con una decisione attribuita all’Autorità giudiziaria[7].

Designazione

Sull’obbligatorietà di rispettare la disciplina sul trattamento dei dati, si osserva che l’impossibilità della parte lavoratrice a rendere la prestazione lavorativa a causa della mancata sottoscrizione per accettazione dell’atto di designazione a “incaricato” per le persone autorizzate al trattamento i dati personali, ai sensi della disciplina nazionale e comunitaria, comporta una grave violazione agli obblighi negoziali con il proprio datore di lavoro.

La nomina, quale persona “designata” al trattamento dei dati personali, ha natura unilaterale essendo un atto che promana dalla parte datoriale, la mancata accettazione – da parte del lavoratore – porta come conseguenza la violazione del generale dovere di lealtà e correttezza nell’esecuzione del rapporto (ex art. 2105 c.c.), inadempimento dei doveri contrattuali, integrazione di condotta disciplinarmente rilevante, impedendo al “titolare” del trattamento di erogare il servizio (di cui alla prestazione del lavoratore).

Più esplicitamente, la mancata accettazione impedisce il trattamento lecito dei dati, a riprova dei dovuti presidi da approntare nella gestione dei dati personali, esponendosi all’inevitabile rischio di incorrere in responsabilità sia di natura civilistica verso i soggetti interessati da eventuali trattamenti illegittimi (cfr. art. 82 GDPR), sia di natura amministrativa (cfr. artt. 83 e 84 GDPR)[8].

Pronunciamento

La sez. I della Cassazione, con l’ordinanza 6 marzo 2025, n. 6067, chiarisce che il trattamento dei dati personali (relativi alla salute) inseriti nel FSE (Fascicolo Sanitario Elettronico) può avvenire “in chiaro”, ovverosia con l’indicazione del nominativo dell’interessato, solo per finalità di prevenzione, diagnosi, cura e riabilitazione dell’assistito, ma non è consentito per finalità di stratificazione statistica non necessaria, rendendo indisponibili (non trattabili) i dati identificativi dei pazienti contenuti nelle banche dati aziendali e nel FSE, effettuato dall’ASL, allo scopo di predisporre una lista di soggetti in condizioni di complessità e comorbilità, da trasmettere ai medici di medicina generale, per una migliore gestione del contesto epidemiologico da Covid – 19.

Fatti

L’Autorità Garante per la Protezione dei Dati Personali, provvedeva (con ordinanza ingiunzione) a contestare ad una Azienda Sanitaria l’illiceità del trattamento di dati personali identificativi di pazienti (alcune classi di pazienti), senza anonimizzazione, contenuti nelle banche dati aziendali e nel fascicolo sanitario elettronico.

Si accertava la violazione degli artt. 5, 9, 14 e 35 del Regolamento (UE) 2016/679 e dell’art. 2 sexies del d.lgs. n. 196/2003 (Codice in materia di protezione di dati personali), ordinando all’Azienda di procedere, entro novanta giorni dalla notifica del provvedimento, alla cancellazione dei dati risultati dall’elaborazione delle informazioni presenti nelle banche dati aziendali e di pagare la sanzione amministrativa.

Lo scopo del trattamento effettuato (pseudonomizzando i dati attraverso l’apposizione di codici numerici casuali elaborati) avevo l’obiettivo di predisporre una lista di soggetti in condizioni di complessità e comorbilità da trasmettere ai medici di medicina generale (MMG) allo scopo di consentire una migliore gestione del contesto epidemiologico Covid-19, al fine di predisporre interventi preventivi di presa in carico del paziente.

Il Garante privacy, al termine di un’apposita istruttoria, rilevava dal una parte, la mancanza di una base giuridica (ergo illecito trattamento dei dati), dall’altra parte, il mancato rilascio del preventivo consenso, nonché dell’informativa sul trattamento: nelle finalità di programmazione, valutazione e controllo (c.d. di governo sanitario) non sono ricomprese le finalità di medicina d’iniziativa, né la stratificazione della popolazione assistita sulla base del rischio sanitario individuale (una effettiva schedatura).

L’Azienda si giustificava, agendo in esecuzione di un espresso mandato regionale e, comunque, nel pieno rispetto della disciplina nazionale e comunitaria.

In primo grado veniva accolto il ricorso e annullata l’ordinanza, rilevando che l’attività avveniva durante il regime dell’emergenza pandemico (quasi a significare una moratoria dei diritti, come avvenuto di fatto e di diritto); seguiva impugnazione della decisione.

Merito

Il ricorso viene accolto (decisione del Tribunale cassata, annullata) nei seguenti termini:

  • i dati estratti erano direttamente identificativi degli assistiti, in quanto riferiti a soggetti individuati con nome, cognome e codice fiscale, mancando il preventivo “consenso esplicito” sulle finalità (specie con riferimento a dati particolari);
  • l’Azienda ben poteva opporsi alle decisioni regionali (che non ammettevano alcuna deroga all’articolo 5 del Regolamento (UE) 2016/679, dovendo – in ogni caso – assicurare l’adozione di misure appropriate a tutela dei diritti e delle libertà degli interessati), in base al principio di disapplicazione della norma interna contrastante con la disciplina comunitaria, anche in epoca pandemica;
  • le finalità del FSN sono: a) prevenzione, diagnosi, cura e riabilitazione; b) studio e ricerca scientifica in campo medico, biomedico ed epidemiologico; c) programmazione sanitaria, verifica delle qualità delle cure e valutazione dell’assistenza sanitaria, contemplando (si evince dal DPCM 29 settembre 2015, n.178, recante il Regolamento in materia di fascicolo sanitario), l’obbligo dell’informativa, ai sensi dell’art.13 del Codice in materia di protezione dei dati personali, che costituisce presupposto di liceità del trattamento;
  • i dati che confluiscono nel FSE (una modalità, peraltro, di accesso dell’assistito ai propri dati sanitari che vi confluiscono) sono relativi allo stato di salute attuale ed eventualmente pregresso dell’assistito e vengono in rilievo in quanto “dati personali”, dove il trattamento (all’interno del FSE) è basato, per previsione normativa, sul “consenso libero e informato” da parte dell’assistito e non rientra, quindi, nelle fattispecie di “trattamento necessario”;
  • inoltre, è richiesto «un ulteriore specifico consenso limitatamente alla consultazione dei dati e dei documenti presenti nel FSE, per le finalità d cui alla lettera a) del comma 2 dell’art. 12» (ex 6, comma 1, lett. e) e art. 7 del DPCM), non potendo integrare un trattamento c.d. secondario, esorbitando dai limiti del trattamento espressamente consentito;
  • nessun carattere “necessario” del trattamento dovuto all’emergenza pandemica, in assenza di una puntuale disamina della esplicazione in concreto che specifici i presupposti del “trattamento necessario”, come richiesti dagli artt. 1 e 17 bis del DL n. 18/2020, e dalle altre disposizioni emergenziali, sia in termini di competenza al trattamento, sia in termini di concreto rispetto dell’art. 9, par. 2, lett. g), h) e i) e dell’art. 10 del Regolamento n. 2016/679/UE, sia in termini di apprezzamento dell’effettiva adozione o meno delle misure appropriate a tutela dei diritti e delle libertà degli interessati (ex17 bis, comma 2, DL n. 18/2020);
  • è mancata, altresì, la doverosa analisi preventiva sui rischi.

Il consenso informato

L’insieme delle fonti portano a ritenere legittima l’ordinanza ingiunzione, avendo l’Azienda Sanitaria trattato illecitamente i dati del FSE in assenza del duplice consenso, specifico, libero ed informato da parte dell’assistito:

  • il primo è costituito dal consenso all’“alimentazione del FSE con i dati”[9];
  • il secondo è costituito dal consenso alla “consultazione dei dati e dei documenti (in chiaro) contenuti nel FSE” per le finalità di prevenzione, diagnosi, cura e riabilitazione, e comunque le finalità di ricerca e di governo, sono anch’esse espressamente disciplinate e vanno perseguite «senza l’utilizzo dei dati identificativi degli assistiti».

Propaganda elettorale e diffusione dati dei pazienti

Il consenso informato vale anche nella propaganda elettorale[10], non potendo utilizzare i dati forniti dai pazienti (dati raccolti nell’ambito dell’attività di cura della salute da parte dei sanitari) per altri fini, senza uno specifico consenso degli interessati: tale condotta costituisce un trattamento illecito dei dati personali.

Nel caso specie, un medico:

  • aveva contattato diverse persone con le quali si era creato un rapporto “più stretto e personale”, inviando loro lettere di propaganda elettorale, il contenuto del messaggio elettorale richiamava espressamente la loro malattia; il Garante, sul punto, precisa che le garanzie e gli adempimenti che partiti, organismi politici, sostenitori di liste e candidati devono osservare per raccogliere ed utilizzare correttamente i dati personali dei cittadini che intendono contattare a fini di comunicazione e propaganda elettorale, raccolti nell’ambito dell’attività di tutela della salute da parte di esercenti la professione sanitaria e di organismi sanitari, non possono essere utilizzabili per fini di propaganda elettorale e connessa comunicazione politica: tale finalità non è infatti riconducibile agli scopi legittimi per i quali i dati sono stati raccolti[11];
  • aveva inviato una mail di promozione elettorale a diversi pazienti, i cui indirizzi erano stati messi contestualmente in chiaro e non in copia conoscenza nascosta, rivelando a tutti la condizione di malati di ciascuno di loro[12].

Osservazioni

Ancora una volta assistiamo a trattamenti illeciti dei dati personali, pensando utilizzare le informazioni ben al di là del consenso informato, ossia, pensare che la gestione dell’emergenza sanitaria poteva svolgersi senza assicurate i diritti di libertà del singolo.

Invero, l’apparato di norme costituzionali, nazionali e comunitarie doveva presidiare tali eccessi, riaffermando (ora) il primato dei diritti a presidio del principio di legalità.

Dunque, le emergenze, anche sanitarie, devono assicurare la tutela dei dati personali, che significa rispetto della disciplina vigente in materia di protezione dei dati personali e, in particolare, dei principi e dei limiti applicabili al trattamento, di cui all’art. 5 del Regolamento, secondo cui i dati devono essere trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»), “raccolti per finalità determinate, esplicite e legittime” («limitazione della finalità») e, comunque, “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (principio di minimizzazione dei dati).

Tutti diritti dimenticati (allegramente violati) in epoca Covid – 19 all’altare della “vigile attesa”, in nome della scienza (quale?)[13].

Note

[1]L’articolo 82, paragrafo 1, del RGPD va interpretato nel senso che esso osta a una norma o a una prassi nazionale che subordina il risarcimento di un danno immateriale, sull’illecito trattamento dei dati, alla condizione che il danno subito dall’interessato abbia raggiunto un certo grado di gravità, Corte di giustizia europea, sez. III, 4/5/2023 n. C-300/21.

[2] Cfr. Garante privacy, provv. n. 243 del 15 maggio 2014, doc. web n. 3134436, Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, nonché le Linee guida per il trattamento di dati personali effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web, del 2 marzo 2011, doc. web n. 1793203.

[3] Cfr. Cass. civ., sez. I, ord. 12 maggio 2023, n. 13073. I danni cagionati per effetto del trattamento dei dati personali in base all’art. 15 del d.lgs. 30 giugno 2003, n. 196, sono assoggettati alla disciplina di cui all’art. 2050 c.c., con la conseguenza che il danneggiato è tenuto solo a provare il danno e il nesso di causalità con l’attività di trattamento dei dati, mentre spetta al convenuto la prova di aver adottato tutte le misure idonee ad evitare il danno, Cass. civ., sez. I, ord. 4 giugno 2018, n. 14242.

[4] Cons. Stato, sez. III, 11 gennaio 2018, n. 139.

[5] TAR Sicilia, Catania, sez. IV, 27 febbraio 2025, n. 755.

[6] Cfr. Cass. civ., sez. V, 7 agosto 2020, n. 16807.

[7]TAR Lazio, Roma, sez. I, 17 aprile 2025, n. 7625.

[8]Tribunale di Udine, sez. lav., ord. n. 504, seduta del 1° agosto 2024.

[9]Cfr. Garante privacy, Provvedimento del 27 febbraio 2025, Registro dei provvedimenti n. 114 del 27 febbraio 2025, doc. web n. 10114967, ove si censura un consenso c.d. omnibus, dove l’utilizzo di formule generiche che non permettano di selezionare la singola categoria merceologica delle offerte commerciali desiderate (p.e. telefonia, forniture energetiche, servizi assicurativi, moda, auto ecc.), non è quindi in linea con la normativa privacy e non può far venir meno gli effetti della opposizione manifestata con l’iscrizione al Registro Pubblico delle Opposizioni. Lo stesso principio vale per form e informative che ostacolino l’esercizio dei diritti riconosciuti all’interessato in ordine alla scelta degli strumenti attraverso cui ricevere le comunicazioni promozionali.

[10]Cass., sentenza n. 18619 depositata il 27 luglio 2017.

[11]Garante privacy, Provvedimento del 13 febbraio 2025, Registro dei provvedimenti n. 81 del 13 febbraio 2025, doc. web n. 10107219, la lettera con la quale, «dopo aver ricordato il percorso diagnostico e terapeutico effettuato dalla destinataria del messaggio, le sue competenze in materia e i ruoli professionali ricoperti», poneva l’invito: «Le chiedo pertanto, come quando ha avuto fiducia in me per la malattia, di averla anche su questa scelta che, le assicuro, nasce da motivazioni assolutamente legate alla volontà di essere ancora una volta utile» al Comune di elezione.

[12] Cfr. Garante privacy, Provvedimento del 13 febbraio 2025, Registro dei provvedimenti n. 82 del 13 febbraio 2025, doc. web n. 10107246, l’invio della e – mail «per mettervi a conoscenza della mia candidatura come consigliere comunale alle prossime elezioni», sono informazione di propaganda politica: gli indirizzi e-mail dei pazienti devono qualificarsi come dati personali, e in particolare, dati sulla salute in quanto si tratta di un dato di contatto di un paziente direttamente o indirettamente identificabile.

Si riconferma che i dati personali devono essere trattati in modo lecito corretto e trasparente e raccolti per finalità determinate esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità (principi di “liceità, correttezza e trasparenza” e di “limitazione della finalità”, art. 5, par. 1, lett. a) e b) del Regolamento): i dati personali raccolti nell’ambito dell’attività di tutela della salute non possono essere utilizzabili per fini di propaganda elettorale e connessa comunicazione politica: la finalità non è infatti riconducibile agli scopi legittimi per i quali i dati sono stati raccolti, salvo che il titolare acquisisca uno specifico e informato consenso dell’interessato (manca la base giuridica).

[13] Vedi, LUCCA, Dalle Idi di marzo (fase zero punto zero) al contagio dei DPCM (fase quattro punto zero), comedonchisciotte.org, 14 novembre 2020, ove si concludeva nel ritenere che le «disposizioni emanate con tecniche di drafting legislativo alquanto discutibili, senza alcuna analisi d’impatto o di regolamentazione (Air, Vir, Atn), se possono essere comprensibili nell’immediato a distanza di tempo (come vediamo) celano un evidente disegno di rafforzamento del Governo.it a scapito del Parlamento, o forse più concretamente dimostrano il fallimento dei sistemi rappresentativi a favore di organismi nominati o di sovrastrutture che, non devono rispondere all’investitura del popolo elettore (al diritto di voto), dal governo parlamentare al governo social e, più oltre, alla dittatura COVID-19».

Articolo a cura di Maurizio Maria Lucca, Segretario Generale Enti Locali e Development Manager

Profilo Autore

Avv. Maurizio Lucca. Segretario Generale presso Amministrazioni Locali. Ha svolto le funzioni di Direttore Generale in diversi Enti locali. Componente in Nuclei di Valutazione/OIV. Giornalista pubblicista. Formatore nelle tematiche della Pubblica Amministrazione. Docente per la FAD in materia di trasparenza e prevenzione della corruzione, curando il canale tematico “Anticorruzione CHANNEL” del gruppo Maggioli. Scrive per diverse riviste giuridiche. Autore di oltre 700 pubblicazioni tra libri, formulari, saggi e articoli. Tra gli ultimi libri, I contratti degli enti locali. Formulario degli atti negoziali con guida tecnica alla redazione, Maggioli, 2018, pagg. 814. Laureato con il massimo dei voti e una lode in Giurisprudenza e Science politiche. Tra i vari corsi di formazione professionale ha acquisito il Diploma di Perfezionamento (Legge 341/1990 – Map (Management per le Pubbliche Amministrazioni) “Academy dei Segretari Comunali e Provinciali” (Scuola di Direzione Aziendale dell’Università Bocconi – SDA School of Management) 2011; il Master “Governo delle Reti di Sviluppo Locale”, Università degli Studi di Padova, 2014.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/articoli/dati-personali-covid/



Strategie per la gestione degli incidenti di sicurezza informatica

Nel contesto digitale attuale, caratterizzato da un aumento costante delle minacce informatiche, le organizzazioni devono adottare un approccio proattivo e strutturato per affrontare gli incidenti di sicurezza informatica. Che si tratti di un attacco ransomware, di una violazione dei dati o di un accesso non autorizzato, la capacità di rispondere in modo tempestivo ed efficace può fare la differenza tra un problema gestibile e una crisi devastante.

Una strategia solida per la gestione degli incidenti non si limita alla semplice reazione. Inizia molto prima dell’incidente, con la pianificazione e la preparazione, e prosegue ben oltre la risoluzione immediata dell’emergenza, includendo analisi, apprendimento e miglioramento continuo. In questo articolo, esploreremo i principali aspetti di una conduzione efficace degli eventi di sicurezza informatica, suddivisi in quattro aree chiave.

Piano di risposta agli incidenti di sicurezza informatica: elementi essenziali

Un Cyber incident è un evento che comporta la violazione di riservatezza, integrità o disponibilità di dati e sistemi. Questo può variare dal malware che rallenta i processi aziendali fino a una violazione dei dati che coinvolge informazioni sensibili.

Gli incidenti di sicurezza informatica possono essere classificati in diverse categorie:

  • Malware: software dannoso che può compromettere i sistemi.
  • Data Breach: violazione di dati in cui informazioni sensibili vengono accedute oppure esposte in modo non autorizzato.
  • DDoS (Distributed Denial of Service): attacco che compromette i server e i servizi sovraccaricandoli di traffico non desiderato.
  • Accessi non autorizzati: situazioni in cui si verifica un accesso ai sistemi senza autorizzazione.

L’articolo 23 della direttiva 2022/2555 (NIS2) stabilisce che gli incidenti significativi, ovvero quelli che possono causare danni economici, commerciali, alla persona o interrompere i servizi aziendali, devono essere segnalati alle autorità competenti attraverso i CSIRT nazionali, che sono i team responsabili della gestione degli eventi di sicurezza informatica.

Inoltre, il regolamento 2024/2690 definisce quali incidenti possano essere considerati significativi, nonché altre tipologie degli stessi, rilevanti per l’applicazione della Direttiva NIS2.

La gestione degli eventi informatici riveste un ruolo sempre più capillare per garantire la protezione delle informazioni e assicurare la continuità operativa. Tali eventi, infatti, possono causare gravi conseguenze, tra cui la perdita di dati, l’interruzione temporanea dei servizi e la compromissione o diffusione non autorizzata di informazioni riservate. In scenari più critici, possono anche comportare responsabilità legali e sanzioni legate alla violazione della normativa sulla protezione dei dati personali di terzi.

Un piano di risposta agli incidenti è il cuore di ogni strategia di gestione degli attacchi informatici. Possiamo dire che un piano di incident response è è l’insieme di processi, strumenti e metodologie adottati per rilevare e gestire un incidente di sicurezza informatica nel modo più efficace possibile, con l’obiettivo di annullarne o ridurne al minimo le conseguenze. Senza una guida chiara e dettagliata, anche il team più competente rischia di trovarsi impreparato di fronte a una crisi. Il piano quindi deve essere strutturato, documentato e regolarmente aggiornato per riflettere l’evoluzione delle minacce e delle tecnologie.

Tra gli elementi fondamentali di un piano efficace, vi è l’identificazione chiara degli scenari di rischio. Ogni organizzazione deve comprendere quali sono gli asset critici, quali vulnerabilità possono essere sfruttate e quali minacce sono più probabili in base al proprio settore e alla propria infrastruttura. Questo tipo di valutazione preliminare consente di creare una mappa dei potenziali scenari di attacco e di preparare risposte specifiche per ciascuno di essi.

Un altro pilastro del piano riguarda le fasi operative che verranno approfondite più avanti: identificazione, contenimento, eradicazione, recupero e, infine, l’analisi post-incidente. Ogni fase deve essere dettagliata in termini di azioni da intraprendere, strumenti da utilizzare, obiettivi da raggiungere e tempi di reazione. La chiarezza operativa riduce le incertezze nei momenti di emergenza e permette al team di agire con decisione.

Durante la fase di identificazione e valutazione iniziale, è fondamentale rilevare e valutare rapidamente i Cyber incidents per identificare la portata del problema e prepararsi per gli step successivi del piano di risposta.

In particolare, occorrerà procedere con:

Riconoscimento degli indicatori di compromissione (IoC): Identificare IoC, come accessi sospetti o traffico anomalo, permette di rilevare tempestivamente le minacce, facilitando una risposta rapida.

Monitoraggio delle anomalie e degli eventi imprevisti: Un monitoraggio continuo di anomalie ed eventi di sicurezza consente di individuare rapidamente gli incidenti, permettendo una reazione pronta ed efficace per ridurre l’impatto sull’organizzazione.

Prioritizzazione degli incidenti in base a rischio e impatto: Stabilire delle priorità permette di allocare risorse in modo mirato, affrontando prima gli eventi più gravi o ad alto rischio, minimizzando i danni e risolvendo tempestivamente i problemi critici.

La fase successiva del contenimento e mitigazione mira a ridurre l’impatto di un Cyber incident, evitando danni ulteriori e perdite.

Ecco cosa prevede questa fase.

  • Strategie di contenimento: Azioni immediate, come isolare i sistemi compromessi e modificare le credenziali, limitano la diffusione dell’incidente. Le misure a lungo termine includono l’adozione di politiche di sicurezza più robuste.
  • Isolamento e correzione: L’isolamento dei sistemi compromessi impedisce la diffusione dell’incidente, mentre l’indagine e la correzione eliminano la causa principale per prevenire futuri problemi.
  • Patch di sicurezza e aggiornamenti: Mantenere software e sistemi operativi aggiornati con le ultime patch aiuta a proteggere dalle vulnerabilità conosciute.

Un efficace contenimento e mitigazione limita i danni e prepara al recupero completo.

Flusso di lavoro di risposta agli incidenti:
Il team IR coordina le azioni per contrastare l’incidente, seguendo diversi passaggi chiave.

  • Notifica ed escalation: Sono definite le procedure per segnalare e gestire l’incidente, con escalation per garantire una reazione tempestiva agli incidenti critici.
  • Collaborazione con investigatori esterni: Il team lavora con forze dell’ordine o esperti forensi per identificare le cause e risolvere l’incidente, analizzando i dati e i registri.
  • Raccolta e conservazione delle prove: vengono raccolte e conservate per future indagini o azioni legali.

Recupero dagli incidenti:
In questa fase, l’attenzione si sposta sul ripristino delle funzioni e la riduzione dei tempi di inattività.

  • Ripristino dei sistemi e dei servizi: I sistemi compromessi vengono verificati e ripristinati al loro stato precedente all’incidente.
  • Verifica dell’integrità dei dati: Si controlla che gli stessi non siano stati danneggiati durante l’incidente.
  • Ristabilire i canali di comunicazione: Dopo il ripristino, i canali di comunicazione con le parti interessate vengono riattivati.

Revisione e attività post-incidente:
La fase finale di un piano di IR riguarda la valutazione dell’incidente, la documentazione e l’implementazione di miglioramenti.

  • Revisione dell’incidente: Si analizzano le cause e l’impatto dell’incidente per identificare aree di miglioramento.
  • Documentazione: Viene redatto un rapporto dettagliato sull’incidente, con le lezioni apprese per migliorare le future risposte.
  • Miglioramento dei processi: Si aggiornano i piani di risposta agli incidenti, migliorando processi e tecnologie basati sulle esperienze acquisite.

L’importanza della preparazione non può essere sottovalutata. Simulazioni periodiche, note come tabletop exercises o penetration test con finalità formative, sono cruciali per testare l’efficacia del piano e individuare eventuali lacune. Solo attraverso l’addestramento continuo è possibile garantire una reazione coordinata e tempestiva in caso di reale necessità.

Infine, un buon piano di Incident response deve includere un sistema di monitoraggio e rilevamento delle minacce in tempo reale. L’uso di sistemi SIEM (Security Information and Event Management) o soluzioni basate su intelligenza artificiale può migliorare significativamente la capacità di individuare attività anomale e reagire prima che l’incidente si trasformi in una compromissione su vasta scala.

Ruoli e responsabilità durante un incidente di sicurezza informatica

Nel momento in cui si verifica un incidente informatico, l’organizzazione deve poter contare su una struttura chiara in termini di ruoli e responsabilità. L’assenza di una governance definita rischia di rallentare la reazione, creare sovrapposizioni o, peggio ancora, lasciare scoperti ambiti critici.

Un Incident Management Team (IMT) è un gruppo di professionisti provenienti da diverse aree, dedicato a gestire gli eventi informatici che potrebbero influire sulle operazioni aziendali. Questo gruppo multidisciplinare è composto da professionisti della sicurezza, esperti di rete, rappresentanti legali, figure della comunicazione e, in alcuni casi, anche dal top management. Ogni membro deve conoscere esattamente il proprio compito e disporre delle autorizzazioni necessarie per agire tempestivamente.

La missione di questo team contempla le attività sopra già affrontate quali:

  • Identificare
  • Valutare
  • Contenere
  • Risolvere

gli incidenti nel minor tempo possibile, riducendo al minimo gli impatti negativi sull’azienda. Un IMT efficace non si limita a rispondere agli eventi, ma agisce anche in modo proattivo per prevenirli, analizzando costantemente le minacce e adattando le strategie di difesa.

Per quanto concerne i ruoli e responsabilità all’interno dell’Incident Management Team distinguiamo:

Coordinatore del Team: supervisiona le attività di Incident response, prende decisioni importanti e funge da principale punto di riferimento tra il team, la direzione e le parti interessate esterne.

Analista di sicurezza: individua e analizza le vulnerabilità, monitorando costantemente i sistemi aziendali per rilevare segnali di potenziali aggressioni.

Esperto di risposta agli incidenti: gestisce gli eventi, occupandosi di ogni fase, dalla valutazione iniziale alla risoluzione e all’analisi post-incidente.

Responsabile della comunicazione: gestisce tutte le comunicazioni interne ed esterne relative agli incidenti, garantendo che le informazioni vengano condivise in modo chiaro e tempestivo, prevenendo confusione o panico.

Tecnico IT: fornisce supporto tecnico per isolare, contenere e riparare i sistemi danneggiati, contribuendo attivamente alla gestione dell’incidente.

Il CSIRT (Computer Security Incident Response Team) invece, si concentra principalmente sulla risposta agli stessi, analizzando e mitigando gli attacchi. Il CSIRT può essere interno o esterno all’organizzazione, e la sua funzione è più focalizzata sulla reazione tecnica agli eventi, come la raccolta delle prove, l’analisi degli attacchi e la comunicazione con altre entità di risposta agli stessi.

Il coordinatore del CSIRT, spesso il CISO (Chief Information Security Officer), ha il compito di dirigere le operazioni, prendere decisioni strategiche e fungere da punto di contatto centrale per tutte le comunicazioni. A lui spetta anche il compito di valutare l’impatto dell’incidente, di attivare le procedure di escalation e di informare il vertice aziendale.

Il personale IT, invece, ha la responsabilità di attuare le misure tecniche di contenimento, come l’isolamento delle reti compromesse, la disconnessione di dispositivi sospetti e l’implementazione delle contromisure. È fondamentale che queste operazioni vengano svolte in coordinamento con il CSIRT per evitare di compromettere le evidenze digitali necessarie per le indagini forensi.

Anche il reparto legale, appartenente al team IMT, gioca un ruolo cruciale, specialmente nel caso in cui l’incidente comporti la violazione di dati personali. In tali circostanze, è obbligatorio informare le autorità competenti (come il Garante per la protezione dei dati personali, in Italia) entro termini prestabiliti. Il team legale collabora inoltre nella valutazione dei rischi reputazionali e contrattuali derivanti dall’incidente.

Da non dimenticare è l’apporto della direzione aziendale, che deve essere coinvolta nei momenti chiave per garantire supporto strategico e risorse, ma anche per autorizzare decisioni di impatto come la sospensione di servizi, la notifica ai clienti o il pagamento di eventuali riscatti (nel caso, controverso, di ransomware).

Comunicazione interna ed esterna durante un incidente

Durante un incidente informatico, la comunicazione diventa un elemento critico della gestione. Una strategia di comunicazione efficace può contribuire a contenere i danni, mantenere la fiducia degli stakeholder e assicurare una amministrazione coerente delle informazioni. Al contrario, messaggi confusi o contraddittori possono amplificare le conseguenze dell’incidente.

L’amministrazione degli incidenti è essenziale per la protezione aziendale e si concentra sull’identificazione, risposta e riduzione degli effetti di eventi indesiderati. Un processo efficace inizia con una preparazione accurata, che prevede la creazione di piani dettagliati e l’assegnazione di ruoli e responsabilità ben definiti. Rilevare tempestivamente gli attacchi, grazie a sistemi di monitoraggio avanzati, è essenziale per individuare comportamenti sospetti e rispondere prontamente, riducendo i danni e ripristinando la normalità. Successivamente, si svolge un’indagine approfondita per comprendere le cause e gli impatti, alimentando un flusso di acquisizione continuo.

La comunicazione durante l’intero flusso di gestione dell’incidente è fondamentale e deve essere limpido, coinvolgendo dipendenti, clienti e autorità regolatorie.

La comunicazione interna deve essere rapida, chiara e coordinata. Tutti i dipendenti devono sapere a chi rivolgersi in caso di anomalie, come comportarsi durante l’incidente e quali informazioni sono riservate. È fondamentale evitare il diffondersi di voci incontrollate che potrebbero generare panico o disinformazione. Per questo, molte aziende definiscono una catena di comunicazione interna che parte dal CSIRT e arriva fino a tutti i livelli operativi.

Le leggi e le regolamentazioni a livello nazionale ed europeo stabiliscono frequentemente i requisiti per la divulgazione degli incidenti e le informazioni minime che devono essere incluse nella comunicazione. In Italia, le principali normative di riferimento sono il GDPR, il DDL sulla cybersicurezza e la direttiva NIS 2.

È generalmente consigliato comunicare l’incidente il prima possibile. Questo approccio aiuta a rassicurare gli stakeholder e consente all’organizzazione di influenzare l’opinione pubblica sin dalle prime fasi della crisi.

La tempestività deve essere accompagnata dalla precisione delle informazioni. In alcuni casi, può essere utile sovrastimare inizialmente l’impatto per garantire una comunicazione rapida, pur mantenendo un margine di correzione successiva.

Sul fronte esterno, la gestione della comunicazione è ancora più delicata. Se l’incidente ha impatto sui clienti, sui fornitori o sull’opinione pubblica, è necessario predisporre comunicati ufficiali che informino in modo trasparente, ma prudente. L’obiettivo è rassicurare gli stakeholder, mostrare che l’azienda ha la situazione sotto controllo e limitare i danni reputazionali.

I portavoce designati, spesso appartenenti al team di comunicazione o al top management, devono attenersi a un messaggio condiviso e approvato dal team legale, evitando dichiarazioni affrettate o non verificate. Nelle situazioni più complesse, può essere utile avvalersi del supporto di agenzie di crisis management specializzate.

In certi contesti, è anche obbligatorio comunicare l’incidente alle autorità di regolamentazione, alle forze dell’ordine o ad altre entità governative. Questi passaggi devono essere gestiti con attenzione, rispettando le normative vigenti, come il GDPR in Europa, che impone tempistiche precise per la notifica delle violazioni.

Dopo aver inviato la comunicazione, è fondamentale monitorare la reazione del pubblico:

  • Monitorare i social media: È importante osservare le reazioni sui social per rispondere tempestivamente a domande e preoccupazioni.
  • Gestire le richieste dei media: Bisogna fornire risposte rapide e coerenti alle richieste di informazioni da parte dei media, garantendo così coerenza nel messaggio.
  • Contrastare altre minacce: È necessario adottare misure per prevenire eventuali tentativi di phishing e truffe che potrebbero sfruttare la vulnerabilità percepita.

Infine, un altro aspetto spesso trascurato è la comunicazione post-incidente. Dopo aver risolto l’emergenza, l’azienda deve aggiornare i propri stakeholder sui risultati dell’analisi forense, sulle azioni correttive adottate e sulle misure implementate per evitare il ripetersi dell’accaduto. Questa trasparenza può contribuire a ricostruire la fiducia e rafforzare la reputazione aziendale nel lungo periodo.

Analisi post-incidente e miglioramento delle procedure

La chiusura operativa di un incidente non rappresenta la fine del processo. Al contrario, è l’inizio di una fase fondamentale: l’analisi post-incidente. Questo momento di riflessione consente di capire cosa è successo, come si è sviluppato l’attacco, quali sono stati i punti deboli sfruttati dagli aggressori e cosa si sarebbe potuto fare diversamente.

Un incidente informatico può rappresentare un’opportunità per l’apprendimento all’interno dell’organizzazione, e l’integrazione tra gestione della sicurezza (ISM) e risposta agli incidenti (IR) è fondamentale per sfruttare appieno questa opportunità:

  • Analisi post-incidente: È essenziale condurre un’analisi approfondita per identificare le cause dell’incidente, le vulnerabilità sfruttate e le inefficienze nel processo di reazione.
  • Miglioramento continuo: Le lezioni apprese devono essere utilizzate per aggiornare le politiche di tutela, i processi di risposta e le misure di controllo, potenziando la resilienza dell’organizzazione.
  • Formazione e sensibilizzazione: Potenziare la formazione del personale sulle migliori pratiche di sicurezza e sulla gestione degli incidenti aumenta la consapevolezza e la capacità di reazione dell’organizzazione, riducendo i rischi in futuro.

L’analisi post-incidente, più precisamente nota anche come post-mortem o lessons learned, deve essere condotta in modo strutturato, includendo tutti i reparti coinvolti nella risposta. È utile raccogliere tutte le evidenze disponibili, dai log di sistema alle registrazioni delle attività degli utenti, fino alle comunicazioni avvenute durante l’incidente.

Tra gli obiettivi principali di questa fase vi è la definizione di un report dettagliato, che includa una cronologia degli eventi, l’identificazione delle cause radice, l’analisi dell’efficacia delle contromisure adottate e le raccomandazioni per il futuro. Questo documento deve essere archiviato in modo sicuro, ma accessibile a chi ha la responsabilità della sicurezza.

Un elemento chiave dell’analisi è la revisione delle policy e delle procedure aziendali. Se l’incidente ha evidenziato lacune nei controlli di accesso, nella segmentazione della rete o nella formazione dei dipendenti, è necessario intervenire tempestivamente con aggiornamenti, nuove regole o programmi di sensibilizzazione.

Anche l’infrastruttura tecnica deve essere esaminata. L’incidente ha sfruttato una vulnerabilità software nota? È stato possibile a causa di patch non applicate? Ha avuto successo perché mancavano sistemi di monitoraggio avanzato? Tutte queste domande devono trovare una risposta, e le soluzioni devono essere implementate senza ritardi.

Infine, l’esperienza maturata deve diventare un patrimonio condiviso. Le organizzazioni più mature organizzano workshop interni per diffondere le conoscenze acquisite, aggiornano il piano di Incident response in base alle lezioni apprese e programmano nuove esercitazioni per testare le modifiche introdotte.

Conclusioni

La gestione dei cyber incidents non può essere improvvisata. Richiede pianificazione, collaborazione, competenza tecnica e una cultura aziendale orientata alla resilienza. Attraverso l’adozione di un piano ben strutturato, la definizione chiara dei ruoli, una comunicazione efficace e un’attenta analisi post-incidente, le organizzazioni possono non solo limitare i danni, ma trasformare una crisi in un’opportunità di crescita e rafforzamento.

In un’epoca in cui la sicurezza informatica è una delle sfide principali per il business, investire nella preparazione e nella gestione degli incidenti non è più un’opzione: è una necessità strategica.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/notizie/incidenti-sicurezza-informatica/



Misurare l’efficacia della cybersecurity: KPI per il CISO

In un’epoca in cui le minacce informatiche si evolvono più velocemente delle difese, il ruolo del CISO (Chief Information Security Officer) è diventato centrale per garantire la resilienza digitale dell’organizzazione. Tuttavia, garantire la protezione informatica non significa solo implementare soluzioni tecniche, ma anche misurarne l’efficacia in modo sistematico. Ed è qui che entrano in gioco i KPI della cybersecurity: indicatori chiave di performance che aiutano a valutare, comunicare e migliorare continuamente lo stato della sicurezza digitale.

Indicatori chiave di performance (KPI) per valutare la sicurezza IT

Uno dei compiti principali del CISO è trasformare dati complessi e tecnici in informazioni strategiche utili per il business. I KPI (Key Performance Indicators) rappresentano uno strumento essenziale per raggiungere questo obiettivo. In ambito operativo, fungono da ponte comunicativo tra i team tecnici e i dirigenti aziendali. Più che semplici numeri, sono strumenti di governance che trasformano dati tecnici complessi in informazioni accessibili e rilevanti per il business.

Questo consente di prendere decisioni strategiche fondate su dati concreti, superando approcci basati su impressioni o valutazioni soggettive. Gli indicatori chiave di prestazione della Cybersecurity aiuteranno inoltre i CISO a confrontare gli standard del settore e a comprendere le aree critiche di miglioramento.

Ma cosa rende davvero efficace un KPI nel contesto della sicurezza informatica?

Un indicatore chiave deve essere misurabile, rilevante e tempestivo. Non serve monitorare centinaia di parametri se questi non aiutano a prendere decisioni. Gli indicatori di cybersecurity più efficaci sono quelli che forniscono una fotografia chiara delle vulnerabilità, della postura di difesa e della capacità di risposta dell’organizzazione.

Ad esempio, tra i più utilizzati dai CISO troviamo il tempo medio di rilevamento (MTTD), il tempo medio di risposta (MTTR) e il tempo medio di applicazione della Patch (MTTP) agli incidenti di sicurezza. Più questi valori sono bassi, maggiore è la capacità dell’organizzazione di contenere un attacco prima che si trasformi in una violazione significativa.

Il MTTR è una metrica fondamentale per misurare la prontezza dell’organizzazione nel risolvere le criticità identificate. Viene solitamente suddivisa in base al livello di gravità – alta, media o bassa – per offrire una visione più dettagliata delle priorità operative.

Diversamente dal MTTP (Mean Time to Patch), il MTTR tiene conto di tutti i metodi utilizzati per mitigare una criticità, non solo l’applicazione di patch. Ad esempio, la disattivazione di un servizio, l’isolamento di un asset o l’adozione di workaround temporanei vengono considerati nel calcolo. Per le vulnerabilità software, la tempistica include anche eventuali riavvii di sistema e la verifica post-risoluzione per assicurarsi che la correzione sia stata efficace, spesso accompagnata da fasi di test e validazione.

Impatto sulla sicurezza informatica

Migliorare questo indicatore significa accorciare il periodo in cui una fragilità può essere attivamente sfruttata da attori malevoli, riducendo così il rischio potenziale per l’intera infrastruttura IT.

Valore per l’organizzazione

Dal punto di vista aziendale, una riduzione del MTTR si traduce in una minore probabilità di danni come fughe di dati, blocchi operativi o interruzioni non pianificate. Inoltre, un MTTR contenuto contribuisce al rispetto dei tempi richiesti dalle attività di audit e conformità normativa, con cadenze di verifica trimestrali o annuali a seconda delle policy interne e degli standard di settore.

Il MTTP (Mean Time to Patch) misura invece quanto rapidamente un’organizzazione riesce a distribuire le patch di sicurezza per le vulnerabilità considerate critiche, in particolare quelle già note per essere oggetto di attacchi attivi. Si tratta di una metrica cruciale per valutare l’efficienza dei processi di risposta e aggiornamento.

Benefici in termini di sicurezza informatica

Ridurre il MTTP significa diminuire la finestra temporale durante la quale le criticità ad alto rischio restano esposte agli attacchi. Intervenire tempestivamente è essenziale per prevenire compromissioni su larga scala o accessi non autorizzati ai sistemi aziendali.

Implicazioni per il business

Un MTTP più contenuto contribuisce a limitare le interruzioni operative causate dallo sfruttamento di falle critiche, proteggendo la continuità dei servizi e riducendo i potenziali danni economici. Il monitoraggio regolare, su base mensile o trimestrale, consente inoltre di verificare i progressi e identificare eventuali colli di bottiglia nei flussi di gestione delle patch.

Il MTTD (Mean Time to Detect) indica invece il tempo medio che intercorre tra l’inizio di un incidente di sicurezza (come una violazione, un attacco o una compromissione) e il momento in cui viene effettivamente rilevato dal team di protezione o dagli strumenti di monitoraggio.

Un MTTD basso è sintomo di una buona capacità di monitoraggio e rilevamento: significa che l’organizzazione riesce a identificare rapidamente le minacce, riducendo il tempo in cui gli aggressori possono muoversi indisturbati nella rete.

Viceversa, un MTTD elevato può indicare che l’organizzazione ha problemi nel rilevamento tempestivo, aumentando il rischio di danni più estesi.

Un altro KPI fondamentale è il tasso di patching delle vulnerabilità critiche. Questo indicatore misura quanto velocemente l’IT riesce ad applicare aggiornamenti di protezione, soprattutto in presenza di fragilità note. La mancata applicazione tempestiva delle patch è una delle principali cause di attacchi ransomware riusciti.

Più precisamente è la percentuale di vulnerabilità critiche che sono state corrette (patchate) entro un determinato periodo di tempo, rispetto al totale rilevato.

Esempio:

Se hai identificato 100 fragilità critiche e ne hai corrette 85 entro il periodo definito dagli SLA, il tuo Critical Patch Rate è dell’85%.

Tuttavia, è importante non fermarsi alla semplice copertura numerica. Bisogna approfondire: quanti di questi asset sono sottoposti a scansioni autenticate, rispetto a quelle non autenticate? Con quale frequenza vengono aggiornate le informazioni relative alle criticità identificate?

Sono tutti quesiti utili che consentono al Chief Information Security Officer di valutare l’affidabilità e la completezza del programma di vulnerability management, identificando eventuali zone d’ombra nell’infrastruttura e ottimizzando la strategia di scansione in base al rischio reale. Queste informazioni, infatti, gli permettono di capire dove concentrare gli sforzi, migliorare la copertura, ridurre i falsi negativi e garantire che le decisioni siano prese su dati accurati e aggiornati.

Impatto sulla sicurezza informatica

Un miglioramento della copertura e della qualità delle valutazioni consente di ottenere una maggiore visibilità su problemi quali CVE (Common Vulnerabilities and Exposures), errori di configurazione, uso di password non sicure o riutilizzate, algoritmi di crittografia obsoleti e criticità nei controlli di accesso.

Valore per il business

Mappare le ciriticità sugli asset permette anche di identificarne la distribuzione per area funzionale, sede geografica, tipo di infrastruttura o business unit, consentendo un’analisi dettagliata del rischio informatico a livello aziendale.

Implicazioni operative per l’organizzazione

Dal punto di vista aziendale, un’efficace gestione dei tempi di risposta può ridurre drasticamente il pericolo di interruzioni operative dovute allo sfruttamento di falle nella sicurezza, contribuendo a mantenere continuità e affidabilità nei processi aziendali. La misurazione può essere condotta su base mensile o trimestrale, in base alla maturità dell’organizzazione.

La gestione delle vulnerabilità costituisce la prima linea di difesa contro gli attacchi informatici. I KPI relativi a quest’area dovrebbero essere suddivisi in base alla gravità secondo il sistema CVSS (Common Vulnerability Scoring System) e valutati tenendo conto del reale livello di esposizione all’interno dell’ambiente operativo.

Inoltre, è utile tenere sotto osservazione il numero di sistemi non conformi alle policy di protezione aziendale. Questo KPI aiuta il CISO a capire se ci sono aree dell’infrastruttura IT che rappresentano un rischio elevato a causa di configurazioni errate, software obsoleto o mancato aggiornamento delle policy.

Per ogni indicatore, i Chief Information Security Officer dovrebbero definire degli SLA (Service Level Agreements) che riflettano le specifiche necessità dell’organizzazione, tenendo conto sia del livello attuale di maturità della sicurezza informatica sia delle priorità strategiche da raggiungere nel medio-lungo termine.

Misurare l’efficacia della protezione IT non significa però solo contare gli incidenti. È importante monitorare anche le attività preventive, come le ore di formazione completate dal personale in ambito security, o la frequenza dei test di phishing simulato. Questi dati contribuiscono a valutare la maturità della cultura della sicurezza in azienda, un fattore spesso trascurato ma decisivo.

Il controllo costante di questi indicatori consente ai CISO di dialogare in modo più efficace con il Consiglio di amministrazione. Offrire una visione chiara e dettagliata dei principali KPI permette non solo di giustificare richieste di budget, ma anche di orientare al meglio l’impiego delle risorse disponibili.

Metriche per monitorare gli incidenti di sicurezza nel tempo

Un buon programma di cybersecurity non può prescindere da un’attenta osservazione dell’evoluzione degli incidenti di sicurezza nel tempo. Le metriche temporali consentono al Chief Information Security Officer non solo di reagire, ma di prevedere e prevenire.

Monitorare il numero totale di eventi di sicurezza per mese o trimestre permette di individuare trend ricorrenti e stagionalità, ma è ancora più utile scomporre questi eventi per tipologia. Ad esempio, distinguere tra eventi causati da malware, phishing, accessi non autorizzati o insider threat aiuta a calibrare meglio le contromisure.

La gravità media degli incidenti è un altro parametro cruciale. Se il numero di eventi rimane costante ma la loro gravità aumenta, significa che gli attaccanti stanno diventando più sofisticati o che i sistemi difensivi non evolvono abbastanza rapidamente.

Nel monitoraggio degli eventi, è fondamentale includere anche il tempo di inattività generato da ciascun attacco. Questo KPI, spesso misurato in ore o giorni, ha un impatto diretto sulla produttività aziendale e può essere tradotto facilmente in perdite economiche, facilitando la comunicazione con il top management.

Qual è l’impatto economico complessivo di un incidente di sicurezza per l’organizzazione? Questo valore è superiore o inferiore rispetto alla media del settore? La risposta a queste domande aiuta i CISO a comprendere se le strategie adottate sono efficaci o se è necessario intervenire per ottimizzare i costi e migliorare la resilienza complessiva.

Anche la percentuale di incidenti risolti internamente rispetto a quelli che richiedono supporto esterno offre spunti interessanti. Un’organizzazione in grado di gestire autonomamente la maggior parte delle minacce è solitamente più resiliente e più preparata.

Infine, confrontare periodicamente questi dati con quelli di settori simili – attraverso benchmark di settore – può aiutare a capire se l’azienda è più o meno esposta rispetto ai concorrenti, e dove è possibile migliorare.

Analisi dei dati per migliorare le strategie di sicurezza

La semplice raccolta di dati non basta: è l’analisi intelligente dei KPI a fare la differenza. Il CISO moderno deve saper trasformare numeri in insight operativi, identificando pattern, correlazioni e anomalie che potrebbero passare inosservate in una visione puramente reattiva.

Grazie all’uso di dashboard dinamiche, strumenti di SIEM (Security Information and Event Management) e piattaforme di analytics, oggi è possibile aggregare grandi volumi di dati da fonti diverse e identificare in tempo reale minacce latenti, gap di copertura o inefficienze nel piano di risposta agli incidenti.

Ad esempio, un improvviso aumento degli alert provenienti da una specifica regione geografica o da un determinato endpoint potrebbe indicare un attacco mirato in corso. Oppure, analizzando i log di accesso, è possibile scoprire comportamenti anomali da parte di utenti legittimi che potrebbero nascondere un tentativo di compromissione interna.

Gli strumenti di SIEM, in particolare, sono in grado di monitorare e raccogliere eventi di sicurezza in tempo reale, consentendo ai team di difesa di rispondere rapidamente a qualsiasi anomalia. La capacità di integrare e correlare eventi provenienti da diverse fonti è uno degli aspetti più potenti di queste soluzioni, poiché permette di identificare minacce complesse che potrebbero passare inosservate se monitorate separatamente.

Ma l’analisi dei KPI serve anche per ottimizzare gli investimenti. Monitorando la correlazione tra spesa in protezione e riduzione degli incidenti, il CISO può dimostrare l’efficacia delle strategie adottate e indirizzare meglio il budget, concentrandosi sulle aree a maggior rischio o minor rendimento.

Se, ad esempio, si nota che nonostante l’investimento significativo in una determinata area di sicurezza, gli eventi continuano ad aumentare, il Chief Information Security Officer potrebbe decidere di rivedere la strategia adottata o ridistribuire i fondi verso aree che offrono un migliore ritorno sugli investimenti. L’analisi dei dati, quindi, non solo aiuta a rilevare minacce, ma anche a ottimizzare l’uso delle risorse disponibili.

Un’altra applicazione strategica dell’analisi dati è nella valutazione della readiness aziendale ai nuovi scenari normativi. Ad esempio, in vista dell’adeguamento a normative come il GDPR o la Direttiva NIS2, è utile misurare il livello di conformità attuale e l’impatto potenziale in caso di audit o violazione.

In vista di nuovi regolamenti, l’analisi dei dati può anche suggerire le aree in cui l’azienda ha bisogno di migliorare per essere pronta agli audit. Inoltre, i KPI relativi alla protezione dei dati possono aiutare a identificare e correggere le lacune prima che si verifichi una violazione, evitando così multe significative o danni reputazionali.

In questo contesto, l’adozione di approcci basati su cyber threat intelligence e su modelli predittivi può aumentare ulteriormente la capacità del CISO di anticipare gli attacchi e rafforzare le difese prima che sia troppo tardi.

Reportistica regolare al CDA sui risultati ottenuti

Un ultimo, ma fondamentale aspetto del lavoro del Chief Information Security Officer riguarda la comunicazione verso il Consiglio di amministrazione (CDA). La cybersecurity è ormai una priorità strategica, ma per essere percepita come tale dai vertici aziendali, deve essere comunicata in modo chiaro, misurabile e orientato al rischio.

I KPI svolgono in questo contesto un doppio ruolo: da un lato aiutano il Chief Information Security Officer a raccontare i risultati raggiunti, dall’altro rappresentano una base solida per chiedere ulteriori investimenti o ridefinire le priorità.

La reportistica verso il CDA dovrebbe evitare il linguaggio troppo tecnico e concentrarsi su metriche orientate al business, come la riduzione del rischio, l’impatto economico evitato grazie a specifici interventi, o la conformità alle normative. In questo modo, la sicurezza informatica viene percepita non come un costo, ma come un elemento abilitante del successo aziendale.

È utile che i report includano anche valutazioni qualitative, come il livello di maturità del programma di protezione o la posizione dell’azienda rispetto al benchmark di settore. In molti casi, può essere efficace accompagnare i KPI numerici con visualizzazioni intuitive, come grafici a barre, mappe di calore o scorecard, che rendono immediato il messaggio per un pubblico non tecnico.

Una buona prassi è quella di definire una cadenza regolare di reporting, ad esempio trimestrale o semestrale, per fornire aggiornamenti continui e mantenere alta l’attenzione su eventuali nuove priorità. Il coinvolgimento del CDA in questo processo aiuta anche a rafforzare la cultura della sicurezza a livello organizzativo, rendendo più facile l’implementazione di policy e controlli.

Infine, il reporting basato su indicatori chiave consente di creare una narrazione coerente che collega le attività operative alla missione e alla visione aziendale, facilitando l’allineamento tra IT e business.

Conclusioni

Misurare l’efficacia della Cybersecurity attraverso KPI mirati non è solo un’esigenza tecnica, ma una necessità strategica. Per il CISO moderno, il valore della protezione informatica si gioca sulla capacità di prevenire, rilevare, rispondere e soprattutto comunicare.

Attraverso un set di indicatori ben strutturato, può prendere decisioni più consapevoli, proteggere meglio gli asset aziendali, e dimostrare con trasparenza il valore aggiunto del proprio operato. In un contesto sempre più regolamentato e competitivo, disporre di una metrica chiara per la sicurezza informatica rappresenta un vantaggio competitivo concreto, oltre che una garanzia per la continuità operativa.

In definitiva, la cybersecurity non è solo una questione di tecnologie, ma di metriche, cultura e strategia. E i KPI rappresentano il collegamento tra questi tre elementi.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/notizie/kpi-ciso/



La comunicazione efficace tra il CISO e il top management

In un contesto aziendale sempre più digitalizzato e interconnesso, la sicurezza informatica è diventata un pilastro strategico. Tuttavia, il valore di una solida postura di cybersecurity dipende non solo dalla tecnologia impiegata, ma anche e soprattutto dalla capacità del Chief Information Security Officer (CISO) di comunicare efficacemente con il top management. Il dialogo tra chi si occupa della sicurezza e chi guida le decisioni aziendali è fondamentale per assicurare un’adeguata protezione degli asset digitali, garantendo al contempo la continuità operativa e la crescita dell’organizzazione.

Il CISO si trova oggi nella posizione delicata di dover tradurre concetti tecnici complessi in informazioni strategiche accessibili al Consiglio di amministrazione (CDA) e agli executive. Questo richiede non solo competenze tecniche, ma anche un’elevata intelligenza comunicativa e una visione orientata al business.

Importanza della reportistica sulla sicurezza informatica: come il CISO comunica i rischi al CDA

Una delle principali sfide nella comunicazione tra il Chief Information Security Officer e i vertici aziendali riguarda la reportistica. Fornire rapporti chiari, sintetici e significativi è essenziale per ottenere l’attenzione e il supporto del vertice aziendale.

Negli ultimi anni, l’attenzione crescente verso la cybersecurity ha rappresentato un valido supporto per i CISO nel costruire un resoconto più efficace. Questo contesto favorevole consente loro di illustrare con maggiore chiarezza al CDA i punti di vulnerabilità dell’azienda, i limiti attuali dei controlli di protezione implementati e le aree in cui le infrastrutture e le informazioni aziendali risultano esposte ai rischi.

È in questo contesto che il report assume un ruolo strategico. Il Chief Information Security Officer deve saper costruire report periodici che offrano una panoramica aggiornata del panorama delle minacce, dello stato della sicurezza aziendale e delle iniziative in corso. Ogni informazione deve essere orientata a rispondere alla domanda: “Come questo influisce sul business?”

Un buon report di sicurezza non si limita a elencare gli eventi di pericolo rilevati o le vulnerabilità individuate. Deve collegare questi elementi a metriche di rischio, impatto economico potenziale e priorità aziendali. Ad esempio, la segnalazione di un aumento degli attacchi ransomware ha maggiore efficacia se accompagnata da un’analisi del potenziale downtime dei sistemi critici e delle implicazioni legali o regolatorie per l’organizzazione.

Quali sono, dunque, le informazioni fondamentali da sottoporre all’attenzione del Consiglio di amministrazione e qual è l’approccio più efficace per farlo?

Non esiste una risposta univoca, e questo per almeno tre motivi rilevanti:

In primo luogo, ogni CDA è unico, perché riflette non solo il tipo di prodotti e servizi offerti dall’azienda, ma anche — e soprattutto — le caratteristiche delle persone che lo compongono. La struttura stessa del Board può variare sensibilmente da un’organizzazione all’altra, rendendo necessario un adattamento su misura del report da parte dei CISO;

In secondo luogo, in base alla dimensione e alla complessità dell’impresa, alcune aree di responsabilità potrebbero non ricadere direttamente sul Chief Information Security Officer. In molte realtà aziendali, infatti, entrano in gioco altre figure chiave come il Risk Manager, il Data Protection Officer (DPO) o l’Internal Auditor, che condividono o presidiano specifici ambiti della sicurezza.

Infine, il settore di appartenenza influisce sulla rilevanza di determinati temi all’interno del reporting. Alcuni aspetti, come ad esempio la “tutela dei prodotti”, potrebbero essere irrilevanti per aziende di servizi o consulenza, mentre risultano centrali in ambiti industriali o tecnologici.

L’adozione di framework riconosciuti come il NIST Cybersecurity Framework o ISO/IEC 27001 può fornire una base strutturata per la reportistica, facilitando la comunicazione anche con interlocutori non tecnici. L’obiettivo non è semplicemente “informare”, ma influenzare le decisioni strategiche attraverso una narrazione basata sui dati.

In generale, comunque, ad alto livello, le informazioni da condividere sono comunemente individuabili. Ne riportiamo le principali.

Conformità a normative e adozione di framework di sicurezza

È fondamentale che il Chief Information Security Officer informi il CDA sullo stato di conformità dell’azienda alle normative in ambito sicurezza (come il GDPR), evidenziando sia il livello raggiunto sia le aree che richiedono miglioramenti. Devono inoltre essere segnalati eventuali aggiornamenti normativi rilevanti.

Parallelamente, va illustrato quali standard e framework di sicurezza sono stati adottati come ISO 27001, NIST, CIS Controls o il Framework Nazionale e le motivazioni alla base di tali scelte. Il Chief Information Security Officer ha il compito di aggiornare regolarmente il Board sul grado di implementazione, sull’efficacia dei controlli introdotti e sui meccanismi messi in atto per monitorarne l’aderenza e l’impatto sulla postura di sicurezza dell’organizzazione.

Minacce informatiche e trend emergenti

Per consentire al CDA di comprendere meglio il contesto dinamico in cui si muove l’azienda, è fondamentale offrire una visione chiara delle principali minacce informatiche in atto e delle tendenze emergenti nel panorama cyber.

Negli ultimi anni, uno strumento prezioso a disposizione dei CISO in questo ambito è stato la Threat Intelligence. Questo tipo di analisi, diventata ormai un pilastro della difesa informatica, consente di raccogliere informazioni dettagliate da fonti open source o servizi professionali su chi sono gli attori malevoli e quali tecniche utilizzano per portare avanti gli attacchi.

Tuttavia, questi dati, per essere davvero utili al Board, devono essere rielaborati in chiave strategica. Il compito del Chief Information Security Officer è quindi quello di tradurre contenuti altamente tecnici in un linguaggio accessibile, offrendo una sintesi visiva e concisa dello scenario globale delle minacce. Supporti come infografiche o dashboard possono aiutare a rappresentare meglio i rischi potenziali e a spiegare in che modo questo trend potrebbero avere un impatto concreto sull’organizzazione.

Incidenti di sicurezza recenti

Nel presentare al Consiglio di amministrazione gli incidenti di sicurezza rilevanti accaduti nel periodo di riferimento, è fondamentale adottare un approccio equilibrato e costruttivo. Il Chief Information Security Officer deve fornire una panoramica chiara dei principali eventi, spiegando la natura degli incidenti, il loro impatto sull’organizzazione e le misure adottate per contenerli e risolverli.

Oltre alla descrizione tecnica, è essenziale chiarire le cause alla base degli incidenti, anche quando si sono verificati nonostante i controlli esistenti. Questo passaggio consente di dimostrare al Board che l’azienda è in grado di analizzare criticamente le proprie vulnerabilità e che ha già messo in atto azioni correttive per prevenire eventi simili in futuro.

Il tono della comunicazione deve restare focalizzato sul miglioramento continuo, evitando accuse o colpe individuali. L’obiettivo è mostrare un’organizzazione matura, trasparente e orientata all’apprendimento, capace di trasformare ogni incidente in un’opportunità per rafforzare la propria postura di sicurezza. In questo modo, si trasmette al consiglio la certezza che la protezione dei dati e dei sistemi è una priorità costante, affrontata con responsabilità e visione strategica.

Presentazione dei dati di rischio in modo comprensibile

La gestione del rischio è uno degli aspetti centrali della cybersecurity. Tuttavia, il modo in cui i dati dello stesso vengono presentati fa spesso la differenza tra una decisione consapevole e una sottovalutazione del problema. Il CISO deve agire come un “traduttore” tra il linguaggio tecnico degli analisti e quello finanziario o operativo dei dirigenti.

I membri del CDA raramente sono esperti in cyber security e, spesso, non hanno il tempo o l’interesse per approfondire dettagli troppo tecnici. Tuttavia, sono pienamente consapevoli del potenziale impatto che un incidente di sicurezza può avere su reputazione, conformità normativa e performance finanziaria.

È chiaro che una comunicazione realmente efficace deve considerare il punto di vista del Consiglio di amministrazione in merito alla questione trattata. Per catturare l’attenzione del Board e risultare davvero incisivi, è fondamentale inquadrare i temi legati alla cybersecurity all’interno del più ampio scenario degli obiettivi strategici dell’azienda.

Lo scopo della traduzione “dalla tecnologia al business” è individuare quei fattori tecnici che potrebbero causare un’interruzione dei servizi e metterli in relazione con gli obiettivi aziendali, in modo da presentarli al Board come rischi strategici rilevanti per il successo dell’organizzazione.

È fondamentale saper quantificare il rischio in termini comprensibili: probabilità, impatto e costi. Utilizzare modelli di risk scoring e heat map può aiutare a rappresentare graficamente la situazione, rendendo evidenti le aree di maggiore esposizione. Tuttavia, la rappresentazione grafica deve essere sempre accompagnata da una spiegazione semplice e diretta, evitando gergo tecnico e acronimi.

La comunicazione delle minacce deve inoltre essere personalizzata in base all’interlocutore. Il CFO, ad esempio, sarà interessato agli aspetti finanziari e assicurativi della sicurezza, mentre il COO potrebbe focalizzarsi sull’impatto operativo. Al contrario, il CEO o il CDA vorranno una sintesi chiara: quali rischi sono accettabili, quali devono essere mitigati e quali richiedono investimenti immediati.

È importante anche spiegare la differenza tra rischio residuo, rischio trasferito (es. tramite assicurazioni) e rischio mitigato, in modo che la direzione esecutiva possa prendere decisioni strategiche ben informate. Il Chief Information Security Officer deve costruire una narrazione che leghi ogni pericolo a uno specifico impatto sull’organizzazione, mostrando come la cyber security sia un fattore abilitante per il business, e non un costo da limitare.

Indipendentemente dal tipo di informazioni trattate nel report del CISO, per renderle più chiare e incisive è essenziale accompagnarle con metriche e dashboard. Questi strumenti permettono di quantificare l’efficacia delle strategie di cybersecurity, evidenziare i miglioramenti ottenuti e dimostrare che le decisioni sono supportate da dati concreti.

Organizzare le metriche in tre categorie:

Key Risk Indicators (KRI) per l’identificazione dei rischi, Key Performance Indicators (KPI) per valutare i risultati raggiunti, e Key Control Indicators (KCI) per verificare l’efficacia dei controlli, aiuta a fornire al Board una visione strutturata e completa dello stato della protezione aziendale.

Inoltre, ogni sezione del report dovrebbe includere una panoramica sui piani futuri e le iniziative strategiche. Questo spazio è fondamentale per evidenziare l’approccio proattivo dell’azienda nella gestione della sicurezza e nel rispondere alle minacce emergenti.

Vanno quindi illustrati i programmi di miglioramento, la formazione del personale, le simulazioni di incidenti e l’adozione di nuove tecnologie, insieme alle risorse economiche, umane e tecniche necessarie per realizzarli. È importante sottolineare come queste iniziative siano allineate agli scopi dell’azienda e contribuiscano concretamente al successo complessivo dell’impresa, rafforzando la fiducia dei clienti, la reputazione del brand e la continuità operativa.

Strategie per allineare le priorità di sicurezza con gli obiettivi aziendali

Una delle principali cause di incomprensioni tra il CISO e il management è la mancata armonizzazione tra le priorità della cyber security e gli obiettivi di business.

Nel presentare i risultati delle valutazioni di rischio al CDA, l’obiettivo principale è comunicare chiaramente i rischi identificati, le misure di mitigazione adottate e la strategia complessiva per la gestione dei rischi informatici.

Quando la cybersecurity viene percepita come un freno all’innovazione o un ostacolo all’agilità operativa, il rischio è che le iniziative di protezione vengano messe in secondo piano o che vengano considerati solo gli aspetti minimi necessari alla compliance.

Per superare questo ostacolo, il CISO deve dimostrare che la sicurezza è un valore strategico che protegge la capacità dell’azienda di crescere, innovare e mantenere la fiducia del mercato. Ciò implica un profondo allineamento tra il piano strategico aziendale e le iniziative di cybersecurity.

È consigliabile presentare una sintesi delle più recenti valutazioni del rischio, chiarendo il metodo utilizzato per individuare le minacce e stimarne la probabilità e l’impatto, magari attraverso l’impiego di scale di classificazione che rendano più chiara la comprensione dei livelli di pericolo.

È utile inoltre descrivere le misure di mitigazione già adottate, valutandone l’efficacia nel contenere i rischi, e supportare il tutto con dati concreti, ad esempio, tassi di successo di specifici controlli per dimostrare il valore reale delle azioni intraprese.

Infine, è importante segnalare i rischi ancora parzialmente irrisolti, illustrando le iniziative in atto o pianificate per affrontarli. Questo può includere l’introduzione di nuovi controlli, l’assegnazione di ulteriori risorse o l’elaborazione di strategie alternative per una gestione più efficace delle minacce residue.

Una strategia efficace è quella di partecipare attivamente ai tavoli decisionali che definiscono le roadmap digitali e tecnologiche, proponendo soluzioni di protezione già in fase di progettazione. In questo modo, la protezione non è più un’aggiunta tardiva e costosa, ma una componente integrata nei processi di trasformazione digitale.

Inoltre, il Chief Information Security Officer deve essere in grado di comunicare il ROI (Return on Investment) della sicurezza. Questo non significa solo quantificare i risparmi derivanti dalla prevenzione di incidenti, ma anche evidenziare come un buon livello di cybersecurity può facilitare l’accesso a nuovi mercati, attrarre clienti sensibili alla protezione dei dati, migliorare la reputazione aziendale o soddisfare requisiti contrattuali sempre più stringenti.

L’approccio DevSecOps deriva dalla combinazione di Development (sviluppo), Security (sicurezza) e Operations (operazioni), con l’intento di creare una cultura e una pratica che metta la sicurezza al centro dell’intero processo di sviluppo e distribuzione del software, o l’adozione di principi Zero Trust, possono diventare esempi concreti di come le priorità di tutela possano rafforzare e non ostacolare l’efficienza operativa e la capacità innovativa.

Gestione delle aspettative del CDA riguardo alla cybersecurity

Il Consiglio di amministrazione gioca un ruolo cruciale nella definizione delle priorità aziendali e nell’allocazione delle risorse. Tuttavia, le aspettative del CDA nei confronti della tutela informatica sono spesso irrealistiche o poco allineate alla realtà operativa.

Il Chief Information Security Officer ha il compito delicato di istruire il CDA, gestendo le aspettative in modo realistico ma rassicurante. È necessario spiegare che il rischio zero non esiste, ma che esistono strategie per ridurlo ad un livello accettabile. Occorre chiarire che ogni decisione in materia di protezione è anche una decisione di business: ogni controllo aggiuntivo può comportare costi, ma anche benefici in termini di resilienza e fiducia.

La gestione delle aspettative richiede trasparenza, ma anche equilibrio. Non bisogna minimizzare le minacce, ma nemmeno creare allarmismo inutile. È utile comunicare con regolarità, utilizzando momenti strutturati (es. board meeting trimestrali) per aggiornare il CDA sulle principali tendenze di rischio, sugli incidenti evitati o gestiti, e sulle priorità per il periodo successivo.

Un’altra strategia efficace è il ricorso a simulazioni di crisi o tabletop exercise, in cui il CDA partecipa attivamente a scenari ipotetici di attacco informatico. Questo tipo di esperienza diretta aiuta i decisori a comprendere le implicazioni reali di una violazione, a prendere familiarità con le dinamiche della risposta agli incidenti e a sostenere più convintamente gli investimenti in sicurezza.

Infine, il CISO dovrebbe costruire relazioni personali con i membri chiave del CDA, identificando alleati interni con cui condividere obiettivi e visione strategica. Questo favorisce un clima di fiducia e collaborazione che rende la cybersecurity un tema condiviso, e non un problema tecnico da delegare.

Conclusione

La comunicazione tra il Chief Information Security Officer e i manager aziendali non può più essere unidirezionale o episodica. Deve essere un processo continuo, bidirezionale e strategico. Solo attraverso una comunicazione efficace è possibile costruire una cultura aziendale resiliente, in cui la cyber security è percepita come parte integrante del successo dell’organizzazione.

Un buon reporting permetterà di fornire una risposta che si basi sull’impegno continuo dei CISO, e quindi dell’azienda, nel monitorare, migliorare e adattare le iniziative di sicurezza per affrontare le minacce emergenti.

Il Chief Information Security Officer moderno non è più (solo) un tecnico, ma un leader capace di parlare il linguaggio del business, di educare e influenzare, di orientare le scelte strategiche verso un equilibrio tra rischio e opportunità. In questo equilibrio, la comunicazione è lo strumento chiave per garantire che la sicurezza sia non solo compresa, ma anche sostenuta e integrata nei processi decisionali dell’intera organizzazione.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/notizie/ciso-top-management/



Il CISO e la conformità normativa: gestire le leggi sulla cybersecurity

La sicurezza informatica è diventata una priorità strategica per le aziende di ogni settore, indipendentemente dalle dimensioni e dall’industria in cui operano. Il Chief Information Security Officer (CISO), oltre a compiere attività nella gestione del cyber risk, svolge un ruolo peculiare nel rispetto della conformità normativa, assicurando che l’organizzazione rispetti le leggi e i regolamenti in materia di cybersecurity.

In un’epoca in cui la digitalizzazione è al centro delle strategie aziendali, la protezione delle informazioni sensibili e delle infrastrutture critiche è un compito sempre più complesso. Il CISO non solo deve garantire la sicurezza dei sistemi informatici, ma anche assicurarsi che l’azienda sia in linea con le normative vigenti, evitando il rischio di pesanti sanzioni, danni reputazionali e perdita di fiducia da parte di clienti e partner.

Obblighi normativi: GDPR, NIS, e altre leggi rilevanti

Nell’attuale contesto di rigide regolamentazioni sulla tutela dei dati e di minacce informatiche in continua crescita, la Regulatory compliance rappresenta una delle principali responsabilità per i Chief Information Security Officer. Come sostenuto dai più, aderire agli standard legali e di settore è fondamentale per le aziende, consentendo loro di preservare la reputazione, scongiurare sanzioni economiche e garantire la protezione delle informazioni sensibili dei clienti.

Il panorama normativo della cybersecurity è in costante evoluzione e le aziende devono conformarsi a una serie di regolamentazioni che variano in base alla giurisdizione e al settore di appartenenza. Tra le principali normative che le aziende devono considerare vi è la legge italiana del 28 giugno 2024, n. 90, contenente Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici, il GDPR, la Direttiva NIS e una serie di standard internazionali che regolano la protezione dei dati e la sicurezza delle informazioni.

La legge 90/2024 è volta a potenziare la cybersicurezza nazionale e a contrastare i crimini informatici mediante una serie di interventi innovativi.

Tra le principali novità, vengono introdotti obblighi di notifica degli incidenti informatici per le pubbliche amministrazioni e gli enti strategici, aumentano le pene per reati come l’accesso illecito e il danneggiamento di sistemi informatici, e vengono rafforzati i poteri dell’Agenzia per la cybersicurezza nazionale, con la creazione di un Centro nazionale di crittografia.

La legge interviene anche sulla resilienza digitale nel settore finanziario, amplia l’uso di strumenti investigativi per crimini informatici gravi e migliora il coordinamento tra le autorità durante gli attacchi informatici.

Inoltre, introduce criteri di cybersicurezza per gli appalti pubblici IT, stabilisce la figura di responsabili per la cybersicurezza nelle PA e adotta nuove misure per proteggere le banche dati giudiziarie. Viene anche previsto il reato di “estorsione tramite attacco informatico” e vengono promosse iniziative di collaborazione tra pubblico e privato, oltre a programmi di formazione specifica, con l’obiettivo di rafforzare l’indipendenza tecnologica e industriale dell’Italia nel campo della cybersicurezza.

Il GDPR (General Data Protection Regulation) invece, entrato in vigore nel 2018, ha rivoluzionato il modo in cui le aziende gestiscono i dati personali. Questo regolamento impone alle organizzazioni di implementare misure di sicurezza rigorose per garantire la protezione delle informazioni personali dei cittadini dell’Unione Europea. Tra le disposizioni più rilevanti del GDPR, vi è l’obbligo di notificare le violazioni dei dati entro 72 ore, la necessità di ottenere il consenso esplicito per la raccolta e il trattamento delle informazioni sensibili e l’implementazione del principio di “privacy by design e by default”, che prevede la sicurezza dei dati fin dalla fase di progettazione di qualsiasi servizio o prodotto digitale.

Un’altra normativa chiave è la Direttiva NIS (Network and Information Security), la quale impone agli operatori di servizi essenziali e ai fornitori di servizi digitali di adottare misure di sicurezza adeguate a prevenire incidenti informatici. La sua evoluzione, la Direttiva NIS2, amplia ulteriormente l’ambito di applicazione e introduce obblighi più stringenti, richiedendo alle aziende di implementare strategie di gestione del rischio più efficaci e di segnalare tempestivamente eventuali attacchi informatici alle autorità competenti. Con l’adozione di questa nuova direttiva, aumentano anche le sanzioni per il mancato rispetto delle normative, rendendo ancora più cruciale il ruolo del CISO.

Oltre a queste regolamentazioni europee, vi sono numerose normative internazionali che influenzano la gestione della cybersecurity. Negli Stati Uniti, ad esempio, l’HIPAA (Health Insurance Portability and Accountability Act) impone regole severe sulla protezione dei dati sanitari, mentre il CCPA (California Consumer Privacy Act) garantisce ai residenti della California maggiori diritti sulla privacy delle loro informazioni personali.

A livello globale, standard come l’ISO/IEC 27001 offrono linee guida per la gestione della sicurezza delle informazioni, aiutando le aziende a sviluppare framework solidi per la protezione dei dati. Si tratta comunque di un quadro di riferimento per la gestione e la protezione delle informazioni sensibili mediante processi di gestione del rischio. Costituisce uno standard riconosciuto a livello mondiale che fornisce un approccio sistematico alla gestione delle informazioni aziendali sensibili.

Il Digital Operational Resilience Act (DORA) è un regolamento proposto dalla Commissione Europea con l’obiettivo di uniformare e potenziare i requisiti di resilienza operativa digitale per le istituzioni finanziarie all’interno dell’Unione Europea. Questa normativa pone particolare attenzione a diversi aspetti, tra cui la gestione dei rischi legati alle tecnologie dell’informazione e della comunicazione (ICT), la segnalazione degli incidenti, i test di resilienza operativa e la gestione dei rischi ICT derivanti da fornitori terzi. Per approfondire l’argomento, puoi consultare la nostra guida completa sul DORA.

NIST Cybersecurity Framework: Fornisce un quadro di linee guida sulla sicurezza informatica per le organizzazioni del settore privato negli Stati Uniti. Il NIST Cybersecurity Framework (CSF) rappresenta l’unico standard di sicurezza informatica obbligatorio nel settore pubblico, comprese le agenzie governative e alcune componenti della catena di approvvigionamento federale. Tuttavia, anche le aziende del settore privato possono beneficiarne adottandolo nei propri programmi di sicurezza informatica.

Uno dei principali punti di forza del NIST CSF è la sua capacità di offrire linee guida chiare e dettagliate per sviluppare e implementare un efficace programma di cybersecurity aziendale. Le organizzazioni che raggiungono la piena conformità con il NIST CSF tendono a rispettare, almeno in parte, anche altri standard e normative di sicurezza richiesti a livello normativo o settoriale.

Inoltre, grazie alle corrispondenze tra il NIST CSF e altri framework di sicurezza, le aziende possono dimostrare più facilmente la propria conformità e individuare eventuali controlli aggiuntivi necessari per soddisfare altri requisiti normativi.

Audit e verifica della conformità: processi e strumenti per il CISO

Garantire la conformità alle normative sulla cybersecurity non è un’operazione una tantum, ma un processo continuo che richiede monitoraggio, analisi e aggiornamenti costanti. Il CISO ha il compito di supervisionare le attività di audit, assicurandosi che l’azienda soddisfi tutti i requisiti normativi e adottando le misure necessarie per colmare eventuali lacune.

Un audit di conformità è un processo strutturato che prevede la revisione approfondita delle politiche, delle procedure e dei sistemi di sicurezza di un’organizzazione. Il primo passo consiste nella pianificazione dell’audit, durante la quale vengono identificati gli obiettivi, i regolamenti di riferimento e gli stakeholder coinvolti. Successivamente, viene effettuata una valutazione dettagliata delle misure di sicurezza esistenti, analizzando l’efficacia dei controlli implementati e identificando eventuali vulnerabilità.

Uno dei principali ostacoli in un audit di conformità è la mancanza di una visione completa delle tecnologie e delle risorse presenti nell’ambiente aziendale, spesso dovuta a carenze nella gestione dell’inventario. Maggiore è la complessità dell’infrastruttura IT, più difficile diventa identificare e valutare i rischi associati. Senza una chiara consapevolezza di ciò che deve essere protetto, le aziende non saranno in grado di implementare adeguate misure di sicurezza. Per questo motivo, prima di affrontare le questioni di conformità, i responsabili del progetto devono concentrarsi sull’individuazione dei punti ciechi nella configurazione dell’infrastruttura di sicurezza. L’analisi approfondita delle risorse disponibili rappresenta quindi un passaggio essenziale nel processo di conformità.

Eseguire audit e valutazioni periodiche consente di intercettare eventuali aree di non conformità e di assicurarsi che le politiche e le procedure aziendali siano seguite correttamente. Inoltre, questo approccio aiuta le organizzazioni a restare al passo con le evoluzioni normative e gli aggiornamenti degli standard di settore.

Per supportare il processo di audit, le aziende utilizzano una serie di strumenti tecnologici avanzati. I sistemi SIEM (Security Information and Event Management) consentono di monitorare in tempo reale gli eventi di sicurezza, rilevando eventuali anomalie e segnalando potenziali minacce. Le piattaforme GRC (Governance, Risk, and Compliance) aiutano a gestire la conformità, centralizzando le informazioni relative ai rischi e ai controlli di sicurezza. Inoltre, framework di riferimento come il NIST Cybersecurity Framework e i CIS Controls forniscono linee guida pratiche per migliorare la sicurezza aziendale.

Documentare le politiche e le procedure inoltre può aiutare a garantire che i dipendenti siano consapevoli dei requisiti di compliance e possano farvi riferimento in caso di necessità. Questo può anche aiutare le organizzazioni a dimostrare il loro impegno verso la compliance in caso di audit o indagini.

Un aspetto fondamentale degli audit è la formazione del personale. Gli errori umani sono una delle principali cause di violazioni dei dati; quindi, sensibilizzare i dipendenti sulle migliori pratiche di sicurezza informatica è essenziale per ridurre il rischio di incidenti. Il CISO deve promuovere regolari sessioni di training, aggiornando il personale sulle nuove minacce e sulle strategie di mitigazione. Questo può anche contribuire a creare una cultura della conformità all’interno dell’organizzazione, come descritto in altri lavori in precedenza.

Gestione delle sanzioni in caso di non conformità normativa

Il mancato rispetto delle normative sulla cybersecurity può avere conseguenze disastrose per un’azienda, sia dal punto di vista economico che reputazionale. Le sanzioni previste dalle normative, come il GDPR e la NIS2, possono essere estremamente severe, con multe che possono raggiungere decine di milioni di euro. Tuttavia, l’impatto negativo di una violazione della conformità non si limita agli aspetti finanziari. La perdita di fiducia da parte dei clienti e dei partner commerciali può avere ripercussioni a lungo termine, influenzando la competitività dell’azienda sul mercato.

Per mitigare il rischio di sanzioni, le aziende devono adottare un approccio proattivo, monitorando costantemente la propria conformità e implementando misure di sicurezza efficaci. Un piano di risposta agli incidenti ben strutturato può fare la differenza nel contenere i danni derivanti da una violazione dei dati. Inoltre, una comunicazione trasparente con le autorità di regolamentazione può facilitare la risoluzione delle problematiche e dimostrare l’impegno dell’azienda nella protezione delle informazioni.

Passando all’analisi delle fasi successive alla constatazione di una non conformità, possiamo affermare che, è essenziale reagire immediatamente per ridurre l’impatto. Il CISO, insieme ai team legali e dirigenziali, deve:

1.Analizzare la sanzione e le motivazioni

  • Capire se la sanzione è giustificata e quali violazioni sono state identificate.
  • Esaminare il regolamento specifico per comprendere le implicazioni legali.

2.Coinvolgere il team legale e le autorità di regolamentazione

    • Collaborare con esperti legali per valutare le possibilità di ridurre la sanzione.
    • Se possibile, negoziare con le autorità dimostrando l’impegno dell’azienda a correggere le violazioni.
    • In alcuni casi, è possibile contestare la sanzione se ci sono motivi validi.

3.Contenere i danni operativi e reputazionali

      • Se la sanzione riguarda una violazione di dati, informare tempestivamente gli utenti e i partner coinvolti.
      • Comunicare in modo trasparente con il pubblico per minimizzare il danno alla reputazione.
      • Adottare misure immediate per evitare che la violazione si ripeta.

4.Implementare azioni correttive per evitare ulteriori conseguenze

Dopo aver gestito la sanzione immediata, l’azienda deve lavorare per prevenire future violazioni:

  • Piano di miglioramento della sicurezza
    • Implementare nuove misure di cybersecurity per colmare le lacune evidenziate.
    • Aggiornare le policy di sicurezza e rafforzare i controlli interni.
    • Rafforzare la gestione dell’accesso ai dati sensibili.
  • Revisione dei processi di conformità
    • Valutare se i protocolli attuali sono adeguati o se necessitano di modifiche.
    • Migliorare la gestione dei rischi IT e l’analisi delle vulnerabilità.
  • Audit straordinario e report alle autorità
    • Dopo aver adottato le misure correttive, eseguire un audit interno per verificare l’efficacia delle nuove strategie.
    • Redigere un report da presentare alle autorità per dimostrare il miglioramento e ridurre il rischio di sanzioni future.

5.Ridurre l’impatto finanziario delle sanzioni

Se la sanzione ha un impatto economico significativo, l’azienda deve:

  • Verificare se esistono opzioni di pagamento rateizzato o riduzione delle multe, in caso di dimostrata collaborazione con le autorità.
  • Valutare la copertura assicurativa: alcune polizze per la cybersecurity possono coprire parte delle multe o delle spese legali.
  • Implementare un fondo di emergenza per la conformità, destinato a coprire i costi imprevisti derivanti da violazioni normative.

6.Lezioni apprese e miglioramento continuo

Una volta gestita la sanzione, è fondamentale imparare dagli errori e rafforzare il programma di compliance aziendale:

  • Creare un registro degli incidenti di conformità per documentare i problemi e le soluzioni adottate.
  • Migliorare i processi di formazione del personale, includendo simulazioni di audit e gestione delle violazioni.
  • Integrare nuove tecnologie di monitoraggio e prevenzione automatizzata per ridurre il rischio di future violazioni.

Gestire una sanzione per non Regulatory compliance richiede un approccio rapido, strategico e strutturato. Il CISO e il team di sicurezza devono lavorare in sinergia con il reparto legale e il management per ridurre l’impatto delle sanzioni, correggere le violazioni e prevenire rischi futuri.

Ruolo del CISO nella preparazione per le ispezioni normative

Le ispezioni normative sono uno strumento fondamentale per garantire il rispetto delle leggi sulla cybersecurity. Le ispezioni normative nella cybersecurity sono verifiche condotte dalle autorità competenti, finalizzate a valutare se un’organizzazione rispetti o meno le normative di sicurezza informatica.

Perché si effettuano

  • Per garantire la protezione delle informazioni sensibili.
  • Per prevenire incidenti di sicurezza e violazioni dei dati.
  • Per evitare sanzioni economiche e danni alla reputazione.
  • Per instaurare un rapporto di fiducia con gli utenti e i clienti.

Come si effettuano

  • Attraverso audit interni, esterni o condotti da terze parti indipendenti.
  • Simulando ad intervalli regolari ispezioni, anche avvalendosi di soggetti terzi, può aiutare a prepararsi in modo adeguato, riducendo l’incertezza nel caso si verifichi un evento reale. Queste simulazioni possono anche fungere da attività formativa. In alternativa, si possono organizzare incontri specifici per sensibilizzare il personale sui comportamenti corretti da adottare durante un’ispezione. In entrambi i casi, le simulazioni sono utili per valutare la consapevolezza dei collaboratori e la loro capacità di reperire rapidamente la documentazione, sia cartacea che elettronica, nonché per verificare la qualità delle risposte in relazione alle decisioni prese dall’organizzazione. È fondamentale documentare queste simulazioni e conservare copia di tale documentazione. Questo non solo consente di rendere conto ai vari soggetti coinvolti (come ispettori e DPO), ma rappresenta anche l’applicazione di quanto previsto dall’art. 32, paragrafo 1, lettera d) del GDPR.
  • Seguendo normative specifiche come il GDPR (Regolamento generale sulla protezione dei dati).
  • Applicando framework e standard di sicurezza, come il NIST Cyber Security Framework.

Cosa si valuta

  • La riservatezza, la disponibilità e l’integrità dei dati trattati.
  • L’adozione di misure di sicurezza, come la crittografia per proteggere i dati sensibili.
  • Il mantenimento e il controllo rigoroso degli accessi ai sistemi aziendali.

Cosa si ottiene

  • La conferma della conformità alle normative di cybersecurity.
  • La certificazione di conformità, che può semplificare l’accesso a polizze assicurative per la sicurezza informatica.

In questo contesto il CISO ha il compito, infatti, di preparare l’azienda a queste verifiche, assicurandosi che tutta la documentazione necessaria sia aggiornata e facilmente accessibile. Mantenere registri dettagliati sulle politiche di sicurezza, i report degli audit e gli incidenti informatici è essenziale per dimostrare la conformità.

Un’ulteriore strategia per affrontare con successo le ispezioni consiste nell’organizzare simulazioni di verifica interne. Questi test consentono di individuare eventuali punti deboli e di implementare le correzioni necessarie prima di un controllo ufficiale. Coinvolgere i diversi reparti aziendali in queste simulazioni aiuta a garantire che tutti siano preparati a rispondere alle richieste degli ispettori.

Conclusioni

L’idea che la compliance da sola non risolva tutte le necessità legate alla sicurezza non implica che sia qualcosa di negativo, ma piuttosto che sia necessario fare un passo in più.

Essere conformi alle normative e soddisfare tutti i requisiti rappresenta una buona base di partenza, ma non è sufficiente per ridurre adeguatamente i rischi nel contesto pratico.

La sicurezza e la conformità sono due aspetti distinti ma interconnessi all’interno di un sistema complesso. Comprendere il legame tra ciascuno di essi e la protezione dei dati è essenziale.

Il ruolo del CISO nella gestione della conformità normativa è infatti cruciale per la sicurezza e il successo dell’azienda. Attraverso audit regolari, strumenti avanzati e strategie di risposta agli incidenti, le organizzazioni possono affrontare con sicurezza le sfide della cybersecurity, riducendo il rischio di sanzioni e migliorando la propria resilienza digitale.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/articoli/ciso-conformita/