La NIS2 sta cambiando il rapporto tra vertici aziendali e responsabili della sicurezza. Ma per trasformare la cybersecurity in una componente effettiva della governance servono una mappatura dei rischi collegata al business, indicatori misurabili, formazione del management e capacità di intervenire rapidamente. Ne abbiamo parlato con Nicola Sotira, Responsabile CERT di Poste Italiane.
La cybersecurity è ormai riconosciuta come un rischio di business, ma tra questa consapevolezza e la sua effettiva integrazione nei processi decisionali delle aziende esiste ancora una distanza significativa. La crescente pressione normativa, l’evoluzione delle minacce e la diffusione dell’intelligenza artificiale stanno tuttavia accelerando un cambiamento importante: CEO e Consigli di Amministrazione sono sempre più coinvolti nelle decisioni relative alla sicurezza informatica.
La direttiva NIS2 rappresenta, da questo punto di vista, un passaggio significativo. L’introduzione di responsabilità esplicite per gli organi di amministrazione e direzione sta contribuendo ad accrescere l’attenzione dei vertici aziendali verso il rischio cyber, anche in termini di investimenti e risorse. Ma come si traduce questa maggiore attenzione in un modello di governance efficace? Quali comportamenti dovrebbero adottare CEO e Board? E come deve evolvere il ruolo del CISO per sostenere decisioni consapevoli e orientate alla riduzione del rischio? Ne abbiamo parlato con Nicola Sotira, Responsabile CERT di Poste Italiane, approfondendo le pratiche che possono favorire una maggiore integrazione tra cybersecurity e gestione del business.
TIG. Molte aziende riconoscono ormai la cybersecurity come un rischio di business. Che cosa distingue un’organizzazione che si limita a dichiararlo da una che ha effettivamente incorporato questo principio nei propri processi decisionali?
Nicola Sotira. Il primo elemento è la capacità di costruire una mappatura dei rischi cyber collegata agli ambiti di business dell’azienda e condivisa con il vertice. Naturalmente, il percorso dipende anche dalle dimensioni e dalla complessità dell’organizzazione. È necessario lavorare insieme ai responsabili di business per comprendere quali siano i processi e le attività da proteggere, quali rischi li riguardino e quali controlli di sicurezza debbano essere applicati.
A questa mappatura deve poi essere associato un sistema di KPI, che consenta di verificare lo stato di avanzamento delle iniziative di sicurezza oppure, quando i controlli sono già stati implementati, il mantenimento dei livelli qualitativi raggiunti.
Il punto fondamentale è che questo lavoro non può essere svolto unicamente dalla funzione cybersecurity, ma va realizzato insieme al business, perché soltanto così è possibile collegare concretamente gli interventi di sicurezza ai processi.
TIG. Un altro tema è la preparazione del Board. Quanto conta la formazione dei vertici aziendali per favorire un dialogo efficace con il CISO?
Nicola Sotira. Conta moltissimo: anche quando esiste una maggiore sensibilità verso la cybersecurity, rimane necessario investire in formazione del Board. Una pratica che considero particolarmente utile è organizzare momenti periodici di aggiornamento, che noi chiamiamo induction, dedicati a spiegare ai vertici aziendali l’evoluzione degli scenari tecnologici e delle minacce.
Pensiamo, per esempio, al quantum computing o alla crittografia quantistica. Presentarsi davanti a un Consiglio di Amministrazione per discutere dei rischi associati a queste tecnologie senza aver prima spiegato di che cosa si tratta rende molto più difficile affrontare il tema in modo efficace.
È quindi utile prevedere sessioni formative anche indipendenti dalle specifiche decisioni di investimento o dai rischi immediati dell’azienda. Nella mia esperienza, queste iniziative sono generalmente accolte con interesse.
TIG. Dal punto di vista del vertice aziendale, quali cambiamenti positivi stai osservando? La NIS2 ha contribuito a modificare l’atteggiamento del management?
Nicola Sotira. Credo che uno degli effetti più importanti della NIS2 sia proprio l’aver attribuito una responsabilità esplicita ai vertici aziendali. Al di là delle discussioni sulle singole misure di sicurezza e sulle modalità di attuazione della normativa, questo è un cambiamento sostanziale. Il management ha compreso che la cybersecurity è un ambito sul quale deve esercitare una supervisione diretta, anche perché esistono responsabilità precise e possibili conseguenze sanzionatorie.
Ho osservato ad esempio una maggiore disponibilità dei budget destinati alla sicurezza: i Board iniziano a chiedere quali risorse sono state stanziate e se siano sufficienti a garantire una postura adeguata. Questo aumento di sensibilità non riguarda soltanto le grandi imprese. Anche confrontandomi con organizzazioni della pubblica amministrazione e del settore sanitario, come ASL e ospedali, ho riscontrato un cambiamento significativo nell’attenzione dei vertici.
In passato, quando si parlava di compliance, ci si concentrava soprattutto sui costi e sugli adempimenti richiesti. Oggi, invece, ritengo importante riconoscere anche l’effetto positivo della normativa: aver favorito una maggiore consapevolezza e proattività del management.
TIG. Questo cambiamento dovrebbe incidere anche sulle decisioni di investimento. Come può evolvere il rapporto tra CISO e Board nella definizione delle priorità e dei budget di cybersecurity?
Nicola Sotira. In passato il processo era spesso piuttosto semplice: il CISO presentava un budget, cercava di giustificare gli interventi necessari e si confrontava con chi aveva il compito di contenere i costi aziendali. Naturalmente, la funzione finanziaria faceva il proprio lavoro: la necessità di rispettare i vincoli economici e di valutare le spese riguarda tutte le funzioni, non soltanto la cybersecurity. La differenza, oggi, è che queste decisioni possono essere affrontate attraverso una valutazione più consapevole del rischio.
Non si tratta semplicemente di decidere quanto tagliare, ma di comprendere quali interventi siano maggiormente rilevanti per proteggere il business e quali riduzioni di spesa possano avere un impatto minore sul livello di sicurezza.
L’analisi del rischio diventa quindi uno strumento fondamentale per orientare gli investimenti e ottenere una copertura adeguata sulle priorità più importanti. Da questo punto di vista, il CISO deve aiutare il Board, presentando valutazioni comprensibili e alternative concrete sulle quali assumere decisioni.
TIG. La maggiore responsabilizzazione del vertice si sta trasferendo anche alle altre funzioni aziendali?
Nicola Sotira. Sì, ed è un altro effetto importante di questo cambiamento.
La maggiore attenzione alla cybersecurity da parte del management tende a propagarsi lungo tutta l’organizzazione, coinvolgendo i responsabili di business e, nei gruppi più articolati, anche le diverse società controllate.
Nella mia esperienza ho osservato proprio questo effetto a catena: una maggiore sensibilità del vertice favorisce una diffusione della cultura della sicurezza anche negli altri livelli aziendali.
In generale, oggi riscontro una maturità superiore rispetto al passato. A questo cambiamento sta contribuendo anche il dibattito sull’intelligenza artificiale, che ha portato i temi tecnologici al centro dell’attenzione del management.
TIG. In che modo l’intelligenza artificiale sta contribuendo ad aumentare l’attenzione dei Board verso la cybersecurity?
Nicola Sotira. L’intelligenza artificiale viene giustamente considerata una grande opportunità. Nessuno mette realmente in discussione la necessità di utilizzarla. Tuttavia, accanto alle opportunità, emergono quotidianamente notizie relative a problemi di sicurezza, incidenti e nuovi rischi.
Questo sta portando anche i Consigli di Amministrazione a interrogarsi sulle garanzie di sicurezza associate all’utilizzo di queste tecnologie. Il Board non vuole necessariamente rallentare l’adozione dell’AI, ma vuole comprendere quali rischi comporti e quali misure siano necessarie per governarli.
In questo contesto il CISO svolge un ruolo importante, perché deve aiutare l’organizzazione a individuare le priorità di sicurezza e a rendere l’adozione delle nuove tecnologie coerente con il profilo di rischio aziendale.
TIG. Passando dalle scelte strategiche alle pratiche operative, quali informazioni dovrebbe portare oggi un CISO al Board? E come dovrebbe rispondere alle richieste del vertice?
Nicola Sotira. Uno degli aspetti che stanno cambiando maggiormente riguarda la velocità con cui il CISO deve essere in grado di proporre interventi concreti.
L’evoluzione tecnologica è estremamente rapida e anche le minacce cambiano continuamente. Nel frattempo, la normativa cerca di accompagnare questa evoluzione, introducendo regole e requisiti di sicurezza. Il CISO si trova quindi a dover mediare tra queste diverse pressioni e, soprattutto, deve essere in grado di presentare al Board piani di azione chiari e realizzabili in tempi brevi.
Quando emerge un nuovo rischio, il vertice non vuole necessariamente ricevere un elenco di decine o centinaia di possibili interventi. La domanda fondamentale è molto più semplice: che cosa dobbiamo fare adesso? Occorre quindi individuare due o tre azioni prioritarie, da attuare rapidamente. Senza trascurare progetti strutturali, con investimenti e tempi di realizzazione più lunghi. Ma questi non devono sostituire la capacità di rispondere ai problemi immediati.
TIG. Puoi fare qualche esempio concreto delle azioni che oggi un CISO dovrebbe proporre al management?
Nicola Sotira. Un primo tema riguarda l’esposizione dei sistemi aziendali. Con l’evoluzione degli strumenti di intelligenza artificiale e l’accelerazione nella scoperta delle vulnerabilità, diventa ancora più importante ridurre il perimetro esposto verso l’esterno.
Negli anni si è diffusa una certa propensione a rendere accessibili indirizzi IP, domini e servizi. Oggi occorre rivalutare attentamente queste scelte, limitando l’esposizione non necessaria e ricorrendo, dove appropriato, a modalità di accesso protetto. Ridurre la superficie di attacco significa diminuire le opportunità a disposizione di chi cerca di sfruttare le vulnerabilità.
Un secondo esempio riguarda le frodi abilitate dai deepfake. In questo caso non è sufficiente introdurre nuovi strumenti tecnologici: bisogna rivedere i processi aziendali, soprattutto quelli che autorizzano operazioni sensibili. Pensiamo a una telefonata apparentemente proveniente dall’amministratore delegato, con la richiesta di modificare un pagamento o autorizzare un trasferimento di denaro.
Non possiamo più dare per scontato che la voce dell’interlocutore ne garantisce l’identità.
Occorre quindi introdurre quello che definisco una sorta di doppio fattore organizzativo: una verifica indipendente o una doppia autorizzazione per determinate operazioni.
Un terzo ambito riguarda il vulnerability management, nel quale sarà sempre più importante introdurre strumenti di intelligenza artificiale per migliorare la capacità di analisi e definizione delle priorità. Sono tre esempi di interventi che possono essere avviati in tempi relativamente brevi e che, considerati insieme, contribuiscono a ridurre l’esposizione dell’organizzazione.
TIG. Il vulnerability management è un ambito nel quale la crescita delle minacce rischia di rendere sempre più difficile il lavoro delle aziende. Come dovrebbe cambiare l’approccio?
Nicola Sotira. Il problema è proprio questo: il numero delle vulnerabilità cresce e continuerà a crescere, anche per effetto dell’evoluzione degli strumenti tecnologici.
Di fronte a questa situazione, il Board o le autorità di vigilanza possono legittimamente chiedere come l’organizzazione intenda affrontare un volume crescente di problemi.
La risposta non può essere semplicemente aumentare il numero delle attività svolte: occorre invece migliorare la capacità di distinguere ciò che è realmente prioritario da ciò che lo è meno. Questo significa, per esempio, affiancare alla rilevazione delle vulnerabilità attività di verifica continua, per comprendere se una determinata debolezza sia effettivamente sfruttabile e quale rischio comporti per l’organizzazione.
L’obiettivo non è ridurre artificialmente il numero delle vulnerabilità presenti nei report, ma concentrare le risorse sugli interventi che producono il maggiore beneficio in termini di riduzione del rischio. Se una vulnerabilità non fosse concretamente sfruttabile nel contesto aziendale, potrebbe essere ragionevole assegnarle una priorità inferiore rispetto a un’altra che espone direttamente un processo critico. È un approccio che richiede maggiore capacità di analisi, ma porta a una gestione più efficace delle risorse disponibili.
TIG. Questo implica anche un’evoluzione del ruolo del CISO, sempre meno specialista tecnico e sempre più manager?
Nicola Sotira. Assolutamente sì. Il CISO deve essere in grado di indirizzare il lavoro di diversi team, non soltanto quello della sicurezza informatica, ma anche quelli che gestiscono le reti, i sistemi e le altre componenti tecnologiche.
Con l’aumento del volume delle attività, non è possibile intervenire su tutto contemporaneamente. Bisogna decidere dove concentrare gli sforzi per ottenere rapidamente i risultati più importanti. Nel vulnerability management, per esempio, un elemento fondamentale è la riduzione della finestra temporale durante la quale l’azienda rimane esposta a un rischio significativo. Se cerchiamo di affrontare indistintamente tutte le vulnerabilità, rischiamo di impiegare molto tempo e di lasciare aperte troppo a lungo proprio quelle più pericolose.
Occorre invece agire in modo estremamente mirato, individuando le priorità e mobilitando le risorse necessarie per affrontarle. In questo senso, il CISO deve assumere sempre più un ruolo manageriale, capace di coordinare funzioni diverse e orientare le attività verso obiettivi misurabili.
TIG. Qual è, in definitiva, la raccomandazione più importante per un CEO che voglia migliorare concretamente il governo del rischio cyber?
Nicola Sotira. La raccomandazione è imparare a indirizzare le risorse verso ciò che produce il maggiore risultato. È un principio che vale per la cybersecurity esattamente come per le altre attività aziendali. Anche nel business, quando un’impresa deve raggiungere determinati risultati economici e dispone di un portafoglio di offerte o iniziative, non può necessariamente concentrarsi su tutto: deve selezionare le attività che possono contribuire maggiormente agli obiettivi che si è posta.
Nella cybersecurity vale lo stesso principio: occorre comprendere quali siano i rischi più importanti per l’azienda e concentrare su questi le risorse e gli interventi prioritari.
Il contributo del CISO consiste proprio nell’aiutare il management a effettuare queste scelte, mettendo a disposizione analisi, indicatori e proposte operative. È così che la cybersecurity può diventare parte integrante dei processi di governo dell’impresa, anziché rimanere un insieme di attività tecniche separate dalle decisioni di business.
