Il lavoro sulla sicurezza c’è, ma la fiducia nella sicurezza manca

La maggior parte delle organizzazioni oggi già si occupa di sicurezza delle informazioni.

Mantiene elenchi degli asset. Esegue scansioni di vulnerabilità. Rivede i diritti di accesso. Redige politiche.

Eppure il momento imbarazzante si presenta comunque:

«Possiamo dimostrare che questo era controllato lo scorso trimestre?»

Silenzio.

Non perché il lavoro non sia stato svolto, ma perché il lavoro vive in luoghi diversi.

Le e-mail sulla sicurezza restano nelle caselle di posta. I registri dei rischi restano in fogli di calcolo. I controlli restano in documenti. La responsabilità resta nella testa delle persone.

Così, quando arriva un audit, un incidente o un questionario di un cliente, i team non verificano la sicurezza: la ricostruiscono.

Questo divario tra svolgere la sicurezza e dimostrarla è dove molti sistemi di gestione della sicurezza delle informazioni (ISMS) falliscono nella pratica.

Il vero problema non sono i controlli mancanti

È la continuità mancante

In teoria, un ISMS è semplice: identificare gli asset, valutare i rischi, applicare i controlli, rivedere regolarmente.

La sicurezza è continua, mentre la documentazione è periodica.

I team valutano i rischi quando i progetti iniziano, ma non quando gli ambienti cambiano. Gli asset vengono censiti durante l’onboarding, ma non durante la crescita dello shadow IT. I controlli vengono definiti, ma il loro funzionamento non è visibile nel tempo.

Così l’organizzazione diventa conforme in determinati momenti, non sicura nel tempo.

Un software ISMS aiuta solo se cambia il modo in cui il lavoro sulla sicurezza avviene quotidianamente, non solo durante gli audit.

Cosa dovrebbe realmente consentire un ISMS

1. La sicurezza dovrebbe seguire l’asset, non il foglio di calcolo

Quando emerge una vulnerabilità, le domande chiave sono sempre operative:

• Quale sistema è interessato?

• Chi ne è responsabile?

• Quali dati gestisce?

• Quale rischio crea?

Se le risposte richiedono tre riunioni e due esportazioni, l’ISMS è documentazione, non gestione.

Un ISMS efficace collega asset, rischi, controlli e responsabilità, in modo che l’impatto sia visibile immediatamente, non compilato in seguito.

2. L’evidenza dovrebbe essere un sottoprodotto del lavoro

I team di sicurezza spesso passano più tempo a dimostrare le azioni che a svolgerle.

Un approccio ISMS maturo significa:

Non si prepara l’evidenza. L’evidenza si accumula automaticamente man mano che il lavoro procede.

Revisioni, approvazioni, valutazioni dei rischi e verifiche dei controlli lasciano una traccia senza che qualcuno «crei consapevolmente una prova di audit».

3. La sicurezza è trasversale: il sistema dovrebbe rifletterlo

La sicurezza delle informazioni non è responsabilità solo dell’IT:

• Le risorse umane attivano eventi del ciclo di vita dell’identità

• Gli acquisti introducono rischi legati ai fornitori

• Le unità di business classificano i dati

• Il servizio legale definisce gli obblighi

Se la sicurezza dipende da un unico dipartimento che raccoglie aggiornamenti dagli altri, diventa periodica. Se ogni team lavora all’interno di una struttura condivisa, diventa continua.

4. Il monitoraggio conta più della documentazione

Molte organizzazioni hanno politiche scritte perfettamente e continuano comunque ad affrontare incidenti.

Perché la vera domanda non è:

«Il controllo è stato progettato?»

Ma:

«Il controllo funzionava martedì scorso?»

La visibilità continua, non la completezza delle politiche, definisce la maturità operativa della sicurezza.

Dove si inseriscono strumenti come Swiss GRC

Quando la sicurezza esiste solo come documentazione, la fiducia dipende dalla memoria. Quando la sicurezza esiste come sistema, la fiducia dipende dai registri.

Questa differenza emerge durante:

• gli audit

• gli incidenti

• la due diligence dei clienti

• le verifiche regolamentari

Le organizzazioni non sono in difficoltà perché manca il lavoro sulla sicurezza. Sono in difficoltà perché non riescono a vederlo nel tempo.

Un ISMS efficace non rende un’azienda «più sicura» dall’oggi al domani. Rende la sicurezza osservabile e, una volta che qualcosa è osservabile, diventa gestibile.

Ed è di solito a questo punto che la sicurezza smette di sembrare un progetto annuale e inizia a funzionare come un’operazione quotidiana.

Il risultato pratico

Quando la sicurezza esiste solo come documentazione, la fiducia dipende dalla memoria. Quando la sicurezza esiste come sistema, la fiducia dipende dai registri.

Questa differenza emerge durante:

• gli audit

• gli incidenti

• la due diligence dei clienti

• le verifiche regolamentari

Le organizzazioni non sono in difficoltà perché manca il lavoro sulla sicurezza. Sono in difficoltà perché non riescono a vederlo nel tempo.

Un ISMS efficace non rende un’azienda «più sicura» dall’oggi al domani. Rende la sicurezza osservabile e, una volta che qualcosa è osservabile, diventa gestibile.

Ed è di solito a questo punto che la sicurezza smette di sembrare un progetto annuale e inizia a funzionare come un’operazione quotidiana.