Questo sito utilizza cookie per raccogliere informazioni sull'utilizzo. Cliccando su questo banner o navigando il sito, acconsenti all'uso dei cookie. Leggi la nostra cookie policy.OK

Direttore responsabile Alessandro Longo

privacy

Cybersecurity, proteggere l’azienda dall’errore umano

di Margareth Stoll, auditor della Società di certificazione CIS di Vienna

14 Lug 2017

14 luglio 2017

L’errore umano è una delle cause più comuni degli incidenti e data breach. Come possiamo promuovere in modo efficiente la consapevolezza per la sicurezza dei collaboratori? Le aziende ci lavorano in tutto il mondo

La crescente digitalizzazione, l’interconnessione, l’utilizzo di cloud computing, social media e la penetrazione IT aumentano enormemente le potenzialità e la portata di possibili attacchi, ponendo tutti i settori di fronte a grandi sfide. Nel maggio del 2017 un unico attacco ha colpito organizzazioni di ogni tipo in circa 100 paesi di tutto il mondo e un ulteriore simile attacco è avvenuto a fine giugno 2017. Parallelamente, si continuano a scoprire nuove minacce. A causa del crescente numero e gravità dei cyber-attacchi e della comunicazione continua di security breaches, la fiducia degli interessati sta costantemente calando e, allo stesso tempo, investitori, clienti e autorità aumentano continuamente le loro richieste in merito alla segretezza, alla disponibilità ed all’integrità di dati e sistemi.

Oltre alle minacce fisiche e tecniche si verificano errori umani, vandalismo, sabotaggio, spionaggio, frode, abuso di riservatezza, hacking, phishing ed altro. Già da diversi anni l’errore umano è la causa principale degli incidenti e data breach. L’anno scorso, secondo un’indagine dell’Agenzia per la Sicurezza in Germania (BSI), con Ramsonware gli attacchi sono aumentati di 10 volte. Questo emerge anche nel codice della privacy in vigore e nel nuovo regolamento UE (art. 24, 29, 32) che obbligano il titolare ad attuare adeguate misure tecniche ed organizzative con relative istruzioni per gli incaricati.

Tutto ciò nonostante, per un lungo periodo, la sicurezza delle informazioni sia stata affrontata principalmente con misure tecniche per ridurre il rischio e garantire la conformità legale. Per affrontare le diverse richieste, la privacy e la sicurezza delle informazioni devono diventare compito di tutti gli incaricati. Questo implica un’integrazione a parte delle misure tecniche ed organizzative, ma anche degli aspetti socio-organizzativi. Un’adeguata consapevolezza influisce in modo essenziale sul comportamento umano corretto.

“Se vuoi costruire una barca, non radunare uomini per tagliare legna, dividere i compiti ed impartire ordini, ma insegna loro la nostalgia per il mare vasto ed infinito “, consigliava Antoine de Saint-Exupéry. Ciò significa che dovremmo comunicare degli obiettivi di sicurezza memorabili, chiari e facili da comprendere, piuttosto che ampi regolamenti e lunghe istruzioni scritte in un linguaggio troppo tecnico.

In attuazione dell’art. 35/9 e in conformità all’orientamento degli standard ISO al contesto ed agli stakeholder, si definiscono gli obiettivi di sicurezza in base alle aspettative dei diversi soggetti interessati, alle richieste di mercato/cittadini, agli obiettivi aziendali, tenendo conto sia dell’organizzazione e della cultura aziendale, ma anche di tutte le richieste legali, regolatorie, contrattuali e pertinenti al tipo di attività. Gli standard ISO/IEC 27003, ISO/IEC 27004 e COBIT offrono delle guide pratiche. Dagli obiettivi di sicurezza a livello aziendale si deducono obiettivi specifici e coerenti per tutti i trattamenti/processi e, da questi, si deducono a loro volta gli obiettivi per i reparti e per le funzioni coinvolte. Questo vale per tutti gli incaricati nel rispetto dei loro ruoli, delle loro responsabilità e delle loro conoscenze. Per la definizione degli obiettivi relativi ai servizi tecnici (p.e. IT, manutenzione) COBIT, ITIL e lo standard ISO/IEC 20000 offrono delle guide pratiche.

In tale modo, la sicurezza diventa parte integrante di tutti i colloqui con i collaboratori per l’accordo degli obiettivi, per i contratti con i fornitori, nonché per il controlling e la gestione aziendale. Un manager racconta con entusiasmo: “I nostri collaboratori hanno sviluppato una forte comprensione strategica della sicurezza. Concepiscono la sicurezza come fattore fondamentale per garantire il successo sostenibile dell’azienda e conciò il loro posto di lavoro.” Un altro sottolinea che “gli incaricati si assumono la responsabilità della sicurezza e agiscono proattivamente per il raggiungimento degli obiettivi fissati. Tutte le misure e gli investimenti sono focalizzati in modo coerente ed efficace al raggiungimento degli obiettivi strategici a livello aziendale.” Così anche i rapporti sul raggiungimento degli obiettivi sono orientati alle esigenze del destinatario e sostengono il controllo del raggiungimento di tali obiettivi, ne documentano l’attuazione e la conformità legale come anche i vantaggi per la sicurezza. Quindi, la privacy e la sicurezza sono attuate efficientemente ed efficacemente da tutti i responsabili e gli incaricati come valore aggiunto per gli interessati, i clienti/cittadini, gli shareholder e l’intera organizzazione.

Inoltre, si rafforzano l’integrazione della privacy e della sicurezza nella comunicazione aziendale ed il lavoro quotidiano. Diversi studi scientifici sottolineano che formazioni pratiche e di impatto, linee guida chiare, attuali, efficienti, facili da attuare e da comprendere, ma anche efficaci e veloci da consultare in caso di necessità, promuovono la consapevolezza per la sicurezza dei collaboratori. In particolare, l’impegno visibile del titolare e di tutto il top management promuove un’adeguata cultura della sicurezza. Ne consegue che la sicurezza e la privacy devono essere adeguatamente prese in considerazione in tutte le decisioni di gestione e vissute attivamente. Solo in tale modo la sicurezza diventa parte integrante della cultura aziendale.

Articoli correlati