Cyberoo Point of View

Audit di sicurezza per la certificazione cyber security delle aziende: le soluzioni

Certificazione di cyber security e compliance normativa rappresentano un fattore abilitante del business in qualsiasi azienda. Ecco come approcciare i processi per l’audit di sicurezza

Pubblicato il 10 Set 2021

Immagine da Shutterstock

Vissuta un tempo come una seccatura, la certificazione in ambito cyber security è oggi percepita in maniera diversa dalle aziende. Merito di una evoluzione nella “cultura della sicurezza”, ma anche di un contesto in cui la sicurezza informatica ha finalmente trovato cittadinanza nella categoria degli asset aziendali e ha superato la semplice dimensione di adempimento giuridico-amministrativo. Ma quali sono le caratteristiche del processo di certificazione e come è possibile definire le soluzioni per portarlo a compimento?

Delineare gli obiettivi

Parlare di “certificazione di cyber security” in senso stretto, nell’attuale quadro regolamentare, è piuttosto difficile. Tolte le compliance strettamente legate a normative (come il GDPR, il NIST o ISO 27001), la scelta della certificazione dipende da numerosi fattori legati sia alle caratteristiche dell’impresa, sia al motivo per cui l’azienda stessa punta a ottenere la certificazione. In molti casi, infatti, il tipo di compliance non è determinato da un obbligo di legge, ma dalla necessità di offrire a partner, fornitori e clienti la garanzia di poter collaborare alla tenuta a livello di sicurezza della filiera produttiva. Si tratta di un’evoluzione nell’approccio alla cyber security piuttosto recente e che affonda le sue radici nella consapevolezza del fatto che ogni livello di comunicazione e collaborazione tra le imprese contribuisce a creare un network in cui tutti i soggetti che vi partecipano condividono i rischi. In altre parole, quando un’azienda sceglie di collaborare con un’altra impresa vuole avere la certezza che questa non possa rappresentare un potenziale rischio per la sicurezza dei suoi stessi sistemi informatici. Le certificazioni in ambito cyber security, in quest’ottica, sono lo strumento più semplice ed efficace per arrivare al risultato di identificare un partner affidabile.

Certificazione di cyber security: una “obbligazione di risultato”

A differenza delle tradizionali certificazioni, nell’ambito della cyber security non esistono adempimenti esaustivi che consentano di garantire la compliance. Se paragonato all’approccio in contesti come la sicurezza fisica degli ambienti di lavoro, in cui si prescrive l’installazione di maniglioni antipanico, estintori e simili, nella sicurezza informatica parametri sono molto più “fluidi”. Questo per un’ottima ragione: le criticità a livello di cyber security cambiano a seconda del contesto. In altre parole, gestire la sicurezza informatica di un istituto di credito con filiali in ogni paese è qualcosa di molto diverso dal farlo per un’attività manifatturiera. Ogni framework di sicurezza, di conseguenza, impone obiettivi di alto livello, senza definire nei dettagli gli strumenti che devono essere implementati. In termini giuridici, si può dire che la compliance alla certificazione di cyber security ricorda il concetto delle obbligazioni di risultato: le norme indicano l’obiettivo (per esempio garantire l’integrità dei dati e il loro corretto trattamento) e lasciano all’azienda il compito di definire gli strumenti per arrivare al risultato indicato. Schematizzando il concetto, ciò che viene valutata è l’efficacia dei sistemi di protezione e il livello complessivo di sicurezza dell’azienda. Il “come” raggiungere l’obiettivo dipende da una serie di fattori, che possono variare a seconda delle caratteristiche dell’impresa e che concorrono anche a individuare il framework di sicurezza a cui fare riferimento.

Il processo di security auditing

Quello che porta alla certificazione in ambito di cyber security è un processo complesso, in cui gli elementi consulenziali hanno un peso pari (o addirittura superiore) a quelli tecnici. Dall’analisi delle caratteristiche dell’azienda e la conseguente individuazione del framework cui fare riferimento, fino al network assessment, ogni scelta richiede un’analisi accurata delle esigenze dell’azienda, del tipo di attività e delle relative criticità. Alcuni passaggi, come il vulnerability assessment e il penetration test (la simulazione di attacco che consente di individuare i punti deboli su cui intervenire) devono essere modulati su misura, tenendo conto del contesto e delle finalità della certificazione di sicurezza informatica. L’ottimizzazione dei processi in un’ottica di cyber security, inoltre, coinvolgono aspetti non strettamente legati a tecnologie cyber, come la definizione di policy a livello di procedure aziendali e l’attività di awareness nei confronti di dipendenti e collaboratori per mitigare il rischio di subire gli attacchi basati su ingegneria sociale e, più in generale, quelli che fanno leva sul “fattore umano”.

Il fattore tempo nell’assessment

Quando si affronta un audit di sicurezza, non è possibile immaginare di poter ottenere un risultato istantaneo. La definizione del perimetro di attività, l’individuazione delle criticità specifiche dell’azienda e la scelta (e implementazione) delle soluzioni richiedono infatti competenze e il tempo per metterle a fattore. Da un punto di vista strategico, di conseguenza, la maggiore efficacia nelle procedure di audit si ottiene avviando processi paralleli, che consentano di “coprire” tutta la superficie dell’ecosistema IT e ottimizzare così i tempi della procedura. Non solo: si tratta di un processo che, almeno idealmente, deve essere reso permanente. Ogni nuovo servizio, attività e tecnologia implementata all’interno dell’azienda, infatti, modifica il contesto e, di conseguenza, genera nuove potenziali vulnerabilità che devono essere considerate nella strategia di sicurezza. Gli strumenti e le policy di security, insomma, devono essere adattati a ogni cambiamento introdotto a livello di business. Si tratta, in pratica, di avviare un processo continuo, la cui efficacia migliora nel momento in cui le strategie di cyber security (e il conseguente mantenimento della compliance alla certificazione di cyber security) viene pianificato contemporaneamente allo sviluppo dei nuovi asset. In pratica l’obiettivo è quello di cambiare prospettiva, approntando da subito le misure di sicurezza in modo che siano attive nel momento stesso in cui il servizio viene attivato.

Valuta la qualità di questo articolo

La tua opinione è importante per noi!

EU Stories - La coesione innova l'Italia

Tutti
Iniziative
Social
Analisi
Video
Finanza sostenibile
BEI e E-Distribuzione: investimenti per la sostenibilità energetica
Professioni
Servono competenze adeguate per gestire al meglio i fondi europei
Master
Come formare nuove professionalità per governare e gestire al meglio i fondi europei?
Programmazione UE
Assunzioni per le politiche di coesione: prossimi passi e aspettative dal concorso nazionale. Il podcast “CapCoe. La coesione riparte dalle persone”
innovazione sociale
Rigenerazione urbana: il quartiere diventa un hub dell’innovazione. La best practice di San Giovanni a Teduccio
Programmazione europ
Fondi Europei: la spinta dietro ai Tecnopoli dell’Emilia-Romagna. L’esempio del Tecnopolo di Modena
Interventi
Riccardo Monaco e le politiche di coesione per il Sud
Iniziative
Implementare correttamente i costi standard, l'esperienza AdG
Finanziamenti
Decarbonizzazione, 4,8 miliardi di euro per progetti cleantech
Formazione
Le politiche di Coesione UE, un corso gratuito online per professionisti e giornalisti
Interviste
L’ecosistema della ricerca e dell’innovazione dell’Emilia-Romagna
Interviste
La ricerca e l'innovazione in Campania: l'ecosistema digitale
Iniziative
Settimana europea delle regioni e città: un passo avanti verso la coesione
Iniziative
Al via il progetto COINS
Eventi
Un nuovo sguardo sulla politica di coesione dell'UE
Iniziative
EuroPCom 2024: innovazione e strategia nella comunicazione pubblica europea
Iniziative
Parte la campagna di comunicazione COINS
Interviste
Marco De Giorgi (PCM): “Come comunicare le politiche di coesione”
Analisi
La politica di coesione europea: motore della transizione digitale in Italia
Politiche UE
Il dibattito sul futuro della Politica di Coesione
Mobilità Sostenibile
L’impatto dei fondi di coesione sul territorio: un’esperienza di monitoraggio civico
Iniziative
Digital transformation, l’Emilia-Romagna rilancia sulle comunità tematiche
Politiche ue
Fondi Coesione 2021-27: la “capacitazione amministrativa” aiuta a spenderli bene
Finanziamenti
Da BEI e Banca Sella 200 milioni di euro per sostenere l’innovazione di PMI e Mid-cap italiane
Analisi
Politiche di coesione Ue, il bilancio: cosa ci dice la relazione 2024
Politiche UE
Innovazione locale con i fondi di coesione: progetti di successo in Italia
Finanza sostenibile
BEI e E-Distribuzione: investimenti per la sostenibilità energetica
Professioni
Servono competenze adeguate per gestire al meglio i fondi europei
Master
Come formare nuove professionalità per governare e gestire al meglio i fondi europei?
Programmazione UE
Assunzioni per le politiche di coesione: prossimi passi e aspettative dal concorso nazionale. Il podcast “CapCoe. La coesione riparte dalle persone”
innovazione sociale
Rigenerazione urbana: il quartiere diventa un hub dell’innovazione. La best practice di San Giovanni a Teduccio
Programmazione europ
Fondi Europei: la spinta dietro ai Tecnopoli dell’Emilia-Romagna. L’esempio del Tecnopolo di Modena
Interventi
Riccardo Monaco e le politiche di coesione per il Sud
Iniziative
Implementare correttamente i costi standard, l'esperienza AdG
Finanziamenti
Decarbonizzazione, 4,8 miliardi di euro per progetti cleantech
Formazione
Le politiche di Coesione UE, un corso gratuito online per professionisti e giornalisti
Interviste
L’ecosistema della ricerca e dell’innovazione dell’Emilia-Romagna
Interviste
La ricerca e l'innovazione in Campania: l'ecosistema digitale
Iniziative
Settimana europea delle regioni e città: un passo avanti verso la coesione
Iniziative
Al via il progetto COINS
Eventi
Un nuovo sguardo sulla politica di coesione dell'UE
Iniziative
EuroPCom 2024: innovazione e strategia nella comunicazione pubblica europea
Iniziative
Parte la campagna di comunicazione COINS
Interviste
Marco De Giorgi (PCM): “Come comunicare le politiche di coesione”
Analisi
La politica di coesione europea: motore della transizione digitale in Italia
Politiche UE
Il dibattito sul futuro della Politica di Coesione
Mobilità Sostenibile
L’impatto dei fondi di coesione sul territorio: un’esperienza di monitoraggio civico
Iniziative
Digital transformation, l’Emilia-Romagna rilancia sulle comunità tematiche
Politiche ue
Fondi Coesione 2021-27: la “capacitazione amministrativa” aiuta a spenderli bene
Finanziamenti
Da BEI e Banca Sella 200 milioni di euro per sostenere l’innovazione di PMI e Mid-cap italiane
Analisi
Politiche di coesione Ue, il bilancio: cosa ci dice la relazione 2024
Politiche UE
Innovazione locale con i fondi di coesione: progetti di successo in Italia

Articoli correlati

Articolo 1 di 5