Per anni la cybersecurity aziendale è stata raccontata soprattutto attraverso firewall, antivirus, backup e procedure interne.
Oggi il problema si è spostato più avanti: non basta sostenere di aver adottato misure adeguate, bisogna essere in grado di dimostrare cosa è stato fatto, quando, da chi e con quali controlli.
È uno dei cambiamenti più rilevanti introdotti dal nuovo quadro europeo sulla sicurezza digitale.
La direttiva NIS2 ha rafforzato gli obblighi di gestione del rischio informatico per numerose organizzazioni, mentre il Cyber Resilience Act interviene sulla sicurezza dei prodotti con elementi digitali.
Ambiti diversi, ma con un punto in comune: la cybersecurity entra sempre più nei processi di governance, documentazione e responsabilità aziendale.
Il problema non è avere una policy
Un’azienda può avere procedure formalmente corrette e ritrovarsi comunque in difficoltà nel momento in cui deve ricostruire ciò che è realmente accaduto.
Chi ha avuto accesso a un documento? Quale versione era valida in una determinata data? Una procedura è stata effettivamente aggiornata? Un fornitore ha ricevuto l’informazione prevista? Esiste una traccia verificabile delle attività svolte?
Sono domande apparentemente semplici.
Diventano molto meno banali quando le informazioni sono distribuite tra cartelle locali, email, servizi cloud, software gestionali e documenti prodotti da persone differenti.
La conformità, in quel momento, smette di essere un principio astratto e diventa capacità di produrre evidenze.
Governance e responsabilità non possono restare sulla carta
La NIS2 ha portato il tema della sicurezza informatica anche ai livelli decisionali delle organizzazioni.
Questo significa che gestione del rischio, procedure, incidenti e controlli non possono essere considerati esclusivamente un problema del reparto IT.
La direzione deve poter conoscere il sistema adottato, comprenderne i punti critici e dimostrare l’esistenza di processi coerenti.
Ed è proprio qui che la gestione documentale assume un peso diverso rispetto al passato.
Un documento non deve soltanto esistere. Deve essere individuabile, aggiornato e associato a una storia verificabile delle modifiche e degli accessi.
La supply chain è uno dei punti più delicati
La sicurezza di un’organizzazione non termina più al confine della propria rete.
Fornitori, consulenti, software esterni e partner possono diventare parte della superficie di rischio.
Per questo la gestione della supply chain richiede non soltanto valutazioni iniziali, ma anche documentazione, aggiornamenti e possibilità di ricostruire nel tempo le informazioni relative ai soggetti coinvolti.
Il problema cresce con il numero delle relazioni.
Quando decine o centinaia di documenti vengono inviati, aggiornati e sostituiti, sapere quale versione sia stata effettivamente condivisa può diventare complicato.
Anche un incidente deve lasciare una storia leggibile
Un altro passaggio riguarda la gestione degli incidenti.
In caso di problema informatico, la ricostruzione temporale è fondamentale: individuare quando è avvenuto un evento, chi ne era a conoscenza, quali interventi sono stati effettuati e quali documenti sono stati prodotti.
Non si tratta soltanto di rispondere all’emergenza.
Significa poter ricostruire successivamente il processo decisionale e dimostrare che procedure e responsabilità previste non erano semplicemente scritte, ma effettivamente applicate.
Leggi anche: Attualità
Dalla conformità dichiarata alla conformità dimostrabile
È su questo passaggio che lavora anche Certiblok, piattaforma dedicata alla gestione e condivisione documentale.
L’idea è associare ai documenti elementi di tracciabilità che permettano di ricostruire versioni, accessi e attività, organizzando le informazioni in modo che possano essere recuperate anche in occasione di verifiche e audit.
Non significa che un software possa rendere automaticamente un’azienda conforme alla NIS2 o ad altre normative.
La conformità dipende da organizzazione, processi, misure tecniche, persone e responsabilità.
La tecnologia può però aiutare a risolvere uno dei problemi più concreti: trasformare attività e documenti in evidenze consultabili e verificabili.
La cybersecurity diventa anche un problema documentale
È probabilmente questo uno dei cambiamenti meno visibili ma più importanti.
La sicurezza informatica non riguarda soltanto la capacità di impedire un attacco.
Riguarda anche la possibilità di dimostrare come l’organizzazione si è preparata, quali misure ha adottato e come ha gestito ciò che è accaduto.
In altre parole, alla domanda “siamo conformi?” ne segue ormai inevitabilmente un’altra:
siamo in grado di provarlo?
Ed è proprio su questa seconda domanda che molte aziende scopriranno quanto contano documenti, versioni, registri e tracce lasciate nel tempo.
“Head Staff”, giornalista pubblicista laureata in letteratura, amo scrivere e apprendere costantemente cose nuove. Trovo che il mestiere del giornalista sia uno dei più affascinanti che esistano. Ti consente di apprendere, di conoscere il mondo, farti conoscere e di entrare in simbiosi con il lettore
