Comitato controllo e rischi: la supervisione delle minacce cyber

Un attacco ransomware, una violazione di dati o il blocco di un sistema critico possono fermare la produzione, comportare sanzioni e danneggiare la reputazione di una organizzazione. Per questo il rischio cyber non è più una questione tecnica da lasciare al reparto informatico, bensì è un rischio d’impresa e, come tale, rientra nella responsabilità degli organi di vertice.

All’interno del Consiglio di Amministrazione (il presidio spetta, in genere, al Comitato controllo e rischi (CCR) che assiste il vertice nel valutare il sistema di controllo interno e di gestione dei rischi, compresi quelli legati alla sicurezza delle informazioni.

È importante evidenziare che, per esercitare davvero questa funzione, il comitato ha bisogno di dati affidabili, ed è qui che emerge la difficoltà più frequente: i team tecnici dispongono di enormi quantità di informazioni, mentre i membri del comitato devono ricevere indicazioni sintetiche, confrontabili nel tempo e utili a decidere.

La reportistica di sicurezza diventa, così, il ponte tra questi due mondi. Se ben costruita, mette in luce dove l’azienda è vulnerabile, quanto sono efficaci le difese e se gli investimenti stanno producendo risultati.

All’interno del Consiglio di Amministrazione, il presidio spetta, in genere al Comitato controllo e rischi (CCR), che assiste il vertice nel valutare il sistema di controllo interno e di gestione dei rischi, compresi quelli legati alla sicurezza delle informazioni.

Per esercitare davvero questa funzione, però, il comitato ha bisogno di dati affidabili, e qui emerge la difficoltà più frequente. I team tecnici dispongono di enormi quantità di informazioni, ma i membri del comitato devono ricevere indicazioni sintetiche, confrontabili nel tempo e utili a decidere.

La reportistica di sicurezza diventa il ponte tra questi due mondi e, se ben costruita, evidenzia le vulnerabilità, quanto sono efficaci le difese e se gli investimenti producono risultati.

Come strutturare la reportistica di sicurezza per i comitati interni

Una buona reportistica si costruisce a partire dalle decisioni che il comitato deve poter assumere sulla base del documento: da questo obiettivo discendono contenuti, periodicità e livello di dettaglio.

Il report non deve ridursi a un elenco di eventi tecnici, ma offrire un quadro ordinato, così strutturato: una sintesi dello stato complessivo del rischio; fatti rilevanti del periodo; gli indicatori principali; azioni in corso; le eventuali richieste di decisione.

In termini di frequenza, la cadenza trimestrale è la più comune, affiancata da un meccanismo di segnalazione immediata per gli eventi gravi; mentre gli approfondimenti tecnici costituiscono gli allegati, a disposizione di chi desidera entrare nel dettaglio.

Qual e il ruolo dei comitati di controllo nella supervisione dei rischi IT

Il comitato di controllo non gestisce la sicurezza, bensì la supervisiona. Di fatto, spetta alla direzione e alle funzioni operative definire e attuare i controlli. Il comitato, invece, verifica che: il sistema sia adeguato; i rischi siano identificati e valutati; le scelte siano coerenti con la propensione al rischio fissata dal Consiglio di Amministrazione.

Inoltre, nelle società quotate questo ruolo si inserisce nel sistema di controllo interno previsto dal Codice di Corporate Governance, ma un presidio analogo è sempre più diffuso anche nelle imprese non quotate.

Ancora, il comitato esamina le valutazioni del rischio e dialoga con il CISO (Chief Information Security Officer, il responsabile della sicurezza delle informazioni), con il responsabile IT (Information Technology), con il DPO (Data Protection Officer) e con le funzioni di internal audit e di risk management, per poi riferire al Consiglio. Il suo compito è anche porre le domande giuste: quali sono i sistemi più critici, quanto tempo servirebbe per ripristinarli, quali minacce sono più probabili, quali lacune restano aperte.

È importante evidenziare che, affinché questa funzione sia efficace, i flussi informativi devono essere regolari e strutturati. Ovvero: devono evidenziare i progressi ottenuti nella riduzione della superficie d’attacco, fornendo indicatori chiari sul livello di copertura e mitigazione del rischio.

Solo così il comitato può distinguere un miglioramento reale da una semplice attività di facciata.

Come tradurre i dati tecnici di sicurezza in metriche comprensibili per il Board

I dati prodotti dagli strumenti di sicurezza, come log, alert o numero di vulnerabilità rilevate, parlano il linguaggio dei tecnici. Pertanto, per renderli utili al Board è opportuno tradurli in termini di impatto sul business, collegando ogni metrica a un rischio concreto, esprimendolo, quando possibile, in termini economici od operativi.

Una volta chiarito il significato delle metriche, conviene presentarne l’andamento nel tempo, anziché, il dato isolato, dato che il comitato deve poter cogliere la direzione di marcia e non solo la situazione di un singolo momento.

A tale scopo funzionano possono essere di supporto le rappresentazioni sintetiche come le mappe di calore (heat map) dei rischi o i semafori verde-giallo-rosso, a condizione che i criteri di valutazione siano espliciti e stabili, così da rendere i confronti tra periodi realmente affidabili.

Infine, le informazioni vanno graduate: poche metriche chiave in evidenza e il dettaglio tecnico a disposizione di chi vuole approfondire.

Quali KPI e indicatori di rischio presentare agli organi di controllo

Gli indicatori si dividono in due famiglie complementari, quali:

• KPI (Key Performance Indicator) misurano le prestazioni dei controlli, per esempio la percentuale di sistemi protetti o la rapidità di risposta.
• KRI (Key Risk Indicator) segnalano invece l’aumento dell’esposizione al rischio, per esempio il numero di vulnerabilità critiche non risolte o di accessi privilegiati privi di controllo. Presentarli insieme permette al comitato di valutare sia quanto le difese funzionano sia dove il rischio sta crescendo.

Infine, si consiglia di selezionare pochi indicatori, stabili nel tempo. e associati a soglie di tolleranza approvate, oltre le quali scatta l’obbligo di segnalazione.

Come misurare il livello di copertura delle difese sui sistemi critici

Misurare la copertura delle difese significa verificare che i controlli dichiarati siano davvero attivi dove servono.

Il primo passo è disporre di un elenco affidabile dei sistemi critici, individuati attraverso la valutazione dell’impatto sul business, perché senza un inventario aggiornato qualsiasi percentuale rischia di essere fuorviante.

Su questa base si calcola, per ciascun controllo, la quota di sistemi critici effettivamente protetti.

Gli indicatori più utilizzati riguardano la presenza di strumenti EDR (Endpoint Detection and Response), l’adozione dell’MFA (Multi-Factor Authentication), la cifratura dei dati, l’invio dei log al SIEM (Security Information and Event Management) e la quota di sistemi aggiornati con le patch.

Inoltre, alla protezione preventiva si affianca la capacità di ripristino che si misura attraverso due parametri fissati per ogni sistema critico: l’RTO (Recovery Time Objective) – i.e. il tempo massimo tollerabile di fermo prima che l’impatto sul business diventi inaccettabile -e l’RPO (Recovery Point Objective) – i.e. la quantità massima di dati che l’azienda può permettersi di perdere, espressa come intervallo di tempo tra l’ultimo salvataggio utile e l’incidente.

Ancora, per il comitato, è essenziale conoscere la percentuale di sistemi critici i cui backup e le cui procedure di ripristino, verificati con prove periodiche, rispettano davvero gli obiettivi fissati di RTO e RPO: un backup mai testato offre soltanto una sicurezza apparente.

Accanto alla copertura va misurata l’efficacia, cioè la rapidità con cui l’organizzazione reagisce a un evento. In tal senso sono importanti sia il MTTD (Mean Time To Detect) sia il MTTR (Mean Time To Respond) che indicano in quanto tempo ci si accorge di un incidente e in quanto tempo lo si contiene.

È importante evidenziare che confrontare questi valori con gli obiettivi di RTO e RPO consente di capire se la capacità di reazione è compatibile con la tolleranza al fermo stabilita per ciascun sistema.

Il dato più prezioso, tuttavia, è l’elenco dei sistemi critici non ancora coperti o che non rispettano gli obiettivi di ripristino, accompagnato dalle ragioni dello scostamento e dalla data prevista per la chiusura. Di fatto, un comitato che vede dove le difese mancano può intervenire; uno che riceve solo percentuali rassicuranti rischia di sottovalutare l’esposizione.

Come rendicontare lo stato di avanzamento dei piani di rientro dalle vulnerabilità

L’organizzazione, l’azienda quando una valutazione o un test rivelano delle debolezze, predispone un remediation plan, cioè un programma di interventi con responsabili, scadenze e priorità, in modo tale da darne evidenza al comitato.

Di fatto, una rendicontazione efficace parte dalla priorità. Le vulnerabilità vanno classificate in base alla gravità – spesso espressa con il punteggio CVSS (Common Vulnerability Scoring System – e alla reale esposizione del sistema coinvolto. Per ciascuna fascia si indicano le vulnerabilità aperte, quelle chiuse nel periodo, l’anzianità media e gli scostamenti rispetto ai tempi massimi di correzione, definiti dagli SLA (Service Level Agreement).

Particolare attenzione meritano le vulnerabilità scadute e le eccezioni: quelle non risolte entro i termini vanno evidenziate insieme alla causa del ritardo; mentre le deroghe, cioè i casi in cui si accetta di convivere con un rischio, devono essere motivate, approvate da un responsabile e dotate di una data di riesame.

L’efficacia del programma di bonifica si rappresenta al meglio con un grafico che metta a confronto nel tempo le vulnerabilità critiche risolte e quelle ancora aperte: se le prime crescono e le seconde diminuiscono, il piano sta producendo risultati.

Come la reportistica di sicurezza soddisfa gli adempimenti di governance

La reportistica non è solo uno strumento di gestione: è la prova che gli organi di vertice hanno esercitato la propria funzione di vigilanza.

Il quadro normativo europeo ha rafforzato questa responsabilità. La direttiva NIS2, recepita in Italia con il D.lgs. 138/2024, attribuisce agli organi di gestione il compito di approvare le misure di gestione del rischio cyber e di supervisionarne l’attuazione, con obblighi di formazione e possibili responsabilità personali. DORA, per il settore finanziario, assegna all’organo di gestione la responsabilità finale sul rischio ICT.

A queste norme si aggiungono il GDPR, che richiede di poter dimostrare l’adeguatezza delle misure a tutela dei dati personali, e il D.lgs. 231/2001, in base al quale un modello organizzativo efficace, vigilato con continuità, può contribuire a escludere la responsabilità dell’ente.

È doveroso evidenziare che, in tutti i casi, una reportistica ordinata e conservata nel tempo, è il modo più concreto per dimostrare di aver adempiuto ai requisiti normativi.

Come documentare il controllo continuo dei rischi per le autorità di vigilanza

Le autorità di vigilanza, come l’ACN (Agenzia per la Cybersicurezza Nazionale) o le autorità del settore finanziario, non pretendono che i controlli esistano: l’organizzazione deve dimostrare di monitorarli con continuità. Pertanto, la documentazione va costruita come una catena ordinata di prove che accompagni l’intero ciclo di gestione del rischio, i.e. dalla valutazione alla decisione, fino alla verifica dei risultati.

Si tratta di strutturare la documentazione del comitato: i verbali attestano quali informazioni sono state ricevute, quali domande sono state poste e quali decisioni sono state assunte, mentre i report periodici, archiviati con data e versione, permettono di ricostruire come si è evoluta la situazione nel tempo.

È altresì importante disporre del registro dei rischi, che raccoglie i piani di trattamento e il rischio residuo approvato dalla direzione, unitamente alle evidenze operative: test, esercitazioni e incidenti gestiti, ciascuno con le relative azioni correttive.

La continuità del controllo si dimostra anche nel modo in cui vengono seguiti gli indicatori. Il monitoraggio rispetto alle soglie di tolleranza, con la segnalazione tempestiva dei superamenti senza attendere la riunione successiva, prova che il presidio è attivo anche tra una seduta e l’altra.

Inoltre, è altrettanto importante la tracciabilità delle decisioni: quando il comitato chiede approfondimenti, rinvia un intervento o accetta un rischio, il verbale deve renderlo esplicito, indicandone motivazioni e responsabili.

In sede ispettiva, l’insieme di questi documenti permette di passare dalla semplice dichiarazione di principio alla prova concreta, trasformando la governance in una pratica dimostrabile.

Come collegare i dati di reportistica alle decisioni sulla spesa in sicurezza

Il valore più concreto di una buona reportistica è la capacità di orientare il budget. Di fatto, quando i dati mostrano dove le difese sono carenti, quali vulnerabilità pesano di più e quanto potrebbe costare un incidente, le richieste di investimento smettono di essere percepite come una voce di costo generica e diventano scelte motivate.

Si tratta di mettere in relazione ogni proposta di spesa con un rischio misurato. Di fatto, se il report evidenzia, per esempio, che una parte dei sistemi critici non dispone di autenticazione a più fattori, l’investimento per estenderla è giustificato dalla riduzione attesa dell’esposizione.

Inoltre, strumenti come la stima della perdita attesa o l’analisi costi-benefici aiutano a confrontare alternative diverse e a stabilire priorità; mentre il rischio residuo dopo ciascun intervento permette al comitato di capire quanto margine di miglioramento rimane.

Ancora, il confronto con le soglie di tolleranza al rischio indica inoltre quando è opportuno investire ancora e quando, invece, ulteriori spese produrrebbero solo benefici marginali.

Conclusione

La supervisione delle minacce cyber da parte del Comitato controllo e rischi è efficace quando si basa su informazioni chiare, regolari e orientate alle decisioni.

Di fatto, la reportistica deve tradurre i dati tecnici in metriche comprensibili per il Board; gli indicatori di prestazione e di rischio forniscono una misurazione della copertura delle difese e l’avanzamento dei recovery plan; la documentazione conservata nel tempo dimostra il controllo continuo davanti alle autorità; e gli stessi dati diventano il criterio per orientare gli investimenti in sicurezza.

Non si tratta di aggiungere burocrazia, ma di mettere i vertici nelle condizioni di esercitare la propria responsabilità con cognizione di causa. In questa prospettiva anche il CISO, aprendosi al dialogo con le funzioni di business, contribuisce a rendere il rischio cyber una questione condivisa e non più una competenza confinata all’area tecnica.

Pertanto, investire nella qualità dei flussi informativi significa dunque rafforzare la governance, ridurre l’esposizione al rischio e fare della sicurezza una componente stabile della gestione d’impresa.