La gestione degli asset è un pilastro strategico nel mondo della cyber security.
In ambito asset management è essenziale conoscere non solo gli strumenti operativi, ma anche le riflessioni sulle figure professionali incaricate di governare questo ambito fondamentale.
Ecco perché l’asset management non è un esercizio burocratico, ma un essenziale atto di governance con cui un’organizzazione dimostra di conoscere sé stessa.
Con questo articolo, il primo di una serie di cinque, accompagneremo il lettore dal concetto di asset e dal suo valore reale, fino ai processi, ai ruoli e alle responsabilità che danno concretezza a un sistema di protezione efficace.
Iniziamo chiarendo cosa è un asset e perché è fondamentale gestirlo. E ricordando che chi non conosce i propri asset, è semplicemente vulnerabile.
Indice degli argomenti
La gestione degli asset vero pilastro della sicurezza delle informazioni
Nel mondo della sicurezza delle informazioni, della privacy e della gestione del rischio, c’è una parola che ricorre spesso, tanto nei documenti tecnici quanto nei corridoi delle aziende: “asset”.
Eppure dietro quella parola, non sempre c’è una comprensione chiara e condivisa.
Se si fermano dieci professionisti del settore e si chiede loro cosa sia esattamente un asset, è probabile ricevere dieci risposte differenti.
Alcuni si limiteranno a pensare ai server, ai computer aziendali, agli smartphone forniti ai dipendenti: oggetti fisici, visibili, catalogabili.
Altri estenderanno il concetto ai database, ai documenti, ai software in uso. Ma solo chi possiede una reale visione di insieme comprenderà fino in fondo il significato pieno e operativo della parola asset.
Perché un asset, nel linguaggio della sicurezza delle informazioni, non è semplicemente un “bene” in senso economico o contabile. È molto di più.
È qualunque supporto, fisico, digitale o umano, che contiene o gestisce informazioni.
Basi della sicurezza organizzativa sotto controllo
Un server è un asset, certamente, come lo è una licenza SW ma lo è anche un collaboratore esterno a cui vengono affidati dati sensibili.
Così, un’applicazione cloud è un asset ma lo è anche il fornitore che gestisce l’assistenza informatica.
Si tratta, quindi, di un concetto che supera il confine delle cose materiali e che entra nella sfera delle relazioni, dei processi, degli accordi contrattuali.
Ogni elemento, ogni figura, ogni tecnologia che ha accesso a informazioni aziendali o che contribuisce in qualche modo alla loro gestione, rappresenta un asset da identificare, proteggere e monitorare.
Ecco perché parlare di gestione degli asset non è una questione riservata agli specialisti IT né è un tema solo per tecnici o informatici, ma un dovere manageriale, strategico, culturale che riguarda chiunque abbia responsabilità in azienda: dall’amministratore delegato al responsabile del personale, dal direttore finanziario al consulente privacy.
Capire davvero cos’è un asset e gestirlo in modo strutturato significa avere sotto controllo le basi stesse della sicurezza organizzativa. Senza questo presidio, qualunque altra misura rischia di essere inutile o inefficace.
Non si può proteggere ciò che non si conosce, non si può controllare ciò che non si è definito come proprio.
Quindi, la gestione degli asset rappresenta, nel concreto, uno dei veri pilastri della sicurezza delle informazioni. Una colonna portante senza la quale l’intero edificio della protezione dei dati rischia di crollare alla prima scossa.
Il vero significato di asset: dalla parola alla pratica concreta
Quando si parla di asset, il rischio più comune è pensare a un elenco di oggetti statici da mettere sotto chiave: server, computer, archivi, dispositivi mobili.
Questa è solo la superficie.
Il concetto, nella realtà operativa della sicurezza delle informazioni, è molto più ampio e dinamico.
Un asset non è semplicemente un bene isolato da proteggere ma un tassello di un insieme ben più articolato: un vero e proprio ecosistema organizzativo.
È noto che ogni elemento, ogni dispositivo, ogni persona, ogni servizio interno o esterno può diventare, in qualsiasi momento, un punto di accesso alle informazioni aziendali e, di conseguenza, un potenziale rischio.
Pensare agli asset come un semplice inventario di “cose” fisiche è quindi solo il primo gradino.
Il livello successivo, quello davvero strategico, è comprendere che si ha a che fare con un sistema vivo, in continua evoluzione.
Un sistema in cui componenti fisiche, digitali e umane interagiscono, si sovrappongono, si condizionano reciprocamente; ogni giorno, ogni ora.
La gestione: governare gli asset
La gestione degli asset non può dunque ridursi a un esercizio burocratico, a un foglio Excel dimenticato in qualche cartella, ma deve essere invece una pratica concreta, fatta di controllo continuo, aggiornamenti costanti, revisione periodica di ciò che l’organizzazione possiede, utilizza, affida a terzi.
Governare gli asset vuol dire avere piena consapevolezza di tutto ciò che contribuisce, direttamente o indirettamente, alla gestione delle informazioni aziendali.
Vuol dire sapere sempre:
- dove si trovano le informazioni,
- chi ne ha accesso,
- attraverso quali strumenti e in quali condizioni.
È quindi una necessità concreta, valida per ogni organizzazione seria, a prescindere dalle dimensioni o dal settore.
Ecco perché chi parla di sicurezza delle informazioni senza parlare di asset management, in realtà, sta guardando solo una parte della questione.
La gestione degli asset è la base su cui costruire qualunque sistema di protezione efficace, davvero funzionante e realmente rispettoso delle norme, dalla ISO 27001 al GDPR, fino alla NIS 2.
Perché la gestione degli asset è un pilastro reale della sicurezza
Ogni asset, senza eccezioni, rappresenta un potenziale punto di vulnerabilità per le informazioni che contiene o gestisce. È un dato di fatto che non può essere ignorato da nessuna organizzazione seria, a prescindere dalle sue dimensioni o dal settore di attività.
Parliamo infatti delle tre proprietà fondamentali che ogni sistema informativo deve sempre garantire: riservatezza, integrità, disponibilità.
È quella che in gergo tecnico viene chiamata triade RID. Cosa significa in pratica? Immaginiamo un esempio concreto, semplice e immediato.
PC aziendale: i casi
Se un PC aziendale viene rubato, non si perde soltanto un dispositivo materiale: si mette a rischio la riservatezza dei dati contenuti, soprattutto se il dispositivo non è adeguatamente cifrato o protetto, e si compromette anche la disponibilità di quelle informazioni, almeno fino al momento in cui non saranno recuperate da un backup o da un altro sistema.
Invece, se lo stesso PC subisce una manomissione – per esempio l’installazione di un malware, oppure una modifica non autorizzata ai suoi file – allora è l’integrità delle informazioni a essere minacciata.
I dati possono risultare alterati, corrotti, falsificati senza che ci si accorga
immediatamente del problema.
Infine, se il PC semplicemente si guasta, magari a causa di un evento imprevisto o di un uso scorretto, viene meno la disponibilità delle informazioni archiviate. Quelle informazioni esistono ancora, sì, ma non sono più accessibili al momento del bisogno.
I tre scenari
Sono diversi i tre scenari, ma hanno un unico punto in comune. Il problema nasce da un asset gestito in modo inadeguato, privo di controlli, di procedure, di una supervisione costante.
Ed è esattamente per questo che la gestione degli asset non può essere considerata una pratica amministrativa secondaria, da relegare ai registri o agli inventari da aggiornare ogni tanto.
La gestione degli asset è quindi una misura di sicurezza vera e propria, concreta, operativa e rappresenta un elemento cardine, esplicitamente previsto dagli standard internazionali più autorevoli, come la ISO/IEC 27001:2022.
Questa norma, che definisce i requisiti di un sistema di gestione della sicurezza delle informazioni, dedica ampio spazio proprio al tema degli asset e al loro ciclo di vita, riconoscendo formalmente che ogni fase – dalla scelta e acquisizione fino alla dismissione – è potenzialmente esposta a minacce che devono essere identificate, analizzate, mitigate.
Il ciclo di vita degli asset: dal primo acquisto alla dismissione, nessuna fase è neutra
Quando si parla di asset management, bisogna smettere di pensare in termini statici. Non è una fotografia scattata una volta per tutte. Ma è un film continuo, che comincia molto prima dell’acquisto di un server o della firma di un contratto con un fornitore, e non si conclude nemmeno con la dismissione o la cessazione del rapporto.
Ogni asset attraversa un ciclo di vita. E ogni fase di quel ciclo porta con sé rischi specifici.
Se si parla di un asset fisico – per esempio un server – tutto inizia con la decisione stessa di dotarsene: valutare se serve davvero, quale modello scegliere, da quale fornitore acquistarlo.
Poi si passa all’acquisto, all’installazione, alla configurazione, alla manutenzione, fino al momento in cui quel server diventa obsoleto e va dismesso o rottamato in modo sicuro, senza lasciare tracce di dati al suo interno.
Vale lo stesso ragionamento per un asset umano o contrattuale, come un collaboratore esterno o un fornitore di servizi.
Anche qui si parte dalla scelta consapevole di affidare un’attività all’esterno, si passa per la selezione, la contrattualizzazione, il monitoraggio del rapporto, fino all’uscita del collaboratore e alla revoca degli accessi o alla restituzione di dispositivi e informazioni.
In entrambi i casi il punto chiave è uno. La gestione dell’asset non comincia con l’utilizzo operativo e non finisce con la sua uscita di scena.
Ogni fase – valutazione, acquisto, utilizzo, manutenzione, dismissione – è un momento in cui possono verificarsi minacce che compromettono la sicurezza delle informazioni.
Ecco perché serve un processo chiaro, scritto, formalizzato. Non si tratta di fare le cose “secondo buon senso”. Occorre un metodo, servono policy definite nonché controlli che garantiscano coerenza e affidabilità in ogni passaggio.
Governare gli asset è un atto di responsabilità
In un’epoca in cui la protezione delle informazioni è diventata una vera questione di sopravvivenza organizzativa, comprendere il significato profondo della parola asset non è un esercizio teorico, ma un atto di responsabilità.
Innanzitutto occorre saperli identificare, conoscere, rispettare e proteggere significhi tenere in piedi la struttura invisibile su cui si regge ogni strategia di sicurezza e ogni percorso di compliance.
Ma da questa consapevolezza prende forma la necessità di dotarsi di un vero sistema di gestione degli asset. Un sistema vivo, coerente, monitorato, dove ogni fase – dall’acquisto alla dismissione – sia governata da regole certe, ruoli precisi e responsabilità distribuite.
Nel prossimo capitolo entreremo nel vivo di questo sistema. Vedremo quali sono i pilastri concreti di una gestione efficace: policy, inventari aggiornati, ruoli chiari, procedure formalizzate, audit continui e scopriremo come costruire un processo reale, aderente alla ISO/IEC 27001:2022, capace di garantire la sicurezza delle informazioni in piena conformità con GDPR e NIS 2.
