Quando si affronta il tema del tempo della documentazione della sicurezza cyber, le tinte sono certamente meno romantiche e iconiche del più gradito – quanto meno agli occhi del pubblico – del tempo delle mele.
Con altrettanta certezza, non possiamo trovare gli stessi toni pastello in quel misto di silicio, criteri e norme cogenti. Insomma: la data maturity è destinata a non essere pop.
Questo non significa, però, che si debba cedere a due pensieri contrapposti: il primo che colloca l’adempimento documentale come una mera perdita di tempo nella convinzione che la sicurezza è qualcosa che si fa; il secondo che, invece, ritiene che sia importante mettere tutto sulla carta.
Ma se oramai la paper security oramai è smentita dalla realtà, poiché ciò che è su carta e resta su carta non protegge certo da attacchi informatici, il rischio è quello di guardare al polo opposto pensando che il tempo della documentazione sia tempo perso.
Non un costo ma un investimento
Non ce ne voglia Proust per il gioco di parole, ma la ricerca di evidenze documentali non è certamente tempo perduto. Deve piuttosto essere visto come un investimento di tipo strategico, economico-finanziario ed operativo e dunque portare a risultati misurabili, confrontabili ma soprattutto efficaci ed efficienti.
Per le organizzazioni è necessario avere capacità di fornire evidenza degli adeguati assetti organizzativi che sono innanzitutto richiesti sia dall’art. 2086 co. 2 Codice Civile e che poi trovano il proprio diaframma applicativo all’interno di norme settoriali.
Nel caso della NIS 2, ad esempio, è richiesto specificamente di documentare la gestione della sicurezza per garantire completezza, affidabilità e tracciabilità delle evidenze.
Ma volendo essere ancor più pratici e spietati, in che modo si può progettare ed organizzare una strategia di sicurezza cyber coerente affrontando le sfide organizzativese non c’è comunicazione?
Insomma: in assenza di evidenze, il dialogo fra board e CISO non sarà difficile, ma impossibile. Mentre qualsivoglia obiettivo perde concretezza e misurabilità.
In pratica, lo scenario diventa analogo a quello della paper compliancein cui si ritiene che lo scritto prevalga sul reale dato che si favoriscono punti ciechi, che inevitabilmente attraggono quell’incertezza sugli obiettivi che rientra nella definizione stessa di rischio.
Ma sappiamo bene che lo spirito poco romantico della sicurezza cyber avversa l’ignoto e l’assenza di garanzie.
