A cura di Javier Dominguez, CISO at Commvault
Per il successo di qualsiasi strategia di cybersecurity o di protezione dei dati, le aziende devono fare affidamento su solidi processi di collaborazione e comunicazione interna. In particolare, la dinamica CIO/CISO può avere un impatto significativo sul processo decisionale sia a breve che a lungo termine, dalle decisioni di investimento strategico fino alla risposta agli incidenti di sicurezza.
Mentre i CIO hanno una serie di responsabilità nell’ambito del patrimonio informatico di un’azienda, il mandato dei CISO è spesso ancora più ampio, e comprende gestione del rischio enterprise, governance e conformità. In genere, il CISO è considerato l’autorità finale per tutte le questioni chiave di sicurezza, ma è sempre più evidente che non possa operare completamente da solo.
Negli ultimi anni, il modo in cui questi due responsabili lavorano insieme si è evoluto in modo significativo in molte aziende, in parallelo con l’aumento dell’importanza della sicurezza e della protezione dei dati. In sostituzione dell’approccio tradizionale, la situazione ideale è che CIO e CISO lavorino a stretto contatto per realizzare una strategia olistica di sicurezza e resilienza. Dalla creazione di un perimetro di rete completo, alla gestione del ruolo crescente della regolamentazione, le loro responsabilità e aree di competenza devono essere strettamente integrate in modo che le misure di protezione si allineino con l’esigenza di efficienza operativa.
Tuttavia, sebbene una recente ricerca abbia rilevato che il 99% dei responsabili aziendali ritiene che gli ITOp e i team di sicurezza siano sempre più connessi, solo il 48% afferma di aver effettivamente stabilito processi e procedure comuni per il ripristino dagli attacchi informatici.
Per avvicinare questi due mondi è necessario superare una serie di ostacoli potenzialmente critici, con conseguenze di un errore che possono essere estremamente gravi. Tra questi, i problemi che sorgono quando le risorse e i livelli di investimento non sono sufficienti a coprire le priorità stabilite da CIO e CISO. In un momento in cui la pressione per aumentare i budget per la cybersecurity è notevole, i responsabili potrebbero trovarsi a dover scendere a compromessi per garantire il raggiungimento degli obiettivi.
Allo stesso modo, CIO e CISO possono avere prospettive diverse sul modo in cui la cybersecurity impatta su diverse aree, come quella produttiva. In molte situazioni, esiste un delicato equilibrio tra l’implementazione di tecnologie efficaci per la sicurezza e la protezione dei dati senza imporre ulteriori requisiti onerosi alla forza lavoro. È qui che una collaborazione efficace può contribuire a creare un vantaggio per amministratori delegati e dirigenti a livello di consiglio di amministrazione che, in ultima analisi, devono ottenere risultati positivi.
Raggiungere resilienza e conformità
Come dovrebbe svolgersi questa dinamica nella realtà? Ci sono molte aree in cui questi ruoli chiave che si intersecano, a cominciare dalle sfide presentate dalla resilienza organizzativa, un aspetto ormai cruciale per qualsiasi azienda moderna. Uno dei modi più efficaci per valutarne i livelli è verificare la capacità di team, tecnologie e processi IT e di sicurezza di rispondere e ripristinare dagli incidenti informatici.
In questo contesto, l’obiettivo è identificare le aree di miglioramento delle strategie di protezione e mitigazione che vanno oltre la cybersecurity, per concentrarsi su qualsiasi parte del patrimonio informatico in cui esistono vulnerabilità. Ciò può avvenire solo se il processo viene applicato in modo olistico per coprire tutto, dalle sfide tecnologiche alle persone, alle procedure, alla formazione. Senza il pieno coinvolgimento di CIO e CISO, sarà difficile ottenere miglioramenti a livello di resilienza.
Ci sono poi le sfide sempre più complesse poste da normative e conformità. In questo caso, il leadership team deve collaborare per garantire che si operi nel pieno rispetto di leggi come il GDPR, aspetto di particolare rilievo per il CIO, andando contemporaneamente a ridurre al minimo il rischio di violazione dei dati, elemento che rientra invece nelle competenze del CISO. Senza una strategia integrata, è molto meno probabile che un’azienda riesca a fornire il tipo di approccio integrato necessario per rimanere conforme.
Se le aziende ottimizzano il modo in cui CIO, CISO e i rispettivi team collaborano, si troveranno in una posizione molto più solida per allineare le priorità IT e di sicurezza con gli obiettivi aziendali strategici. Questo livello di maturità aiuta anche gli stakeholder a gestire in modo più efficace la crescente complessità tecnologica e la natura dinamica dell’innovazione digitale, che sta diventando così importante per ottenere vantaggi di business.
Anche la maturità organizzativa può svolgere un ruolo utile nel rendere i team manageriali a prova di futuro rispetto agli inevitabili cambiamenti di personale. Dato che il mandato tipico di CIO e CISO si aggira intorno ai tre-cinque anni, l’integrazione di processi efficaci nelle loro aree di responsabilità è fondamentale se le aziende vogliono ridurre al minimo le interruzioni strategiche che possono verificarsi quando i dirigenti cambiano.
È evidente che ci siano molti aspetti da considerare, con priorità che possono anche divergere tra loro, per quanto riguarda l’efficacia dell’integrazione dei ruoli di CIO e CISO. Tuttavia, le aziende che comprendono la necessità di una stretta collaborazione tra queste figure chiave si trovano in una posizione molto più forte per poter garantire agilità, sicurezza e prestazioni, aspetti che attualmente dominano le agende dei consigli di amministrazione di tutto il mondo.
