Cosa devo chiedere al mio IT ogni trimestre?
Sei domande semplici che un amministratore può fare senza essere tecnico, e le risposte che dovrebbe aspettarsi per capire se l'azienda è protetta.
Il problema
Il CEO sa che la sicurezza è importante, ma non sa come controllarla. Chiedere "siamo sicuri?" produce un sì rassicurante o una raffica di sigle. Servono poche domande ricorrenti, sempre le stesse, che permettano di vedere se le cose migliorano o peggiorano nel tempo.
Come capire se ti riguarda
- La sicurezza entra in riunione solo quando c'è un problema.
- Non avete numeri da confrontare da un trimestre all'altro.
- Vi fidate del vostro IT, ma non sapreste spiegare perché.
Il primo passo
Mettete in agenda un punto sicurezza di trenta minuti ogni trimestre, con le stesse sei domande. La regolarità conta più della profondità.
Come risolverlo: le sei domande
- "Quali sono oggi i tre rischi più grandi, e cosa stiamo facendo?" Risposta attesa: rischi legati a servizi, non a tecnologie, con un responsabile e una data.
- "Abbiamo provato a ripristinare i backup? Quanto ci è voluto?" Risposta attesa: una prova recente, con tempi reali. "Il backup c'è" non basta.
- "Quanti account hanno l'autenticazione a più fattori?" Risposta attesa: una percentuale, vicina al 100% per posta, accessi remoti e amministratori.
- "Quanto tempo serve per installare un aggiornamento critico?" Risposta attesa: giorni, non mesi, con le eccezioni motivate.
- "Cosa è successo questo trimestre?" Risposta attesa: segnalazioni, incidenti, quasi incidenti, e cosa si è imparato.
- "Di cosa avete bisogno da me?" Risposta attesa: decisioni, budget, priorità. Se la risposta è sempre "niente", qualcosa non torna.
Come evitare che si ripeta
Annotate le risposte e confrontatele ogni volta. Un piccolo cruscotto con quattro o cinque numeri (copertura MFA, tempi di aggiornamento, prove di ripristino, segnalazioni) vale più di cento slide. *Evidenza: verbali con decisioni.*
Quando chiedere aiuto
Se le risposte restano vaghe per due trimestri di fila, chiedete una valutazione indipendente. Non per sfiducia verso l'IT, ma per dargli argomenti e supporto.
Dal libro
«Un board capisce l'impatto, la continuità, il tempo, la responsabilità.»
— *NIS2. La carta che guida*, capitolo 11
Uno spunto in più
Stampate le sei domande e portatele alla prossima riunione. Al terzo trimestre, sarà l'IT a portarvi le risposte prima che le chiediate.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.