Sono l'unico a occuparmi di sicurezza in azienda
In molte PMI la sicurezza è sulle spalle di una persona sola, spesso insieme a tutto il resto. Ecco come scegliere le priorità e non farsi schiacciare.
Il problema
Sei il referente sicurezza, ma anche l'IT, il supporto agli utenti, il contatto con i fornitori. Ogni giorno arrivano urgenze, la sicurezza scivola alla sera o al weekend. La direzione si aspetta che "ci pensi tu", ma non ti ha dato né tempo né mandato. È il modo più rapido per bruciarsi e lasciare l'azienda scoperta.
Come capire se ti riguarda
- Non hai un mandato scritto né ore dedicate alla sicurezza.
- Ti senti responsabile di tutto senza poter decidere quasi nulla.
- Le priorità cambiano ogni giorno a seconda dell'ultima emergenza.
- Se ti assenti una settimana, nessuno sa cosa fare.
Il primo passo
Chiedi un mandato, non uno strumento: una nomina scritta, ore riservate ogni settimana, un canale diretto con la direzione. Senza quello, ogni altra cosa resta buona volontà.
Come risolverlo
- Pochi cantieri alla volta. Tre priorità per trimestre, decise con la direzione e scritte. Tutto il resto aspetta. *Evidenza: piano trimestrale approvato.*
- Parti dalle basi. MFA, backup protetti e provati, aggiornamenti, privilegi: proteggono molto con poco tempo.
- Delega ciò che non è strategico. Monitoraggio notturno, analisi delle vulnerabilità, formazione: possono essere servizi esterni. Tu tieni la regia.
- Coinvolgi gli altri. Ogni responsabile di area risponde dei rischi dei propri servizi. La sicurezza non è solo tua.
- Documenta per non essere indispensabile. Procedure brevi, contatti, password custodite in modo sicuro e accessibile a chi deve sostituirti.
Come evitare che si ripeta
Rivedi carico e priorità con la direzione ogni trimestre. Se il lavoro cresce più delle risorse, mettilo per iscritto: è un rischio aziendale, non un problema personale.
Quando chiedere aiuto
Un CISO a servizio o un partner di sicurezza può affiancarti nelle decisioni più difficili e darti peso verso la direzione. Confrontati anche con altri colleghi: le comunità di professionisti aiutano a non sentirsi soli.
Dal libro
«L'errore numero uno è cominciare comprando qualcosa.»
— *NIS2. La carta che guida*, capitolo 14
Uno spunto in più
Scrivi su un foglio le tre cose che faresti se avessi un giorno a settimana solo per la sicurezza. Portalo in direzione: è la tua prima richiesta di mandato.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.