IT e direzione non si capiscono
L'IT parla di sigle, la direzione di budget. Senza un traduttore la sicurezza resta una sensazione: ecco come darle una lingua comune.
Il problema
La direzione chiede: "Siamo sicuri?". L'IT risponde con nomi di apparati, percentuali di copertura, vulnerabilità. Tutti annuiscono, nessuno ha capito, e in sala resta la sensazione vaga che "se ne stiano occupando". Intanto i rischi veri non arrivano mai sul tavolo dove si decidono soldi e priorità.
Come capire se ti riguarda
- Il budget di sicurezza si decide "a occhio" o solo dopo un incidente.
- In consiglio la sicurezza è un punto tecnico, non un rischio d'impresa.
- Nessuno sa dire quali servizi aziendali si fermerebbero se cadesse un server.
- L'IT si sente inascoltato, la direzione si sente presa in ostaggio dalle sigle.
Il primo passo
Cambiate la domanda. Non "siamo sicuri?", ma "cosa non deve fermarsi, e cosa succede se si ferma?". È una domanda che la direzione sa porre e l'IT sa tradurre.
Come risolverlo
- Nominate un traduttore. Una persona che conosca abbastanza la tecnica e abbastanza il business da fare da ponte. *Chi: direzione. Evidenza: nomina con ruolo e compiti scritti.*
- Parlate di servizi, non di macchine. Ogni rischio tecnico va riportato al servizio che mette in pericolo: fatturazione, produzione, spedizioni. *Chi: IT con il traduttore.*
- Usate tre parole sole: probabilità, impatto, costo. Ogni proposta arriva in direzione con queste tre informazioni e una scelta da fare. *Evidenza: verbale con la decisione presa.*
- Fissate un appuntamento fisso. Un punto sicurezza in ogni riunione di direzione, anche di dieci minuti. *Evidenza: ordine del giorno.*
- Formate chi decide. La NIS2 chiede agli organi di amministrazione di approvare le misure, sovrintendere alla loro attuazione e seguire una formazione. *Evidenza: attestati e calendario.*
Come evitare che si ripeta
Tenete un registro dei rischi scritto in italiano corrente: ogni voce dice cosa può succedere, a quale servizio, chi ne risponde e cosa si è deciso. Se un consigliere non lo capisce, va riscritto.
Quando chiedere aiuto
Quando la discussione si blocca sempre sugli stessi punti, un facilitatore esterno (un CISO a servizio, un consulente) può fare da traduttore finché non ne crescete uno interno.
Dal libro
«Finché l'IT e la Direzione parlano due lingue diverse, la barca naviga senza timoniere.»
— *NIS2. La carta che guida*, capitolo 2
Uno spunto in più
Alla prossima riunione chiedete all'IT di spiegare il rischio più grave come lo spiegherebbe a un cliente. Se ci riesce in due minuti, avete già cominciato a tradurre.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.