Non sappiamo quali servizi sono davvero critici
Se tutto è critico, niente lo è. Partire dai servizi, e non dai server, è il modo per capire cosa proteggere per primo.
Il problema
Chiedete a cinque persone dell'azienda quali sono i servizi critici e avrete cinque elenchi diversi. Oppure uno solo, dove c'è scritto tutto. Senza una risposta condivisa, la sicurezza protegge ciò che è più visibile, non ciò che conta di più.
Come capire se ti riguarda
- Non esiste un elenco scritto dei servizi che l'azienda offre.
- Le priorità di ripristino le decide chi è di turno, al momento.
- Gli investimenti vanno su tecnologie, non su servizi.
- Nessuno sa quanto può restare fermo ciascun servizio prima che il danno diventi serio.
Il primo passo
Scrivete in una riga la missione dell'azienda, poi elencate le attività con cui la realizzate ogni giorno. Sono quelle i vostri servizi.
Come risolverlo
- Elencate i servizi. Verso clienti, verso l'interno, verso i partner. Bastano dieci o quindici voci. *Chi: direzione con i responsabili di area. Evidenza: elenco approvato.*
- Scendete nei processi. Per ogni servizio, i passaggi con cui si svolge. È lì che si capisce dove può rompersi. *Chi: responsabili di processo.*
- Date un peso. Per ogni servizio: cosa succede se si ferma per un'ora, un giorno, una settimana? Danno economico, legale, reputazionale, verso le persone. *Evidenza: tabella di impatto.*
- Scegliete i critici. Quelli il cui fermo prolungato mette in crisi l'azienda o i clienti. Di solito sono pochi. *Evidenza: decisione della direzione.*
- Collegate tutto il resto. Persone, sistemi, fornitori e sedi vanno collegati ai servizi che abilitano. Così ogni asset ha un significato.
Come evitare che si ripeta
Rivedete l'elenco almeno una volta l'anno e ogni volta che nasce un servizio nuovo, cambia un fornitore importante o arriva un'acquisizione.
Quando chiedere aiuto
Se i responsabili non trovano un accordo sul peso dei servizi, serve qualcuno che conduca le interviste in modo neutrale e riporti tutto in direzione.
Dal libro
«La distinzione conta perché la sicurezza si gioca a livello di processi, ma la priorità si decide a livello di servizi.»
— *NIS2. La carta che guida*, capitolo 3
Uno spunto in più
Provate il test del lunedì mattina: se domani un servizio non partisse, chi vi chiamerebbe per primo? Un cliente, un'autorità, un fornitore? La risposta vi dice molto sulla sua criticità.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.