Quanto dobbiamo investire in sicurezza?
Né una percentuale presa da un report, né la cifra che resta a fine anno. Il budget giusto nasce da quanto vi costerebbe fermarvi.
Il problema
L'IT chiede budget per strumenti dal nome incomprensibile, i fornitori propongono pacchetti "completi", la direzione non sa se sta spendendo troppo o troppo poco. Spesso si decide per confronto ("quanto spendono gli altri?") o per paura, dopo aver letto dell'attacco a un concorrente. Nessuno dei due è un criterio.
Come capire se ti riguarda
- Il budget di sicurezza è una voce dentro il budget IT, senza obiettivi propri.
- Le spese arrivano a pezzi, tutte "urgenti", senza un piano.
- Non sapete quanto vi costerebbe un fermo di un giorno o di una settimana.
- Dopo l'acquisto nessuno verifica se lo strumento ha ridotto il rischio.
Il primo passo
Chiedete una stima a chi conosce i numeri: quanto fatturato, quali penali, quali clienti perdereste se i servizi principali si fermassero per tre giorni? Quella cifra è il metro del vostro budget.
Come risolverlo
- Partite dall'impatto. Per i servizi critici, stimate il danno di un fermo nel tempo: un'ora, un giorno, una settimana. *Chi: direzione con amministrazione e responsabili.*
- Confrontate misura e danno evitato. Ogni proposta deve dire quale rischio riduce e di quanto. Una misura che costa più del danno che evita va ripensata. *Evidenza: scheda per ogni investimento.*
- Prima le basi. Autenticazione a più fattori, backup protetti e provati, aggiornamenti, gestione degli accessi: costano poco rispetto a quanto proteggono.
- Contate anche le persone. Ore interne, formazione, un supporto esterno quando serve. Uno strumento senza chi lo gestisce è spesa, non sicurezza.
- Fate un piano su tre anni. Con priorità e tappe, rivisto ogni anno. *Evidenza: piano approvato dalla direzione.*
Come evitare che si ripeta
Il budget di sicurezza torna ogni anno con una revisione: cosa abbiamo fatto, cosa è cambiato nel rischio, cosa serve adesso. Diventa una voce stabile, non un'emergenza.
Quando chiedere aiuto
Se non avete chi sappia stimare il rischio in euro, un CISO a servizio o un consulente può costruire con voi la prima analisi d'impatto. È il lavoro che rende sensati tutti gli acquisti dopo.
Dal libro
«La valutazione quantitativa, invece, mette numeri veri sulle scelte: euro e tempi, perdita attesa, costo di una misura rispetto al danno che evita.»
— *NIS2. La carta che guida*, capitolo 6
Uno spunto in più
Alla prossima richiesta di budget, chiedete una sola cosa in più: "Se non lo compriamo, cosa può succedere e quanto ci costa?". La qualità della risposta vi dirà molto.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.