Non so come raccontare la sicurezza al board
Il board non vuole sapere quante minacce avete bloccato, ma se l'azienda può fermarsi e cosa serve per evitarlo. Pochi indicatori, una storia chiara.
Il problema
Il CISO porta in consiglio slide con migliaia di attacchi bloccati, punteggi di vulnerabilità, grafici colorati. Il board annuisce e passa al punto successivo. Il messaggio non arriva perché parla la lingua sbagliata: il consiglio ragiona in rischio, continuità, soldi e responsabilità.
Come capire se ti riguarda
- Le presentazioni sono piene di numeri tecnici senza un "quindi".
- Il board non ha mai preso una decisione dopo il vostro intervento.
- Ogni trimestre cambiate indicatori, e non si vede un andamento.
Il primo passo
Riscrivete la prossima presentazione partendo da una sola domanda: "Quali servizi rischiano di fermarsi, e cosa vi chiedo di decidere?".
Come risolverlo
- Tre o quattro rischi, non trenta. Legati ai servizi critici, con impatto stimato, tendenza e misure in corso. *Evidenza: registro rischi sintetico.*
- Pochi indicatori stabili. Per esempio: copertura MFA, tempo di chiusura delle vulnerabilità critiche, esito delle prove di ripristino, tempo di segnalazione degli incidenti. Sempre gli stessi, per vedere l'andamento.
- Distinguete misure e risultati. Non "abbiamo comprato X", ma "il tempo di ripristino è sceso da cinque giorni a due".
- Portate una decisione. Ogni intervento si chiude con una richiesta chiara: approvare, finanziare, accettare un rischio. *Evidenza: decisione a verbale.*
- Raccontate gli incidenti con onestà. Cosa è successo, cosa ha funzionato, cosa no, cosa cambiamo. La fiducia nasce da lì.
Come evitare che si ripeta
Un formato fisso, una pagina per trimestre, un riesame annuale più ampio. Il board impara a leggerlo e comincia a fare le domande giuste.
Quando chiedere aiuto
Fate rileggere la presentazione a qualcuno della direzione finanziaria prima della riunione. Se non la capisce lui, non la capirà il board.
Dal libro
«Un board capisce l'impatto, la continuità, il tempo, la responsabilità.»
— *NIS2. La carta che guida*, capitolo 11
Uno spunto in più
Chiudete ogni presentazione con una frase sola: "Se oggi dovessimo fermarci, ripartiremmo in…". È il numero che il board ricorderà.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.