Laurence CadieuxOgni professionista IT che si rispetti, con la sua fantastica postazione multi-monitor, l’apprezzamento per gli aspetti più raffinati della cultura geek e l’amore incondizionato per il lavoro da remoto, sa che una sicurezza IT solida non è un semplice valore aggiunto, né tantomeno una “best practice”. È assolutamente, categoricamente e senza alcun dubbio essenziale.
In effetti, è così da diversi decenni. Ma negli ultimi anni, l’importanza critica di una sicurezza IT solida non può essere sottovalutata. Considerando le conseguenze potenzialmente catastrofiche di una violazione o di una fuga di dati — il costo attuale si aggira intorno ai 200.000 $ USD per incidente ed è in continua crescita — è difficile immaginare che qualcuno possa considerare la sicurezza IT solida come qualcosa di diverso dall’essenziale.
Eppure, nonostante questa verità, molti dirigenti al di fuori del mondo IT — per il resto estremamente intelligenti, capaci, prudenti e visionari — fanno esattamente questo: non riescono a vedere una sicurezza IT solida come un requisito di base. Cosa sta succedendo?
Il motivo è probabilmente legato alla parola “solida”. Alcuni dirigenti senza un background IT — categoria che comprende molti imprenditori, CEO, CFO, VP delle operazioni, ecc. — possono erroneamente credere che la propria azienda stia già investendo in una sicurezza IT solida, specialmente se non hanno (ancora) subito una violazione o una fuga di dati grave e spaventosa. Di conseguenza, ritengono che non ci sia bisogno di aumentare il budget per la sicurezza IT, né di concedere ai propri professionisti IT maggiore autorità decisionale in termini di accesso, ossia su chi in azienda possa fare cosa (e dove, quando, come e perché).
Inoltre, i professionisti IT che continuano a suonare il campanello d’allarme “ABBIAMO BISOGNO DI UNA SICUREZZA IT PIÙ SOLIDA!” nelle conversazioni, nelle note interne e nelle riunioni possono essere percepiti come allarmisti mossi da un qualche interesse personale. Ovviamente, niente potrebbe essere più lontano dalla verità!
Si pensi a questo esempio: i pompieri non agiscono per interesse personale quando avvertono le persone di installare e mantenere un numero adeguato di rilevatori di fumo nelle proprie case. Allo stesso modo, i professionisti IT non hanno alcuna motivazione personale nel convincere i decisori della propria azienda a prendere più seriamente la sicurezza IT. Al contrario, aumentare il budget per la sicurezza IT e attirare maggiore attenzione su di essa significa PIÙ lavoro per i professionisti IT, non MENO! In realtà, l’unico obiettivo dei professionisti IT è mantenere la propria azienda sicura e produttiva in un panorama di minacce esterne e interne che diventa costantemente più pericoloso e più difficile da difendere.
Allora, cosa possono fare i professionisti IT che non dispongono delle risorse necessarie per contrastare i malintenzionati — e per mitigare i danni e il caos causati da utenti finali negligenti — per convincere finalmente il proprio capo (o forse i propri numerosi capi!) che investire ORA in una sicurezza IT solida è una scelta strategica e non superficiale? Suggeriamo che qualsiasi proposta, presentazione o argomentazione dovrebbe coprire questi cinque motivi principali:
Una sicurezza IT solida aiuta a ottenere e mantenere la fiducia dei clienti
Il miliardario Warren Buffet ha detto che “ci vogliono 20 anni per costruire una reputazione e cinque minuti per rovinarla. Se ci si pensa bene, si agisce in modo diverso”.
Non vogliamo certo correggere le parole dell’Oracolo di Omaha. Ma pensiamo che non si offenderebbe se aggiungessimo che, in realtà, possono bastare meno di cinque minuti perché un attacco o una violazione si verifichi e provochi danni duraturi, o persino permanenti, alla reputazione. Si consideri che:
-
Oltre l’80% dei consumatori considera la fiducia un fattore determinante nelle proprie decisioni di acquisto.
-
L’88% dei consumatori afferma che la fiducia è ancora più importante nei periodi di cambiamento (e questo è decisamente il momento che stiamo vivendo!).
-
Il 70% dei consumatori vuole sapere che la protezione dei dati è considerata una priorità assoluta dalle aziende con cui intrattiene rapporti commerciali.
Il messaggio che i professionisti IT devono trasmettere al proprio capo (o ai propri capi) è chiaro: destinare più risorse alla sicurezza IT non è solo una questione TECNICA. È fondamentale per ottenere e mantenere la fiducia dei clienti, il che la rende una questione AZIENDALE. Le aziende considerate poco affidabili perché non hanno investito in una sicurezza IT solida sono costrette a spendere somme enormi per cercare di riprendersi. Ovviamente, questa spesa è di gran lunga superiore a quella che sarebbe stata necessaria per rafforzare la sicurezza IT in primo luogo. Il vecchio adagio “prevenire è meglio che curare” si applica perfettamente in questo caso.
Una sicurezza IT solida è necessaria per la conformità
Abbiamo appena osservato che molti clienti interromperanno i rapporti commerciali con un’azienda che non ha rafforzato in modo proattivo la propria sicurezza IT (anche se quei clienti stessi non sono stati direttamente o materialmente colpiti da un attacco).
Tuttavia, ci sono anche clienti che si rifiuteranno categoricamente di avere rapporti commerciali con un’azienda la cui infrastruttura, governance e controlli di sicurezza IT non siano stati valutati e verificati da terze parti. Esistono diversi standard e programmi di conformità affidabili, come:
Il consiglio per i professionisti IT, in questo caso, è di spiegare chiaramente che tollerare una sicurezza IT debole (e se la sicurezza IT non è solida, allora è debole — non esiste una via di mezzo!) significa che esiste un gruppo ampio e in crescita di potenziali clienti che semplicemente non considererà l’idea di avviare una collaborazione. Potrebbero apprezzare il prodotto di un’azienda e trovarne il prezzo conveniente e interessante. Ma se non si sentono sicuri riguardo al profilo di sicurezza IT dell’azienda — come dimostrato dalla conformità agli standard e ai programmi rilevanti — si rivolgeranno a un concorrente.
Dato che l’unica cosa che tiene svegli i dirigenti la notte è la prospettiva di lasciare sul tavolo ricavi e profitti, comunicare quanto sopra in termini pratici può contribuire notevolmente a creare quel momento di “illuminazione” capace di cambiare il paradigma, in cui la sicurezza IT smette di essere percepita come una spesa inevitabile e comincia a essere vista come un investimento redditizio. Una sicurezza IT solida amplia il mercato, includendo più clienti. Una sicurezza IT debole restringe il mercato e pone le aziende in una posizione di svantaggio rispetto alla concorrenza.
Una sicurezza IT solida può essere necessaria per l’assicurazione
Si tratta di una tendenza che abbiamo visto accelerare notevolmente negli ultimi due anni: le aziende che hanno acquistato una polizza assicurativa contro i rischi informatici scoprono, al momento del rinnovo, che l’assicuratore richiede controlli di sicurezza IT più solidi — soprattutto per quanto riguarda la gestione degli accessi privilegiati (PAM).
Ovviamente, i professionisti IT che lavorano per aziende soggette a questo requisito possono sfruttarlo per ottenere maggiori risorse per la sicurezza IT (e magari inviare un biglietto di ringraziamento alla propria compagnia assicurativa per essere un’alleata nella loro battaglia per ottenere più budget e risorse!).
Tuttavia, anche i professionisti IT che lavorano per aziende senza un’assicurazione contro i rischi informatici (o il cui assicuratore, al momento, non ha richiesto controlli IT più solidi) possono citare questa tendenza per rafforzare le proprie argomentazioni. Ad esempio, i professionisti IT possono affermare: “Se un numero crescente di compagnie assicurative è così terrorizzato dal dover coprire i costi di una sicurezza IT debole, non dovremmo esserlo altrettanto anche noi?”
Una sicurezza IT solida invia il messaggio giusto ai dipendenti
Che si tratti di cadere nelle truffe di phishing, di condividere le password in modo insicuro e/o improprio, o di perdere laptop — e l’elenco potrebbe continuare — gli utenti finali sono sempre stati, e saranno sempre, l’anello più debole della catena della sicurezza IT.
Un’azienda che effettua investimenti adeguati nella sicurezza IT, e che ne dà risalto, invia un messaggio chiaro e convincente agli utenti finali: “Qui prendiamo molto sul serio la sicurezza IT solida, e ci aspettiamo che facciate lo stesso”.
Al contrario, un’azienda con una sicurezza IT debole si troverà costantemente ad affrontare problemi di credibilità quando invita gli utenti finali a praticare una buona igiene di sicurezza IT. Alcuni utenti finali noteranno la discrepanza tra ciò che i dirigenti richiedono e ciò che effettivamente fanno, e non prenderanno sul serio il messaggio.
I professionisti IT dovrebbero aiutare il proprio capo (o i propri capi) a comprendere le implicazioni di questa discrepanza: rende gli utenti finali MENO disposti a praticare una buona igiene della sicurezza, il che significa che la superficie di attacco si amplia e i rischi aumentano.
Una sicurezza IT solida è una questione etica
I professionisti IT dovrebbero cercare di aiutare i dirigenti a capire che sostenere una sicurezza IT solida non è solo la cosa INTELLIGENTE da fare, ma anche quella GIUSTA. Non si tratta solo di evitare costi e conseguenze. Si tratta anche di essere socialmente responsabili e di essere una buona azienda cittadina.
I dirigenti che guidano il cammino verso la sicurezza IT (o, più saggiamente, autorizzano e responsabilizzano i propri professionisti IT a farlo!) si guadagnano il diritto di sentirsi orgogliosi di “vivere i propri valori” sul lavoro. Perché quando le aziende oneste vincono la battaglia della sicurezza IT, i malintenzionati perdono.
In conclusione
I professionisti IT sanno che una sicurezza IT solida è obbligatoria, non opzionale. Ma convincere i propri capi e altri stakeholder — inclusi i “gatekeeper” che potrebbero non avere l’autorità formale di approvare nulla, ma che purtroppo hanno la capacità di ostacolare — può essere difficile e frustrante.
Ci auguriamo che i consigli riportati sopra possano aiutare i professionisti IT nella loro battaglia per ottenere il budget, le risorse e l’autorità necessari per mantenere la propria azienda sicura e produttiva. E i professionisti IT possono anche essere certi che Devolutions sarà al loro fianco, supportandoli in ogni fase del percorso!