Non serve un consulente per iniziare a capire dove un'organizzazione è più esposta. Un percorso semplice per individuare le priorità e decidere dove investire.
"Siamo sicuri?" è una domanda a cui nessuno sa rispondere. "Dove siamo più esposti, e cosa conviene fare prima?" invece sì. È lo scopo della valutazione del rischio: non eliminare ogni pericolo, impresa impossibile, ma capire quali contano di più per decidere dove mettere tempo e risorse.
La valutazione del rischio è richiesta dal GDPR per i dati personali e dalla NIS2 per chi vi rientra. Ma anche un'organizzazione che non ha obblighi specifici ne ricava un vantaggio pratico: smettere di inseguire l'ultima minaccia nelle notizie e concentrarsi su ciò che conta.
Ecco un metodo semplice, adatto a una prima analisi da fare con i responsabili interni.
Elencate i servizi, i processi e i dati senza i quali l'organizzazione si ferma o subisce danni gravi. Ad esempio: la fatturazione e i pagamenti, il gestionale delle pratiche, l'archivio dei clienti o dei cittadini, la posta elettronica, il sito con i servizi online, la produzione.
Non serve un elenco infinito: dieci o quindici voci sono sufficienti per partire. Per ciascuna indicate chi ne è responsabile e quali sistemi o fornitori la supportano.
Per ogni voce, chiedetevi quali eventi potrebbero comprometterla. Gli scenari più comuni sono pochi e ricorrenti:
Valutate ogni scenario con una scala semplice, ad esempio bassa, media, alta. Considerate cosa rende l'evento più o meno probabile: quante persone hanno accesso, quanto i sistemi sono esposti a internet, se esistono già protezioni come l'autenticazione a più fattori, se ci sono stati episodi simili in passato.
Valutate l'impatto con la stessa scala. Pensate a diverse dimensioni: quanto tempo resteremmo fermi, quanto costerebbe, quali conseguenze per clienti o cittadini, quali obblighi di legge scatterebbero, quale danno di reputazione.
Combinando probabilità e impatto, ogni scenario trova il suo posto. Quelli con probabilità e impatto entrambi alti sono le vostre priorità.
Per i rischi principali decidete come trattarli:
Per ogni azione indicate un responsabile e una scadenza. Senza questi due elementi, l'analisi resta un esercizio teorico.
La valutazione non è un documento da fare una volta e archiviare. Va rivista almeno una volta l'anno e ogni volta che cambia qualcosa di importante: un nuovo sistema, un nuovo fornitore critico, un incidente, una riorganizzazione.
Questo metodo serve a iniziare e a coinvolgere chi conosce davvero i processi dell'organizzazione. Per gli aspetti tecnici, come l'esposizione dei sistemi o la qualità dei backup, o quando le norme richiedono un'analisi strutturata, conviene farsi affiancare da professionisti. Arrivare a quel confronto con le priorità già chiare rende il lavoro più rapido ed efficace.
Una falla in un programma è come una finestra lasciata socchiusa. Cosa sono le vulnerabilità, come vengono sfruttate e perché gli aggiornamenti sono la prima difesa.
Durante un attacco non c'è tempo per decidere chi fa cosa. Gli elementi di un piano semplice, preparato prima, che permette di reagire in fretta e senza confusione.
Stazioni, alberghi, bar e sale d'attesa offrono connessioni gratuite. Cosa può davvero succedere quando le usi per lavoro e come collegarti in sicurezza.