Studio Legale Dalla Riva . via Flavio Ostilio 14 . 32100 - Belluno - tel. 0437950724 - email info (at) studiodallariva.it
Da oltre tre anni collaboro con Stefano Benato, esperto di cyber security 👨💻, per offrire servizi di consulenza e formazione relativi alla sicurezza informatica 🖥️ e protezione dei dati personali 🛡️
Quando parliamo con le aziende 🏢, quasi sempre per le PMI ci troviamo di fronte al problema della difficoltà di comunicazione tra la direzione aziendale (di solito CEO e C.d.A.) e il responsabile IT 🗣️.
Il responsabile IT chiede di parlare di cyber security con la direzione, portando magari un piano di sicurezza che prevede un certo budget da impiegare in nuove risorse umane, in nuove tecnologie con supporto esterno (EDR, AI, backup, SOC …) 📊 e poi anche la formazione dei dipendenti sul social engineering 🎓.
Già solo essere ascoltati è difficile perché c’è sempre qualcos'altro di urgente ⏰ e comunque solo dal CEO, anche perché la cyber security al C.d.A. interessa poco e comunque non è di loro competenza 🤷♂️.
C’è da dire che spiegare la cyber security in modo chiaro e semplice, senza astrusi richiami tecnici, non è proprio così facile e richiede una certa capacità di comunicazione che non sempre i responsabili IT hanno maturato 🗨️.
Questa incomunicabilità è tale da portare alle dimissioni del responsabile IT 🚪, che in certi casi si ripetono regolarmente, per cui l’azienda può trovarsi anche senza responsabile IT per lunghi periodi ⌛.
Una dimostrazione evidente di questa mentalità gestoria sono le dichiarazioni rilasciate da un direttore generale di fronte a un attacco cyber ad un’azienda veneta: «Ci siamo sentiti soli, isolati, abbandonati; questo non è il nostro campo di gioco. Gli imprenditori del Nordest sono abituati a lavorare, non ad affrontare situazioni del genere. Associazioni di categoria e istituzioni dovrebbero esserci più vicine» 💬.
Sul punto vd. il mio post e video di commento con anche Stefano Benato📝
Gli attacchi hacker sono diventati così frequenti e dannosi che solo un organo gestorio che considera la cyber security un asset strategico fondamentale per la tutela del proprio business aziendale, può essere efficace per mitigare la minaccia cyber 🛡️🔒.
La governance della cyber security a livello di direzione è il presupposto indefettibile perché possa essere veramente efficace 💼.
Questo assunto è fatto proprio anche dal legislatore comunitario, dove si arriva, per determinate aziende, anche ad obbligare l’organo gestorio a formarsi in materia di cyber security 📜.
L’art. 5 del regolamento (UE) 2022/2554, meglio conosciuto come regolamento DORA, che riguarda le organizzazioni del settore finanziario, prevede nel § 2, lett. a), la responsabilità finale in ambito cyber security dell’organo gestorio ed inoltre nel § 4 prevede:
“4. I membri dell’organo di gestione dell’entità finanziaria mantengono attivamente aggiornate conoscenze e competenze adeguate per comprendere e valutare i rischi informatici e il loro impatto sulle operazioni dell’entità finanziaria, anche seguendo una formazione specifica su base regolare, commisurata ai rischi informatici gestiti.” 👩🏫.
Norme simili le troviamo anche nella direttiva (UE) 2022/2555, conosciuta come direttiva NIS 2, dove nell’art. 20 § 1 si prevede l’obbligo dell’organo gestorio di approvare le misure di sicurezza e sovraintendere alla loro attuazione, sotto la propria responsabilità 📋.
Non solo, ma nel § 2, si prevede che:
“2. Gli Stati membri provvedono affinché i membri dell'organo di gestione dei soggetti essenziali e importanti siano tenuti a seguire una formazione e incoraggiano i soggetti essenziali e importanti a offrire periodicamente una formazione analoga ai loro dipendenti, per far sì che questi acquisiscano conoscenze e competenze sufficienti al fine di individuare i rischi e valutare le pratiche di gestione dei rischi di cibersicurezza e il loro impatto sui servizi offerti dal soggetto” 🌍.
La conoscenza di cyber security è diventata una competenza gestionale fondamentale che non può essere trascurata dalla direzione aziendale e per chi vuole rivestire tale ruolo 🎓.
La formazione allora diventa un asset fondamentale per mitigare il rischio cyber non solo rivolta alla forza lavoro, ma anche ai membri della direzione, che spesso e volentieri si sottraggono alla formazione 👨🎓.
Io e Stefano Benato ci siamo resi conto che solo formando le persone verso la cultura della cyber security e della protezione dei dati personali, si può svilupparsi quella forma mentis in grado di riconoscere un attacco hacker e poi agire correttamente 🧠.
Per questo ci siamo dedicati ad offrire alle aziende servizi di consulenza volti alla costruzione di un ecosistema formativo personalizzato, che si sviluppa di solito in tre anni, con il preciso scopo di far attecchire quella cultura della sicurezza, senza la quale non è possibile mitigare il rischio cyber 🏢💡.
Per approfondimenti vedi:
Grazie per la tua attenzione…al prossimo articolo!
Like Back to Top Seen 48 times Liked 0 times
x
Subscribe to Updates
If you enjoyed this, why not subscribe to free email updates ?
Subscribe to Blog updates
Alternatively, you can subscribe via RSS 
All email subscriptions must be confirmed to comply with GDPR.