C-Level preparati sulla cyber security: una necessità e un’opportunità

Nell’universo manageriale italiano mancano ancora adeguate competenze per rispondere in maniera proattiva alle nuove minacce informatiche in cui la percezione del rischio è ancora bassa. Gli attacchi sferrati dai cyber criminali ad imprese pubbliche e private sono (purtroppo) un tema sempre di stretta attualità ed è opinione comune che non si sia fatto ancora abbastanza per aumentare la conoscenza e la consapevolezza di questo fenomeno dentro le organizzazioni, e trasversalmente a tutte le risorse aziendali.

Il corso post-laurea “Executive Skill Lab Resilient Information Manager” (in partenza il 30 novembre) organizzato da Luiss Business School in collaborazione con Innovery, multinazionale italiana specializzata in soluzioni di sicurezza informatica, va per l’appunto nella direzione di sensibilizzare il management, e soprattutto i manager che si possono definire “non addetti ai lavori” ma sono comunque parte attiva nella difesa aziendale, a gestire al meglio le minacce cyber, facendo proprie nozioni di visione strategica-organizzativa per una governance efficace della sicurezza delle informazioni in rete.

Un percorso di apprendimento “blended” unico in Italia assicura Pamela Pace, la responsabile del corso e Direttrice Generale di Obiectivo, società controllata dal Gruppo Innovery, il cui obiettivo è principalmente quello di stimolare una svolta culturale importante in un Paese in cui la percezione del rischio cyber è ancora (troppo) bassa.

Perché è ancora così diffuso il problema della scarsa consapevolezza dei rischi informatici? È una mancanza di responsabilità del management?
In generale è un tema che può considerarsi ancora “nuovo” e che tipicamente viene associato a tematiche tecnologiche, e quindi di diretta competenza dei manager attivi in questa area. È una credenza molto diffusa pensare che con la sola applicazione delle tecnologie l’organizzazione sia completamente coperta dai rischi cyber e questo falso mito è stato in parte indotto dagli operatori di settore, che troppo spesso affrontano la gestione della cyber security come un'applicazione puntuale di contromisure tecniche e non, come sarebbe invece corretto, attraverso un processo diffuso all'interno dell'organizzazione.

Perché un C-Level dovrebbe essere formato sulla cybersecurity quando in azienda (nelle medie e grandi) vi sono già figure come il Cio o il Ciso?
Perché la cyber security è per l'appunto un processo che deve essere pensato e condiviso dentro l'azienda, e non una mera applicazione di tecnologie. Volendo semplificare il concetto: se adottiamo misure di sicurezza per il nostro appartamento abbiamo una ragionevole certezza di essere protetti, ma se non ne estendiamo le regole d’uso a tutti gli abitanti della casa, si potranno verificare comunque dei problemi. Nelle aziende vale più o meno lo stesso principio. Si deve innanzitutto capire quali siano le informazioni che si vogliono proteggere e il modello di business ed organizzativo, poi definire una strategia di cyber security adatta e quindi declinarla operativamente. Questa declinazione operativa passa per tante attività non tecnologiche che sono, e sempre più saranno, sotto la responsabilità e la supervisione dei C-level. Questa è quella che noi chiamiamo governance diffusa.