Cyber resilience is more than just a buzzword – it’s a critical component of business strategy. So says Rosa Kariger, a leading expert in cybersecurity, who recently joined Commvault President and CEO Sanjay Mirchandani on the Podcast “Resilience Uncompromised”. Rosa riflette sulla sua esperienza come CISO presso Iberdrola e nel campo della sicurezza informatica al Forum economico mondiale e condivide preziose riflessioni su come le organizzazioni possano costruire una cultura della resilienza informatica.
Comprendere la resilienza informatica come rischio operativo
Cyber resilience isn’t just about having robust disaster recovery and backup systems. It’s about enabling your business to continue to function and provide essential services even when your IT infrastructure is compromised. Rosa emphasizes that cyber resilience should be integrated into your overall risk management strategy. This means treating cybersecurity as a strategic business enabler, not just a technical challenge.
L’importanza della preparazione
La preparazione è un pilastro fondamentale della resilienza informatica. Rosa sottolinea la necessità di pianificare diversi scenari, in particolare per quelle situazioni in cui si potrebbe verificare una perdita totale della connettività. È essenziale disporre di un piano B per le funzioni aziendali critiche. Ciò consente alla vostra organizzazione di mantenere operative le attività e continuare a servire i clienti durante un incidente informatico.
Responsabilità e rendicontazione ben definite
Per creare una cultura della resilienza informatica sono necessarie responsabilità e rendicontazione chiare. Rosa sottolinea che ogni dipendente, in particolare chi si occupa dell’implementazione delle tecnologie, dovrebbe essere ritenuto responsabile della sicurezza informatica dei propri processi. La sicurezza informatica non dovrebbe essere di esclusiva competenza del CISO o dei team IT, ma dovrebbe invece essere una responsabilità condivisa da tutta l’organizzazione.
I professionisti del settore tecnico dovrebbero essere incentivati a garantire la sicurezza informatica, poiché sono responsabili della qualità, dell’efficienza e dei costi delle tecnologie su cui lavorano. Questo approccio integra la sicurezza informatica nel cuore delle operazioni aziendali e garantisce che non venga considerata un aspetto secondario.
Il ruolo della funzione di sicurezza informatica
La funzione di sicurezza informatica dovrebbe fungere da consulente e da seconda linea di difesa. Ciò significa fornire indicazioni e informazioni all’organizzazione, mentre le responsabilità specifiche in materia di sicurezza informatica sono integrate nei team tecnici e operativi. In questo modo, la funzione di sicurezza informatica può offrire approfondimenti strategici e supporto, contribuendo a creare un’organizzazione più resiliente e sicura.
Misure concrete per rafforzare la resilienza informatica
Building a culture of cyber resilience is not just about implementing advanced security technologies; it’s about fostering a mindset where every employee understands and takes responsibility for cybersecurity. Here are some practical steps and real-world examples to help organizations achieve this:
- Integrate cyber risk into overall risk management: This means that risks associated with technology use are identified, accepted, and managed at all levels. By doing so, employees are better prepared to handle cyber incidents, maintaining continuous business continuity even when technology fails.
- Increase preparedness: Conduct regular scenarios of complete loss of connectivity or other major disruptions. This helps in increasing the organization’s tolerance to failure. For example, a financial institution might simulate a scenario where all digital transactions are halted, and employees must rely on manual processes to continue operations.
- Define clear roles and responsibilities: Confirm that every team, including technical and operational roles, has clear cybersecurity responsibilities. This distributed accountability makes everyone incentivized to maintain security. For instance, in an industrial setting, an engineer working on the digitalization of a process should be accountable for the cybersecurity of that process, not just the CISO.
- Provide proper training: Training is crucial to enable employees to manage cybersecurity risks effectively. Technical professionals should be trained to understand and mitigate cybersecurity risks in their specific roles. This verifies that they are knowledgeable and capable of implementing necessary safeguards.
- Implement a “sustain” strategy: Develop a Plan B to maintain continuous business during IT infrastructure disruptions. This could involve having backup systems, manual processes, or alternative communication channels. For example, a healthcare provider might have a plan to use paper records and manual check-ins if their electronic health records system goes down.
Seguendo questi passaggi, le organizzazioni possono costruire una solida cultura della resilienza informatica. Questo approccio aiuta tutti a prepararsi a gestire gli incidenti informatici, a garantire la continuità operativa e a proteggere le informazioni sensibili.
La resilienza informatica è un percorso, non una meta. Integrando la sicurezza informatica nelle vostre pratiche di gestione del rischio, promuovendo una cultura della responsabilità e mantenendo una forza lavoro ben preparata e informata, potrete contribuire a creare un’organizzazione resiliente, pronta ad affrontare qualsiasi sfida. Siate proattivi, tenetevi informati e rimanete resilienti.
