Nel 2024 le aziende adotteranno strategie di gestione del rischio più proattive, non solo per cercare di contrastare le minacce dolose e le violazioni dei dati, ma anche per conformarsi con successo al numero crescente di normative in materia di sicurezza informatica.
Con il notevole ampliamento del panorama delle minacce, soprattutto in questa era dell’intelligenza artificiale, cresce sempre più l’esigenza per le aziende di garantire la trasparenza sugli incidenti di sicurezza e di rendere pubblici attacchi e violazioni. Queste due realtà spingeranno le aziende a evolvere le proprie strategie di sicurezza informatica per diventare resilienti alle minacce informatiche.
Perché proprio ora la resilienza informatica?
La resilienza informatica sta assumendo un ruolo di primo piano per molte organizzazioni in tutto il mondo, poiché le autorità di regolamentazione e i legislatori cercano di rafforzare la trasparenza in materia di incidenti di sicurezza informatica e di preparazione alle emergenze.
«Vogliono che i dirigenti aziendali chiariscano se e in che modo la sicurezza informatica rientri nella strategia aziendale, nei processi di governance, nella pianificazione finanziaria e nell’allocazione del capitale», ha affermato Melissa Hathaway, presidente di Hathaway Global Strategies e presidente del Cyber Resilience Council di Commvault, nel nostro rapporto “7 Emerging Trends in Cyber Resilience”.
La normativa sulla sicurezza informatica della SEC, il programma IRAP (Information Security Registered Assessors Program) in Australia, il DORA nell’Unione Europea e persino le normative a livello statale come i “Codes, Rules, and Regulations” di New York (23 NYCRR Parte 500) stanno spingendo le aziende ad adottare una politica di trasparenza.
In questa sede esaminiamo i requisiti normativi, sia quelli già in vigore che quelli emergenti, che i responsabili della sicurezza informatica devono padroneggiare per garantire che le aziende di cui si occupano raggiungano sia la conformità normativa che la resilienza informatica.
SEC
La recente norma della SEC impone ai soggetti registrati di rendere noti gli incidenti rilevanti in materia di sicurezza informatica. Le conseguenze di tale norma rendono necessario che i responsabili della sicurezza e i dirigenti di alto livello agiscano in perfetta sintonia per quanto riguarda gli incidenti di sicurezza informatica e la loro segnalazione. Inoltre, la norma della SEC richiede alle società di illustrare, nei documenti annuali presentati, in che modo la sicurezza informatica e la relativa supervisione si inseriscano nel loro programma generale di gestione dei rischi.
«Che un’azienda perda uno stabilimento a causa di un incendio o milioni di file a seguito di un incidente di sicurezza informatica, ciò potrebbe avere un impatto rilevante per gli investitori», ha affermato in una dichiarazione il presidente della SEC Gary Gensler.
A quasi un quarto del 2024, sono state presentate alla SEC alcune comunicazioni 8-K relative a incidenti informatici, e le società con esercizio finanziario chiuso al 31 dicembre stanno iniziando a pubblicare i bilanci 10-K con formulazioni aggiornate in materia di resilienza informatica.
Regolamento 23 NYCRR, Parte 500
Il Dipartimento dei Servizi Finanziari di New York (NYDFS) ha emanato il Secondo Emendamento al Capitolo 23 del Codice, delle Norme e dei Regolamenti di New York (23 NYCRR Parte 500) al fine di rafforzare e proteggere i sistemi informativi e finanziari dalla crescente diffusione e sofisticazione degli attacchi informatici. La legge impone agli istituti finanziari soggetti alla giurisdizione del NYDFS di attuare e mantenere un programma di sicurezza informatica che includa procedure volte a salvaguardare i dati sensibili dei clienti dalle minacce alla sicurezza e a gestire i rischi informatici.
Tra i requisiti di conformità al 23 NYCRR 500 figurano diversi obiettivi che le aziende soggette al NYCRR 500 devono impegnarsi a soddisfare. Innanzitutto, il regolamento richiede alle entità di istituire e mantenere un programma di sicurezza informatica volto a salvaguardare la riservatezza, l’integrità e la disponibilità dei propri sistemi informatici. Il programma dovrebbe gestire i rischi in diverse aree operative, tra cui la sicurezza delle informazioni, la governance dei dati, l’inventario delle risorse, il funzionamento dei sistemi, la sicurezza dei sistemi e delle reti, la privacy dei dati dei clienti e altro ancora.
La legge impone alle aziende di effettuare test di penetrazione e valutazioni delle vulnerabilità. E l’elenco degli obblighi per i soggetti interessati non finisce qui.
DORA
Anche i responsabili della sicurezza informatica e i dirigenti aziendali stanno seguendo con attenzione l’avvicinarsi delle scadenze previste dal Digital Operational Resilience Act (DORA).
Il DORA è entrato in vigore il 16 gennaio 2023, con un periodo di attuazione di due anni. Gli enti finanziari interessati dovranno conformarsi al regolamento entro il 17 gennaio 2025. Sebbene la legge sia rivolta alle organizzazioni dell’Unione europea (UE), anche i soggetti al di fuori dell’UE operanti nei settori finanziario e delle tecnologie dell’informazione e della comunicazione (TIC) devono adoperarsi per allinearsi al DORA qualora forniscano servizi TIC essenziali a enti finanziari con sede nell’UE.
Il DORA istituisce un quadro normativo per la resilienza operativa digitale, in base al quale tutti i soggetti interessati devono adoperarsi per resistere, reagire e riprendersi da interruzioni e minacce legate alle tecnologie dell’informazione e della comunicazione (TIC). La legge mira a prevenire e mitigare le minacce informatiche. Il DORA si articola in cinque pilastri fondamentali, che sono i seguenti:
- Gestione del rischio ICT
- Segnalazione degli incidenti relativi alle TIC
- Test di resilienza operativa digitale
- Rischio di terzi nel settore delle TIC
- Condivisione delle informazioni
DORA mira a migliorare la resilienza delle infrastrutture digitali critiche di fronte alle minacce e agli attacchi alla sicurezza informatica. Allineandosi ai principi di DORA, le organizzazioni si avvicinano al miglioramento del proprio profilo di resilienza informatica.
Diventa resiliente alle minacce informatiche
Se il panorama delle minacce in continua espansione non bastasse a far comprendere appieno la necessità di diventare resilienti dal punto di vista informatico, la valanga di nuove normative ribadisce con forza questo concetto. Le aziende devono comprendere quali siano i propri obblighi in materia di rendicontazione.
Per molte aziende, l’adeguamento alle innumerevoli normative richiederà che le competenze in materia di sicurezza informatica non si limitino al CISO, ma siano diffuse in tutta l’organizzazione. Ciò significa che i responsabili della sicurezza devono collaborare con i dirigenti di livello C e con il consiglio di amministrazione per garantire trasparenza e resilienza informatica.
Per ulteriori informazioni su come Commvault Cloud possa aiutare la vostra organizzazione nel percorso verso la resilienza informatica, visitate il sito: https://www.commvault.com/platform.
