Nella puntata inaugurale del podcast “Continuous Compliance” di Commvault, Danielle Sheer, Chief Trust Officer, ha ospitato Howard Holton, COO di GigaOm, per discutere dell’evoluzione del panorama della conformità, delle vulnerabilità delle infrastrutture critiche e delle implicazioni della perdita di dati e della sicurezza informatica.
La discussione è stata al tempo stesso approfondita e stimolante, offrendo preziose riflessioni su come le organizzazioni possano proteggere meglio se stesse e i propri dati in un mondo sempre più digitale. Guarda qui l’episodio completo.
Il cambiamento nella percezione della conformità
La conformità è stata a lungo considerata una funzione di back-office, una semplice voce da spuntare in un elenco di attività da portare a termine. Tuttavia, questa mentalità ha reso le infrastrutture critiche estremamente vulnerabili a causa della scarsa attenzione prestata agli standard architettonici adeguati. Danielle ha sottolineato l’importanza di considerare la conformità come un aspetto fondamentale della sicurezza e dell’integrità dell’organizzazione.
Ha tracciato un netto confronto tra la conformità nel mondo fisico e quella nel mondo digitale, sottolineando che, mentre un errore nel mondo fisico – come la carne bovina contaminata – può comportare conseguenze immediate e gravi, un errore nel mondo digitale – come una violazione dei dati che colpisce 300 milioni di persone – potrebbe non avere lo stesso livello di ripercussioni.
Questa disparità e la mancanza di urgenza nell’affrontare le questioni relative alla sicurezza digitale sottolineano la necessità di sanzioni più severe e di quadri normativi più rigorosi, affinché le organizzazioni prendano sul serio la conformità.
«Il direttore generale dovrebbe subire le sanzioni più severe, seguito dal presidente del consiglio di amministrazione. Questo cambierebbe le cose da un giorno all’altro», ha suggerito Howard.
Il Regolamento generale sulla protezione dei dati (GDPR) dell’UE è stato indicato come modello da seguire per gli Stati Uniti. Il GDPR ha avuto un impatto significativo sulla conformità, con un numero di sanzioni inflitte nel primo anno superiore a quello registrato nell’intera storia dell’HIPAA negli Stati Uniti. Il successo del GDPR sottolinea l’importanza del coinvolgimento delle autorità federali nella creazione di un quadro normativo unificato per la sicurezza informatica negli Stati Uniti.
L’evoluzione del ruolo del CISO
Il ruolo del CISO sta assumendo un’importanza sempre maggiore nel colmare il divario tra le competenze tecniche e il processo decisionale a livello dirigenziale. Danielle e Howard hanno sottolineato che la figura del CISO dovrebbe ricoprire una posizione a livello di consiglio di amministrazione, caratterizzata da una comunicazione regolare e trasparente con lo stesso.
«Se il vostro CISO non si presenta davanti al consiglio di amministrazione almeno una volta al trimestre, allora non avete un CISO», ha affermato Danielle. «E se non permettete al vostro CISO di rivolgersi al consiglio di amministrazione almeno una volta al trimestre per fornire informazioni davvero utili ed essere il più aperto e trasparente possibile, allora non avete un programma di sicurezza».
Howard ha inoltre suggerito una composizione equilibrata del consiglio di amministrazione, con il 60% di titolari di MBA e il 40% di esperti in tecnologia. Questo equilibrio aiuterebbe i membri del consiglio a comprendere meglio e ad affrontare le sfide legate alla sicurezza informatica.
Anche il ruolo del CISO nella risposta agli incidenti e nella pianificazione strategica è fondamentale. «Il modo migliore per apportare cambiamenti è avere un CISO competente all’interno della propria organizzazione quando si subisce un attacco ransomware. Tutti pensano: “Oh cavolo, avremmo dovuto dargli ascolto”, e poi decidono: “Ecco cosa faremo”», ha osservato.
La complessità delle normative dei singoli Stati
Il mosaico di normative che varia da Stato a Stato negli Stati Uniti pone sfide significative per un’efficace conformità in materia di sicurezza informatica. Danielle ha spiegato che, in termini di conformità, gli Stati Uniti sono di fatto 51 paesi, poiché ogni Stato ha la facoltà di emanare le proprie leggi.
Tale complessità può causare confusione e un’attuazione incoerente delle misure di sicurezza. I relatori hanno sollecitato l’intervento delle autorità federali per standardizzare le normative, facilitando così l’adeguamento da parte delle organizzazioni e consentendo un approccio più coerente ed efficace alla sicurezza informatica.
Il potenziale dell’intelligenza artificiale nella gestione delle informazioni
L’intelligenza artificiale ha il potenziale per rivoluzionare in modo significativo i vari settori, ma tale potenziale dipende dalla qualità e dalla maturità delle pratiche di gestione dei dati di un’organizzazione.
«L’intelligenza artificiale accelera ogni cosa in modo talmente incredibile che non c’è nulla in grado di potenziare le potenzialità come fa l’intelligenza artificiale», ha affermato Howard.
Le aziende che dispongono di sistemi di gestione dei dati consolidati e di dati di alta qualità godono di un vantaggio competitivo come pioniere nel panorama guidato dall’intelligenza artificiale. «Se la qualità dei vostri dati non è all’altezza e la maturità organizzativa in materia di dati è carente, potreste rischiare di perdere tutto», ha avvertito.
Punti di forza
- La conformità come funzione fondamentale: la conformità dovrebbe essere considerata un aspetto fondamentale della sicurezza e dell’integrità dell’organizzazione, non solo un’attività di back-office. La mancanza di standard adeguati nel software ha comportato rischi significativi per la sicurezza.
- Sono necessarie sanzioni più severe: la disparità tra le sanzioni previste per le violazioni in ambito fisico e quelle per le violazioni in ambito digitale evidenzia la necessità di un’applicazione più rigorosa e coerente degli standard di sicurezza digitale. Sanzioni severe a carico degli amministratori delegati e dei membri del consiglio di amministrazione potrebbero determinare cambiamenti significativi.
- Rafforzare il ruolo del CISO: il ruolo del CISO dovrebbe essere elevato a livello di consiglio di amministrazione, con una comunicazione regolare e trasparente. Una composizione equilibrata del consiglio di amministrazione, che includa esperti di tecnologia, può contribuire ad affrontare le sfide della sicurezza informatica in modo più efficace.
- Standardizzazione a livello federale: la complessità delle normative, che variano da Stato a Stato, ostacola un’efficace conformità alle norme in materia di sicurezza informatica. È necessario un intervento federale per creare un quadro normativo unificato e standardizzato.
- Intelligenza artificiale e qualità dei dati: l’intelligenza artificiale ha il potenziale per potenziare le capacità organizzative, ma tale potenziale dipende dalla qualità e dalla maturità delle pratiche di gestione dei dati di un’organizzazione. Le aziende che dispongono di dati di alta qualità godono di un vantaggio significativo.
