Cyber Storytelling: comunicare i rischi al consiglio di amministrazione e oltre

I consigli di amministrazione valutano il rischio da una prospettiva finanziaria e operativa. Un linguaggio incentrato sul business chiarisce le conseguenze e favorisce decisioni informate. 

Chi sono gli aggressori, quali sono i loro obiettivi, qual è la probabilità che si verifichino incidenti e quale sia il potenziale impatto sul conto economico, sul marchio e sulle operazioni. 

Utilizzando esempi concreti di ransomware, quantificando i costi dei tempi di inattività e mappando i rischi su specifiche unità aziendali. 

Gli incidenti informatici incidono sulle catene di approvvigionamento, sui clienti, sulla conformità e sui ricavi, rendendo essenziale una responsabilità condivisa. 

I controlli attuali, i piani di Recovery, le lacune e il livello di Readiness, spiegati in un linguaggio aziendale per infondere fiducia. 

Per la trascrizione con indicazione dei tempi, guarda il video qui

Ciao, benvenuti al podcast “Shift”.

Sono Melissa Hathaway e con me ci sono i miei amici John Zangardi e Shawn Henry.

Siamo qui per parlare di come comunicare i rischi al consiglio di amministrazione.

E parleremo di alcune storie molto interessanti e complesse relative alla sicurezza informatica.

Grazie mille per essere qui, non vedo l’ora di iniziare questa conversazione.

Cosa vogliono sentire i membri del consiglio di amministrazione durante le riunioni?

Cosa si aspettano dal CISO e quali informazioni vogliono ricevere sui rischi digitali?

Sapete, ogni volta che penso di parlare con il consiglio di amministrazione,

si parte sempre dai rischi a livello generale.

Credo che il consiglio di amministrazione senta spesso dire che ci sono molti problemi.

Ne parlano con gli amici a cena.

Sentono dire da altri consigli di amministrazione di cui fanno parte che si tratta di un problema, ma non
ne hanno necessariamente una comprensione dettagliata e non hanno bisogno di una

.

Penso che debbano semplicemente capire chi sono gli attori, cosa stanno
sfruttando e, soprattutto, qual è l’impatto?

E se riescono a farsi un’idea chiara di tutto ciò,

allora potranno cominciare a capire in che modo l’azienda si sta preparando al meglio e come il CISO
stia effettivamente proteggendo l’impresa per mitigare il rischio.

I membri del consiglio di amministrazione sanno cos’è il rischio, sia che operino nel settore dei servizi finanziari sia
che abbiano avuto a che fare con il rischio per tutta la vita: sono professionisti.

E se la questione viene presentata in questi termini, è un ottimo modo per allineare le prospettive e
fornire un quadro di riferimento che consenta discussioni molto più approfondite su come l’

azienda stia migliorando nella protezione dell’impresa.

Faccio parte di alcuni consigli di amministrazione e penso che tutto ciò di cui Shawn ha appena parlato abbia
perfettamente senso.

Quindi, per quanto riguarda chi riceve queste informazioni, ciò che apprezzo particolarmente è che, nell’ambito del comitato di revisione e rischio
, il CISO intervenga durante quella riunione ed esponga la situazione così come

descritta da Shawn, in modo che il consiglio di amministrazione possa ascoltarla nel corso di quella riunione del comitato
di revisione e rischio.

È davvero importante che affronti i rischi.

E che spieghi: «Ehi, qual è la probabilità che ciò accada?

che accada qualcosa di negativo e quali siano le conseguenze, giusto?

In termini aziendali comuni, questo influisce sul nostro marchio, sulla nostra reputazione, ma anche
spiegando all’intero consiglio di amministrazione come potrebbe gestire tali situazioni.

In questo modo sensibilizza il consiglio di amministrazione sui rischi con cui ha a che fare, utilizzando un linguaggio che
i membri possano comprendere, perché non ci si può aspettare che ogni membro del consiglio sia un esperto di informatica.

Giusto?

Quindi ci sono alcuni punti ciechi e penso che sia compito del CISO iniziare a far
luce su quei punti ciechi.

Faccio parte di alcuni consigli di amministrazione e tengo briefing per molti di essi.

Ho sempre ritenuto che non si tratti di una questione di IT.

È una questione di rischio aziendale.

E dobbiamo tenere presente che tutte le aziende sono aziende digitali.

E a che punto siamo, qual è lo stato di salute dell’azienda oggi?

E riflettere su questi concetti chiave di business:

Come si comunica effettivamente cosa è a rischio dal punto di vista del conto economico (PNL)?

E penso che molti dei nostri professionisti in questo campo lo considerino solo una
questione tecnologica e non stiano effettivamente traducendo in termini aziendali il fatto che, se questo particolare sistema critico per l’azienda

va in tilt e si trova in questa specifica situazione di PNL, ci costerà questa somma di
denaro al giorno, traducendo il tutto in termini aziendali.

Hai riscontrato casi di successo in questo senso, Shawn?

Penso che negli ultimi anni sia diventato molto più facile.

Il ransomware ha reso tutto questo

alla portata di tutti.

Si può vedere quando un ransomware colpisce una determinata azienda e questa rimane inattiva per
due giorni, due settimane o due mesi, e qual è il costo di tutto ciò, cosa che spesso viene

divulgato pubblicamente.

Abbiamo visto alcuni esempi recenti con Jaguar nel Regno Unito, negli Stati Uniti e, a livello nazionale, moltissime
altre aziende che sono state colpite in questo modo.

Penso che il ruolo del CISO sia quello di supportare l’azienda.

Ciò avviene principalmente garantendone la sicurezza

, ma bisogna anche assicurarsi di non limitarne o ostacolarne le funzioni.

Penso che quando il rischio che stiamo descrivendo qui viene comunicato in modo efficace, allora
il consiglio di amministrazione e gli altri dirigenti, in quanto parte delle operazioni, abbiano una

comprensione e una maggiore consapevolezza e saranno disposti ad apportare modifiche se riconosceranno
quali saranno gli impatti a lungo termine.

Quindi quantificarlo sta diventando più facile perché i dati sono molto più diffusi al giorno d’oggi.

Allora, Shawn, permettimi di aggiungere qualcosa.

La fiducia è qualcosa di difficile da ottenere, ma facile da perdere, giusto?

E la prima volta che succede qualcosa di brutto, quando quel “forbice” si fa vivo e inizia a parlare
della cosa negativa e del Risk, è troppo tardi.

Non c’è fiducia.

La fiducia si costruisce attraverso l’interazione, giusto?

Quando entra in gioco, il consiglio lo conosce bene, conosce il suo approccio, è
abituato a trattare con quella persona, ha visto il comportamento che ne deriva.

Quindi, quando si verifica quell’evento negativo, che capiterà a tutti, perché l’IT
è onnipresente, è in ogni azienda ovunque al giorno d’oggi, si vuole assicurarsi che

ci sia un elemento di fiducia tra la persona che riferisce al consiglio di amministrazione in merito ai rischi e il
consiglio stesso.

E in tutto questo, la responsabilità ultima ricade sull’amministratore delegato.

Quindi, anche se sto dicendo che questo è un compito che spetta al CISO, in ultima analisi è
l’amministratore delegato ad esserne responsabile.

Ma non si tratta solo del CEO, del CISO, del CIO o del Chief Data Officer.

Si tratta di una responsabilità di ampio respiro.

Quindi, come si raggiunge quella consapevolezza che tutto questo riguarda l’azienda e che si
sta coinvolgendo il Chief Privacy Officer, l’organizzazione IT e

coinvolgere il team di trasformazione digitale.

L’amministratore delegato può effettivamente trasmettere il tutto al consiglio di amministrazione e si arriva davvero a una sorta di responsabilità di squadra
piuttosto che a una responsabilità individuale.

Quindi penso che

quando si parla di responsabilità, ci debba essere una persona che se ne assuma la responsabilità.

In questo caso, forse è il CISO ad assumersene la responsabilità.

Ma questa responsabilità deve essere rappresentata.

E tutti all’interno dell’organizzazione devono riconoscere e comprendere che si tratta di un lavoro di squadra
e che ognuno ne è responsabile in parte.

Tutti sono responsabili e una violazione grave o un incidente significativo avrà
un impatto su tutti i membri di quell’organizzazione.

Quindi c’è sicuramente una responsabilità condivisa.

Ma per quanto riguarda il CISO, penso che sia necessario avere una persona che ne sia responsabile,

che contribuisca a fornire la direzione strategica, che sia responsabile di garantire che vengano intraprese le azioni
necessarie e che la strategia venga attuata con successo.

Ma senza dubbio si tratta di una risposta che coinvolge l’intera azienda, non solo i dirigenti, ma ogni
singola persona all’interno dell’organizzazione, perché sono tutti utenti.

Tutti usano la tastiera, tutti gestiscono i dati, tutti sono responsabili, in
un modo o nell’altro, dell’alimentazione dei database.

Tutti devono riconoscere e comprendere che:

nella mia organizzazione, la sicurezza viene prima di tutto.

Ci stiamo impegnando a fondo e tutti riconoscono che una violazione avrebbe un impatto catastrofico
su tutti noi come gruppo.

Quindi è ben detto.

Deve esserci un unico punto di responsabilità.

La persona responsabile a cui rivolgersi, che coordina l’operazione.

Ma molti consigli di amministrazione terranno una riunione a porte chiuse alla quale non saranno
presenti i membri dell’azienda e l’amministratore delegato.

E lì si terrà una discussione.

E a volte l’

i consigli di amministrazione manchino di competenze proprio nel settore informatico, nel campo dell’IT.

E penso che sia importante che i consigli di amministrazione dispongano di tale competenza al loro interno.

E lo dico con tono sarcastico, non prendetevela: frequentare un corso della NACD sulla sicurezza informatica
non rende un membro del consiglio di amministrazione un esperto in questo settore specifico.

Penso che sia davvero utile per un consiglio di amministrazione avere qualcuno che, quando succede qualcosa,

e si trovano in seduta a porte chiuse, ci sia qualcuno nel consiglio che, all’interno dell’azienda
dove potrebbe esserci una leggera frattura di fiducia, sia in grado di fungere da tramite e di presentare la questione

consiglio in modo più comprensibile o che li aiuti a inquadrare le domande che stanno
ponendo.

Sì, quindi, per riassumere, bisogna affidarsi a un membro del consiglio che funga da tramite
e, magari insieme all’amministratore delegato, faccia da traduttore in sala e ribadisca

il fatto che tutti hanno una responsabilità fiduciaria nel proteggere l’azienda.

E questa è la parola chiave: responsabilità fiduciaria.

Quindi, insomma, perché non avere nel proprio consiglio di amministrazione un ex CISO o un ex CIO o qualcuno di quel calibro
che ti aiuti a riflettere su queste cose durante le riunioni a porte chiuse?

Sono d’accordo.

Ok.

Quindi, quando inizi a riflettere su questo, io cerco sempre, quando voglio inquadrare la
situazione, di concentrarmi su ciò che sta realmente accadendo.

Sai, siamo stati

siamo stati vittime di un ricatto.

E allora? Siamo completamente offline e questo ci sta costando un sacco di soldi per ogni ora e ogni giorno
di inattività.

E come hai detto tu, Shawn, ci sono diversi esempi di aziende che
sono offline ormai da quasi tre mesi e non riescono a fornire assistenza, non pagano i propri

fornitori, non pagano, non vendono i propri prodotti, eccetera.

E poi c’è il “e adesso?”, cosa dobbiamo fare, come ci siamo ritrovati in questa
situazione?

Quindi, se potessi iniziare a parlare di alcuni degli indicatori

che ritieni utili per descrivere questa situazione.

Per me si tratta soprattutto di sistemi legacy, hardware e software non supportati
e vulnerabili al 100% in ogni momento.

Ma quali sono alcuni degli indicatori che ritieni utili, Shawn?

Beh, penso che… ehm, quando si forniscono metriche, lo scopo del CISO nel fornirle
sia semplicemente, credo, quello di mostrare al consiglio di amministrazione che si stanno compiendo progressi nella

sicurezza complessiva dell’organizzazione.

Quindi, se il mese scorso

avevamo un numero X di vulnerabilità rimaste senza patch,

questo mese abbiamo ridotto quel divario e stiamo spiegando perché ciò sta accadendo.

E se ciò non sta accadendo, allora è necessario porsi delle domande.

Pertanto, le metriche devono essere misurabili e devono essere significative nel dimostrare
che c’è una crescita nel programma.

Penso a aspetti quali la capacità dell’azienda di rilevare gli attacchi.

Giusto.

Bisogna avere visibilità su ciò che sta accadendo.

Ecco quindi cosa siamo in grado di rilevare.

La velocità di risposta.

Quanto tempo occorre per reagire, porre rimedio o mitigare la situazione dopo il rilevamento?

Stiamo riducendo quel divario?

Abbiamo appreso, grazie all’intelligenza artificiale e a una serie di altri vettori di attacco, che l’incapacità di identificare, rilevare e ridurre rapidamente
il divario porta a una violazione.

Succede regolarmente.

Abbiamo visto avversari che sono rimasti nelle reti per mesi o anni senza essere individuati.

Queste sono alcune delle metriche.

Questo aspetto della vulnerabilità è fondamentale.

Apprezzo molto quando hai detto che, trattandosi di un sistema legacy, non è più supportato,
non ci sono patch, è vulnerabile al 100% e fuori uso il 100% del tempo.

Ci sta bene questa situazione?

Perché se lo accettiamo,

in caso di violazione si tratterebbe di grave negligenza.

Sapevate che era vulnerabile e avete scelto di non fare nulla al riguardo; è stato sfruttato
e ne sono derivate queste conseguenze.

Non va bene.

Quindi voglio che il consiglio di amministrazione sia rassicurato sul fatto che si stiano facendo progressi.

Per quanto riguarda quanto detto da John, se si hanno persone che sono puramente uomini d’affari, prive di qualsiasi
esperienza in materia di sicurezza, esse si affidano davvero alla fiducia riposta nel CISO.

Di per sé, non credo che ciò sia appropriato.

Dovreste avere qualcuno con una certa competenza che possa opporre resistenza in modo produttivo e
professionale.

Ma dobbiamo dimostrare che stiamo crescendo e che siamo più sicuri.

Vorrei quindi aggiungere che tutto ciò che facciamo è fantastico.

Vorrei aggiungere una cosa.

E penso che questo rientri in qualche modo nella formazione.

E mi avete sentito parlare di aviazione troppe volte.

Ma nel settore dell’aviazione, quando si parte e si ha un volo difficile o un contrattempo, si fa un “hot wash”.

Si

si torna indietro e si analizza la causa principale di ciò che è successo.

E potrebbe trattarsi di un motivo tecnico, oppure di altre ragioni.

Ma penso che sia importante che, quando si verifica un evento negativo, venga coinvolto
il consiglio di amministrazione e gli venga spiegato cosa è successo.

Ecco perché è successo.

Ecco come ci siamo ripresi.

Queste sono le conseguenze che abbiamo subito in termini di, ehi, perdita di ricavi, danno alla
reputazione o qualsiasi altra cosa.

E il motivo è che,

lo sappiamo tutti, si impara di più dai propri errori che dai propri successi.

Quindi non sto minimizzando la cosa, ma penso che sia un’aggiunta importante nell’ambito della
formazione e dell’aggiornamento del proprio consiglio di amministrazione.

Mi piace sempre usare esempi e casi di studio reali, e la storia che mi è rimasta impressa nelle
ultime due settimane è stata la rapina al Louvre.

Abbiamo perso, sapete, 10 milioni di dollari in gioielli, o forse anche di più, giusto?

E così il Louvre

utilizzava hardware e software non supportati in tutto il museo e ne era consapevole.

E le password erano “Louvre” e poi “Thales”, che era la società che avrebbe
dovuto occuparsi della sicurezza.

Quindi vulnerabile al 100%, sempre, con una password facilmente intuibile e, boom, i gioielli sono spariti
.

Hai qualche aneddoto simile a questo che puoi
usare come esempio?

Puoi

rendere anonima la storia, dicendo qualcosa del tipo: «È stata una brutta giornata, è successo davvero ed è stato imbarazzante».

La password era “Louvre”?

Era… Sto scrivendo questo articolo proprio questa settimana.

Non lo sapevo.

Ne parlerò nella mia newsletter di questa settimana.

Non credo di avere nulla di così imbarazzante.

Mi dispiace.

Ma, sai, tornerò su quello di cui stavo parlando prima.

Sai, cosa si impara dalle esperienze?

E ho avuto il privilegio di osservare molti incidenti informatici nel corso della mia carriera al
governo.

E, sai,

quando sei al Dipartimento della Difesa e succede qualcosa di grave mentre stai vendendo loro qualcosa, il Cyber Command entrerà
prepotentemente nella tua vita.

Il modo in cui dovresti gestirlo, perché è importante che tu lo gestisca, è una questione di
trasparenza: ammettere “questi sono gli errori che ho commesso”.

Non vorrei mai dover dire al Cyber Command: “Beh, la nostra password era ‘Louvre’”, ma bisogna
essere in grado di entrare lì dentro.

Le conseguenze sono molto gravi quando si vendono prodotti al governo, tanto che

il Cyber Command emetterà un ordine di intervento.

Si tratta fondamentalmente di una sostituzione completa e tutti i componenti e i servizi inizieranno a
rimuoverli.

Quindi è molto importante essere completamente trasparenti quando si ha a che fare con quel tipo di persone.

E penso che questo valga anche per i clienti.

Se si torna indietro e si considera il caso di SolarWinds, che come tutti sanno è ormai entrato nel nostro
vocabolario come termine comune, e si osserva come è stato gestito e come hanno agito,

ci sono molte

cose che sono andate storte e non mi addentrerò nei dettagli, ma se si osservano
i ricavi dell’azienda dal giorno in cui è successo fino ad ora, si vede che è ancora in attività, è

un’azienda funzionante, il suo fatturato è aumentato perché ha intrapreso le misure necessarie — per quanto difficili
e nonostante gli errori commessi — per migliorare, e il prodotto si sta vendendo anche se “SolarWinds”

sia generalmente considerato un termine non proprio positivo.

Approfondiamo per un momento il tema della sicurezza dei prodotti, perché molte aziende

aziende non si considerano necessariamente specializzate in sicurezza.

E quindi potrebbero non aver investito nella sicurezza di quel prodotto.

E così assistiamo a questo fenomeno in molti casi: prendo di mira un prodotto, ne comprometto l’integrità
e poi raggiungo molti altri clienti che in realtà

contavano su di loro affinché facessero la cosa giusta: investire nella sicurezza, garantire che fosse un
prodotto di qualità immesso sul mercato, assicurarsi che ricevesse gli aggiornamenti, ecc.

Quindi, come si racconta la storia di

quando un prodotto ha perso la sua integrità e si sa cosa ci si aspetta dall’azienda,
come si racconta questa storia al consiglio di amministrazione? Io non ho il loro potere decisionale in materia di finanze.

Quindi penso che tu abbia menzionato SolarWinds e NotPetya ne sia un altro esempio.

Ci sono stati casi più recenti in cui il prodotto è stato violato.

Penso che questo sia uno dei rischi e che il CISO debba esporre chiaramente tali rischi al consiglio di amministrazione.

Credo che questo sollevi anche

un aspetto interessante riguardo alla continuità operativa.

E non si tratta solo di chiedersi: «Dove siamo vulnerabili?».

Perché siamo tutti vulnerabili in qualche ambito.

Dove siamo vulnerabili?

Chi ci sta prendendo di mira?

Perché ci prendono di mira?

Quali sono le conseguenze?

Se si verifica una di queste cose o se si verificano tutte, come riusciamo a riprenderci?

Come si manifesta la nostra resilienza?

E qual è il nostro piano per garantire di essere in grado di ricostruire l’azienda e riconquistare la fiducia?

Come si concretizza tutto questo?

E questo deve essere un elemento importante delle comunicazioni del CISO al consiglio di amministrazione.

Ogni azienda dovrà affrontare un incidente.

Potrebbe trattarsi di qualcosa di semplice come la perdita di un portatile.

Potrebbe trattarsi di qualcosa di simile a quanto accaduto alla Jaguar, dove l’intera azienda rimane inattiva per
mesi e subisce perdite per centinaia di milioni o miliardi di dollari.

Come si presenta la risposta dell’azienda?

Chi ne è responsabile?

Come viene comunicata?

Da un punto di vista tecnico, come si coinvolgono

le organizzazioni esterne e i partner per aiutarvi in questo compito?

È un altro elemento importante per rassicurare in qualche modo il consiglio di amministrazione sul fatto che noi, come azienda
, abbiamo messo in atto il piano migliore.

La prima cosa che vogliamo fare è assicurarci di proteggere tutto.

Quando si presenta un problema, dobbiamo assicurarci di avere un piano pronto per risolverlo.

È una sorta di sicurezza a 360 gradi, perché non si può avere resilienza senza sicurezza, né
sicurezza senza resilienza.

Ben detto.

E penso che la resilienza sia un

elemento di cui dovremmo parlare un po’.

Ho scritto molti articoli sulla monocultura del software e sulla dipendenza da un unico
fornitore di software.

Non farò nomi.

Se ci si è accorti del problema, ci si assicura di aver creato una sorta di ridondanza per
garantire la resilienza.

Quindi queste questioni sono piuttosto complicate in termini di come sono strutturate.

Non mi aspetto che molti consigli di amministrazione siano in grado di affrontare queste questioni, ma penso che sia
importante che un CISO sia abbastanza trasparente,

e che il CIO sia sufficientemente trasparente da spiegare le precauzioni adottate e come hanno strutturato
l’infrastruttura per garantire di aver previsto le diverse contingenze che

potrebbero verificarsi.

E che non facciano troppo affidamento su un’unica fonte per il loro software.

Sì, la continuità operativa, il Recovery di emergenza… mi piace definirli “disastri digitali”.

E la sfida sta nel fatto che, mentre io potrei essere stato responsabile della sicurezza, qualcun
altro è incaricato del ripristino e di rimettere tutto in funzione.

Quindi si inizia a chiedersi: come mi preparo o come elaboro quegli scenari e conduco
esercitazioni teoriche che coinvolgono il consiglio di amministrazione?

Lo so, Shawn, tu hai condotto diverse esercitazioni.

Sì, penso che abbiamo fatto esercitazioni con il personale operativo, il CISO e il suo team,
più in generale con il team esecutivo allargato e anche solo con il consiglio di amministrazione.

Penso che in queste cose la cosa più importante sia la consapevolezza e far sì che tutti capiscano.

E poi, a livello pratico, cercare di stabilire chi è responsabile di cosa.

Posso dirti che ho partecipato a queste simulazioni.

Ne ho guidate alcune.

Una di quelle che per me è stata più importante e di maggiore impatto, e questo è successo tempo fa,
probabilmente otto o dieci anni fa, è stata quando mi sono seduto a un tavolo con un’importante organizzazione finanziaria e il

COO di quell’organizzazione era presente in sala e c’erano

20 o 30 persone nella sala, tra cui il CISO, numerosi tecnici, il CIO e il CTO.

Quando abbiamo illustrato l’attacco fittizio e ciò che era realmente accaduto, con ripercussioni sulla
piattaforma di trading di questo istituto finanziario, ricordo che il COO guardò dall’altra parte del

tavolo verso il CISO, chiedendosi: «Potrebbe davvero succedere?»

Indicando la descrizione su PowerPoint, ha chiesto: «Potrebbe davvero succedere?»

E il CISO annuì in segno di assenso.

E rimase scioccato.

E poi abbiamo esaminato

Ok, bene, quale sarebbe la risposta?

Beh, oh, se ne occupa Mary.

In realtà Mary è in ferie questa settimana.

Chi la sostituisce?

È Dave.

Dave non lavora più in azienda.

Per me è stato incredibile, ma sono proprio questi gli aspetti che emergono quando si affrontano questi
esercizi, e soprattutto quando un consiglio di amministrazione affronta un esercizio in cui può effettivamente

vedere tutte le implicazioni a cascata e come ci siano così tante variabili in gioco.

E questo li aiuta davvero a comprendere, a sostenere

e fornire risorse, oltre che ad apprezzare il tutto, credo, ed è proprio questo il risultato.

Ne abbiamo parlato prima: è un vero e proprio lavoro di squadra.

Ebbene, il consiglio di amministrazione fa parte della squadra perché, in fin dei conti, ha lo stesso
obiettivo di tutti i membri dell’azienda: vuole che l’azienda abbia successo e soddisfi i propri

clienti.

Quindi penso che questi esercizi siano importanti e aggiungano un grande valore all’intero processo
di cui stiamo parlando.

Quindi sono d’accordo e tutti abbiamo sentito parlare della curva di apprendimento.

Quindi la prima volta che succede qualcosa non dovrebbe essere quella vera

, giusto?

Visto tutto quello che stai dicendo, dov’è Dave?

Ha mollato.

Dov’è Mary?

È il suo giorno libero.

Man mano che si svolge un’esercitazione teorica e si esaminano questi aspetti, le persone acquisiscono maggiore
familiarità con le variabili in gioco e con il modo in cui dovrebbero gestirle.

E le situazioni impreviste danno adito a domande interessanti.

Ecco perché ci si esercita: per imparare e acquisire maggiore competenza.

È bene acquisire una certa competenza prima che

accada qualcosa di spiacevole.

Quindi incoraggerei davvero non solo un’esercitazione, ma esercitazioni di routine che, per così
dire, portino tutti allo stesso livello.

Sviluppare quella memoria muscolare è davvero importante, così come altre cose simili.

Penso che sia essenziale, ma è anche importante rendersi conto che, quando si ha una giornata storta
, non sono solo le persone che ripristineranno i sistemi a dover

proteggere i sistemi.

Ci deve essere un’intera strategia di comunicazione.

E bisogna riflettere attentamente su chi sarà il portavoce, su come opererà il mio team
addetto alla stampa o ai media, su dove si trovano i miei consulenti legali, interni ed esterni, e su come iniziare a pensare

a quella gestione delle emergenze, se così si può dire, Shawn.

Sì, no, ed è proprio questo il punto: un’esercitazione teorica è un ottimo modo per farlo.

È importante sapere chi sono le persone con largo anticipo.

Non vorrai certo metterti a sfogliare l’elenco e a cercare le persone mentre ti
affanni a rispondere.

Bisogna essere preparati con largo anticipo.

Questo è anche un ambito in cui si inizia a parlare di governance, conformità e
normative, giusto?

Come parte del processo di comunicazione, devi parlare, prima di tutto, con
i tuoi clienti, ovviamente.

Devi parlare con tutti i tuoi partner.

Vuoi parlare con i tuoi dipendenti.

E in molti casi, dovrai rivolgerti alle autorità di regolamentazione e a quel punto dovrai
coinvolgere il tuo responsabile legale affinché partecipi alla discussione, poiché sussistono alcuni

potenziali problemi di responsabilità civile.

Tutto questo può essere pianificato in anticipo.

Non sarà perfetto al 100%.

Non sarà perfetto.

Ma vi fornirà una familiarità sufficiente e un certo livello di fiducia.

Vi consentirà di instaurare rapporti con queste persone esterne, così che quando accadrà qualcosa
di negativo – e accadrà, a seconda della gravità – sarete in grado di

reagire.

Posso dirvi che chi è meglio preparato riesce a superare con successo queste situazioni.

E chi è impreparato fallirà miseramente.

Beh, e si nota se non ti sei esercitato e sei l’amministratore delegato che, come mi aspetterei
in molti casi, dovrà affrontare i propri clienti principali esponendo la situazione.

Questo va fatto con attenzione e come se foste dei professionisti.

Quindi, limitarsi a rispondere senza essersi preparati vi mette in difficoltà.

E penso che questo risulti molto evidente dal modo in cui viene rappresentato.

Inoltre danneggerà la reputazione e il marchio dell’azienda.

Quindi dare l’impressione di essere preparati,

con un certo grado di raffinatezza e di avere il controllo della situazione, credo sia qualcosa che bisogna
trasmettere in questa situazione.

E non si riesce a ottenere questo risultato senza tutto ciò di cui Shawn ha appena parlato.

Sì, ho condotto un’attività per un’istituzione sanitaria: è durata solo due ore ed è stata
suddivisa in blocchi di 30 minuti.

E alla fine,

l’amministratore delegato mi ha detto: «Avevo l’adrenalina alle stelle, la frequenza cardiaca a 140, e grazie a Dio si trattava solo
di un’esercitazione».

Proprio perché, se la conduci nel modo giusto, provi lo stesso livello di stress che avresti se fosse
davvero una giornata reale e una brutta giornata.

Beh, tutti e tre abbiamo lavorato nel settore pubblico e tutti e tre abbiamo dovuto andare dal nostro
capo, che probabilmente era un funzionario politico di alto livello, per comunicargli cattive notizie.

Non è facile.

Proprio no.

Ma bisogna strappare il cerotto.

Bisogna farlo.

Sì, quindi nel governo diciamo che “il risultato finale viene prima di tutto”.

Il punto fondamentale all’inizio: iniziate tutti i messaggi al consiglio con il punto fondamentale all’inizio.

Sono qui per parlarvi di A, B e C.

E oggi vi dirò quanto sia malata la nostra organizzazione, perché abbiamo tutti
questi sistemi legacy che gestiscono il nostro core business.

Ed ecco cosa dobbiamo fare al riguardo.

Ed è qui che ho bisogno del vostro sostegno.

E non andate mai via, specialmente quando fate un briefing al Congresso, non andate mai via senza aver formulato la vostra richiesta.

Dovete chiarire fin dall’inizio l’obiettivo finale e poi ciò che volete da loro.

Voglio il vostro sostegno.

Ho bisogno di soldi.

Abbiamo bisogno di più persone.

Hai ragione al 100%.

Ma è qui che entra in gioco la fiducia.

Se il consiglio di amministrazione si fida della CSO perché in passato si è sempre dimostrata trasparente nei loro confronti e ha
già affrontato un incidente in passato…

Lei ha, per così dire, il controllo della situazione, se così si può dire; ci sarà quel senso di
disponibilità e saranno molto più disposti ad accogliere la richiesta

senza fare troppe domande; non che non debbano fare domande, ma quando c’è un
certo livello di fiducia, il programma è stato strutturato in modo tale da favorire un libero flusso di informazioni

molto, molto più agevole.

Quindi le nostre autorità di regolamentazione ci hanno sostanzialmente detto che dobbiamo disporre di strategie, politiche,
responsabilità e finanziamenti adeguati per la sicurezza informatica e la resilienza digitale della vostra azienda.

E il consiglio di amministrazione dovrebbe tenere riunioni a cadenza regolare e dimostrare di adempiere effettivamente
alle proprie responsabilità fiduciarie.

Il 17% delle organizzazioni dichiara di non essere pronto ad affrontare una situazione critica.

E molti consigli di amministrazione continuano ad occuparsene solo una volta all’anno, oppure hanno delegato la questione a un
comitato senza coinvolgere l’intero consiglio.

Qual è la sua opinione al riguardo?

Concordo sul fatto che questo debba essere uno dei rischi più significativi, se non il più
significativo in assoluto, per ogni organizzazione, poiché l’intera impresa si basa sul

panorama digitale.

Pertanto, nell’ambito dell’ERM, deve essere un aspetto a cui

dedicare molta attenzione.

Ogni consiglio di amministrazione è leggermente diverso, ogni azienda è leggermente diversa; il livello di
familiarità e il livello di competenza variano.

Quindi non esiste davvero una soluzione valida per tutti, ma propenderei per l’idea che “più è meglio
di meno”, data l’importanza della questione.

Non ho nulla in contrario al fatto che un comitato specifico, ad esempio
il comitato di revisione, sia l’ente responsabile e che il presidente del comitato di revisione

operi in modo quasi matriciale rispetto al CISO, in modo che quest’ultimo abbia un filo diretto per alzare il telefono,
recarsi sul posto e parlare con il presidente del comitato di revisione in caso di problemi.

Ma credo che il consiglio di amministrazione nel suo complesso debba avere una visione d’insieme e una comprensione
della questione, e ciò richiede una comunicazione più frequente.

Quindi la penso come te: non sono legato al comitato di revisione contabile, ma penso che sia il posto logico
in cui collocarlo.

E dipende davvero da come l’azienda vuole gestirlo.

Quindi non esiste una formula in sé, ma…

Immagino che ci sia una formula, nel senso che dovrebbe essere collegata in qualche modo al consiglio di amministrazione.

Ma dobbiamo davvero renderci conto che il mondo non sta diventando meno rischioso in termini di sicurezza informatica.

Sta diventando davvero sempre più rischioso.

E potremmo approfondire tutte le ragioni del perché, ma dovrebbero essere evidenti, dato che se ne parla nei
notiziari quasi ogni giorno.

Quindi non si può nascondere la testa sotto la sabbia.

Non si può nascondere la testa sotto la sabbia come uno struzzo.

Bisogna davvero rendersi conto che, ok, sta succedendo.

Lo vedo accadere.

Probabilmente è successo a uno dei tuoi amici nel mondo degli affari.

Come mi preparo?

Si comincia quindi ponendo alcune semplici domande al consiglio di amministrazione.

Allora, cosa facciamo quando succede questo?

E dare il via alle cose.

Questa è la prima cosa che devi fare per iniziare a prepararti.

Aggiungerei anche qualcos’altro.

Per quanto riguarda tutta la questione della fiducia, non credo che il CISO debba limitarsi a rispondere
alle domande del consiglio di amministrazione.

Penso che il CISO debba essere proattivo.

Ad esempio,

abbiamo parlato dell’intelligenza artificiale come di un rischio significativo.

È una nuova freccia nella faretra degli avversari.

Sarebbe fantastico se il CISO fosse proattivo e si presentasse al consiglio dicendo: «Ehi, probabilmente ne avete
già sentito parlare.

Lasciate che vi spieghi cosa stiamo facendo qui».

Questo contribuisce a instaurare la fiducia nel fatto che i CISO prestino attenzione.

Sapete, ehi, so che stiamo costruendo un nuovo stabilimento in India.

Ecco alcune riflessioni e preoccupazioni al riguardo dal

dal mio punto di vista di CISO.

Ecco il tipo di cose a cui dovremmo pensare.

Penso che essere proattivi dimostri consapevolezza, competenza e
crei fiducia.

E penso che questo permetta davvero al CISO di contribuire al successo dell’azienda.

Quindi, Shawn, non avevo mai pensato a ciò che hai appena detto e mi piace molto.

E il CFO è a sua volta collegato al presidente del comitato di revisione.

Se si profila un problema, del tipo:

potremmo avere difficoltà a pagare gli stipendi o qualche altro problema finanziario,
ci si rivolge al revisore.

La fiducia si costruisce tra queste due figure.

Non c’è motivo.

Non c’è alcuna buona ragione per cui uno sizzle non debba fare qualcosa di simile.

Siate proattivi nelle vostre comunicazioni.

Sai, la vedo anche in termini di: quali domande dovrebbe porre il consiglio di amministrazione?

Non è questo, è solo in generale.

Conosciamo davvero tutti i nostri sistemi critici per l’azienda?

Abbiamo visibilità su tutte le identità umane e non umane?

E siamo preparati alla prossima ondata di identità con l’agentica?

Conosciamo davvero tutti gli account con privilegi e stiamo effettivamente monitorando il dark
web alla ricerca, per intenderci, delle nostre credenziali e cose del genere?

Se voi, noi, non riusciamo a rispondere a queste domande al consiglio di amministrazione, per me questo è un campanello d’allarme che
indica che non disponiamo delle capacità di cui abbiamo bisogno.

Non siamo davvero preparati per questo, per, sapete, essere un’azienda resiliente.

Quindi, all’inizio della conversazione, ho accennato al fatto che potrebbe essere utile per un consiglio di amministrazione avere
al suo interno qualcuno con esperienza nel settore IT e nella sicurezza informatica.

Per fare un esempio concreto, faccio parte del consiglio di amministrazione di un’azienda che stava cambiando il proprio sistema delle risorse umane
, e come tutti sanno, una transizione del genere comporta sempre dei rischi.

Ma ne siamo stati informati.

Ma la vera comprensione del rischio è venuta da me, in qualità di membro del consiglio di amministrazione, perché ponevo domande
basate sulla mia esperienza nella transizione di quei sistemi

e questo è stato davvero utile per il consiglio di amministrazione per capire a che punto fossero le cose.

E, tra l’altro, è stato molto utile anche per l’amministratore delegato, poiché non era un esperto di IT.

Così il rischio è stato davvero messo in primo piano e poi c’è stata una discussione approfondita del tipo: “Capisco
che sia un rischio ed ecco come lo sto gestendo”; è una discussione importante che i consigli di amministrazione

affrontare quando si apportano modifiche al proprio sistema o anche solo per comprendere i propri sistemi critici.

Pertanto, il CISO deve comprendere che sta informando

le persone incaricate di vigilare sull’azienda.

Deve spiegare loro quali sono i rischi reali per l’attività e i rischi aziendali,
utilizzando un linguaggio commerciale.

E deve discutere concretamente del piano e sostenere ciò di cui avrà bisogno dai
membri del consiglio di amministrazione.

Questo è assolutamente vero.

Ho avuto a che fare con molti consigli di amministrazione e con molti CISO.

E so che a volte i CISO sono riluttanti a farlo perché

il loro capo potrebbe essere presente al tavolo delle riunioni e non sono interessati a fornire
le informazioni che dovrebbero, poiché il consiglio di amministrazione ha quella responsabilità fiduciaria e

dovrebbe conoscere l’intera portata dei rischi.

Ma sono riluttanti a farlo e vorrei suggerire ai CISO, sempre agendo
in modo professionale e appropriato, che a volte ci vuole coraggio per fornire queste informazioni e si potrebbe

rompere qualche vetro, ma penso che si debba farlo e se vi trovate in una situazione
in cui sentite di non poter fornire le informazioni legittime e autorizzate che il consiglio di amministrazione ha

richieste o di cui dovrebbe essere a conoscenza, se non vi trovate in un ambiente favorevole
a ciò, dovete cercare un altro lavoro.

È difficile.

Una storia personale, senza entrare nei dettagli, da CIO di un dipartimento:

Ho molti CIO di divisioni e c’è stato un problema in una di queste, dove il
CIO di quella divisione aveva paura di parlare con i suoi superiori.

L’ho fatto io.

Non dovrebbe essere così.

Bisogna farlo.

E una volta che ho parlato con la dirigenza, si vedeva la sorpresa sui loro volti, ma
si sono anche resi conto che, beh, dovevamo fare qualcosa.

Quindi hai ragione, è difficile rompere il ghiaccio, ma bisogna farlo.

L’ho fatto con rispetto.

L’ho fatto in modo semplice.

E ci siamo messi a risolvere la questione.

Credo di aver detto a molti membri del consiglio di amministrazione che, quando si è seduti al tavolo, è necessario creare
un ambiente che favorisca la discussione aperta.

Se, in qualità di membro del consiglio di amministrazione, sei lì seduto cercando di cogliere qualcuno in fallo e
crei un’atmosfera che limita il libero dialogo, sei tu il problema.

State creando problemi a quel consiglio di amministrazione.

Deve essere favorevole.

Deve essere collaborativo.

E, ancora una volta, puntiamo tutti allo stesso obiettivo, giusto?

Vogliamo che l’azienda abbia successo.

Vogliamo ridurre al minimo i rischi, vogliamo soddisfare i nostri clienti.

Questo è ciò che dovremmo fare come azienda.

Il consiglio di amministrazione ha una responsabilità di supervisione.

Il CISO ha la responsabilità dell’esecuzione.

Ma insieme, dovete creare un ambiente che permetta che ciò avvenga.

E se, in qualità di membro del Consiglio di Amministrazione, non state creando quell’ambiente, dovete andare altrove
.

Ma dobbiamo comunicare i rischi e mitigarli.

Esatto.

E insieme formiamo una squadra.

E dobbiamo farlo in modo “delizioso”, perché mi piace questa parola.

Piacevole.

Beh, è stato davvero divertente parlare con voi due, John e Shawn, grazie.

E con questo si conclude il nostro podcast SHIFT.

Sono Melissa Hathaway, e questo era “Comunicare il rischio informatico in consiglio di amministrazione”.