Sono trascorsi diversi mesi dal manifestarsi della pandemia da COVID-19, vissuta e subita da molte organizzazioni come evento traumatico e fortemente impattante che ha evidenziato importanti lacune, in particolare nel campo della sicurezza informatica e della continuità operativa.
Con il tempo, molte aziende hanno trasformato questi campanelli di allarme in opportunità rappresentate da maggiori investimenti in termini di budget e/o di tempo da dedicare a tematiche di sicurezza, per colmare e dare risposta alle lacune emerse durante l’emergenza e gestire con prontezza una pluralità di rischi in costante e continua evoluzione.
Ricordiamo in particolare la sicurezza del lavoro da remoto, visto il numero sempre crescente di persone che lavorano a distanza; fino alla gestione delle problematiche relative alla resilienza per sostenere le operazioni aziendali.
Oggi, alla luce di quanto accaduto, possiamo sicuramente affermare che un piano di Continuità Operativa aziendale ben consolidato consente alle aziende di fronteggiare crisi determinate da scenari in precedenza non prevedibili e di operare in una condizione ottimale, cioè il più possibile vicina alla normalità.
Analizziamo, di seguito, alcune proposte di attività aziendali che daranno luogo ad azioni e interventi di miglioramento della continuità operativa aziendale.
1. Identificare le lacune esistenti e definire un piano di miglioramento aziendale
È necessario effettuare una analisi AS-IS legata ai processi, alle tecnologie, alle applicazioni in essere per identificare le lacune di sicurezza e i relativi punti di miglioramento su cui concentrare gli sforzi.
Tale analisi può riguardare i seguenti ambiti:
- Policy: esistono un piano e una strategia di Business Continuity? Sono state definite le policy di Business Continuity?
- Processi: sono analizzati annualmente attraverso la Business Impact Analysis? Sono stati identificati i processi, le risorse, le applicazioni considerate critiche? Ci sono processi che non possono essere svolti da remoto?
- Infrastruttura: l’infrastruttura per l’accesso remoto necessita di aggiornamenti?
- Applicazioni: è possibile per gli utenti scaricare autonomamente applicazioni o viene permesso solo dopo un confronto con l’IT? Sono state comunicate le applicazioni consigliate per i meeting online? Si è analizzato se vi siano applicazioni considerate shadow IT?
- Software: sono state installate tutte le patch disponibili?
- Network: sono possibili eventuali ulteriori interventi? È possibile potenziare il traffico necessario per il lavoro da remoto?
2. Formare il personale circa l’importanza della sicurezza e dei possibili impatti del loro operato sull’organizzazione
Spesso si pensa che la sicurezza aziendale sia una responsabilità dei soli dipartimenti IT.
In una visione unitaria aziendale tutto il personale – compresi i collaboratori esterni – deve invece interagire e considerarsi parte attiva dell’organizzazione anche per quanto concerne la responsabilità in materia di sicurezza aziendale.
I mesi di pandemia hanno evidenziato che l’utilizzo consistente del lavoro da remoto ha determinato un aumento dei rischi in materia di sicurezza, compresi i tranelli ben studiati dagli hacker con conseguenze spesso devastanti per l’organizzazione.
I corsi di formazione e le iniziative di awareness diventano fondamentali per coinvolgere tutto il personale nella conoscenza e gestione dei nuovi servizi adottati dall’organizzazione, per confrontarsi su dubbi e conoscenze circa gli strumenti disponibili e le azioni da adottare per evitare o ridurre i rischi informatici.
Ottobre è stato il Cyber Security Month 2020, un’occasione per sostenere e implementare l’attenzione che tutto il personale deve rivolgere all’ambito informatico nei suoi molteplici aspetti: dal sapere riconoscere un’email di phishing, a come scegliere una password sicura, fino alle modalità sicure per gestire dati, documenti e informazioni sensibili lavorando da postazioni remote.
Non perdiamo l’opportunità di rinnovare l’awareness il prossimo 30 novembre, in occasione del Cyber Monday 2020.
3. Verificare la preparazione dei fornitori
La preparazione dei fornitori in tema di sicurezza e continuità operativa viene spesso trascurata nelle analisi aziendali. Con l’outsourcing di un servizio, le aziende tendono a sottovalutare i molteplici rischi e le conseguenze negative di un comportamento inadeguato dei fornitori.
Una soluzione può essere quella di condividere un questionario di self-assessment volto a verificare la maturità dei fornitori sui temi di cyber security e di Business Continuity.
Infine, è importante analizzare la strategia e il piano di Business Continuity dei fornitori, oltre a richiedere le evidenze degli annuali test di Business Continuity da loro effettuati.
Oggi, a distanza di diversi mesi dall’inizio della pandemia che ha colto impreparato un importante numero di organizzazioni, abbiamo maturato esperienza e perfezionato nuovi strumenti di gestione per affrontare emergenze non prevedibili, siano esse pandemie o scenari di rischio ancora diversi (minacce terroristiche, attacchi cyber, disastri naturali etc.).
Articolo a cura di Lisa Da Re
L’articolo La sfida del COVID-19: dalla crisi pandemica alle opportunità di Business Continuity proviene da ICT Security Magazine.
