Per gestire la cybersicurezza, partirei dalle decisioni spesso ferme tra funzioni. La sicurezza può individuare un’esposizione, la finanza controlla i fondi e le operazioni, la finestra di modifica. Come CEO, riunirei questi poteri in un confronto decisionale periodico.
Il confronto
Presiederei una verifica mensile con il CISO, responsabili di tecnologia, finanza e operazioni e delle attività coinvolte. In agenda: compromessi irrisolti, dipendenze comuni e impegni che esigono interventi. I delegati curerebbero la routine; gli incidenti urgenti seguirebbero un percorso di risposta immediata.
Ogni proposta indicherebbe scadenza decisionale, evidenze, opzioni praticabili e capacità assorbita da ciascuna. Esigerei la presenza di chi può impegnare risorse o di sostituti autorizzati. Il confronto si chiuderebbe con un decisore nominato e un ordine eseguibile. Non esigerei il consenso per agire.
Il percorso
Porrei tre domande. Il tema rientra nei poteri e nelle risorse di un responsabile? Restituirlo per l’esecuzione. Richiede a gruppi con esigenze concorrenti di cambiare priorità? Decidere nella sede di confronto. Supera un limite di rischio approvato o riguarda una materia riservata al consiglio? Chiedere la decisione del consiglio, con protezione provvisoria a carico della direzione.
Confronterei danno ai clienti, costo del ritardo, fattibilità operativa ed esposizione residua. Se mancano evidenze, chiederei la verifica specifica capace di cambiare la scelta e l’ultimo momento sicuro per decidere. Anticipare scadenze impone di anticipare decisioni.
La supervisione
Il NIST CSF 2.0 colloca strategia, ruoli, politiche e supervisione nella funzione Govern. Userei questi risultati per esaminare il nostro assetto; l’incontro mensile è la mia proposta di attuazione.
Chiederei al consiglio di approvare i limiti strategici di rischio e verificare che la direzione li rispetti. La direzione sceglie controlli, assegna lavoro e risponde dell’esecuzione. Ai consiglieri servono scostamenti rilevanti, disaccordi aperti e prove del seguito dato. Il CISO avrebbe accesso diretto al consiglio per contestare il mio resoconto.
Esempio ipotetico
Supponiamo che paghe e fatturazione clienti richiedano gli stessi ingegneri per separare gli accessi privilegiati. Entrambi chiedono priorità. Riunirei i responsabili per confrontare prossimi obblighi di pagamento, permessi esposti e restrizioni provvisorie praticabili. Il gruppo potrebbe dare la prima finestra alle paghe e limitare gli accessi della fatturazione fino al suo turno. La finanza dovrebbe accettare il carico risultante. Se l’accordo superasse un limite approvato, lo farei decidere al livello competente prima di agire.
Il seguito
Alla verifica seguente controllerei fondi, programma e tenuta delle protezioni. Una dipendenza mancata riaprirebbe l’assegnazione. Valuterei se i conflitti arrivano a una decisione autorizzata prima che le scadenze impongano l’esito e se il consiglio può seguire la decisione fino all’azione.