Sicurezza delle informazioni o sicurezza informatica? Quale è la differenza?

Un firewall di ultima generazione o una infrastruttura cloud ultrasicura non bastano a proteggere davvero la tua azienda: la sicurezza informatica, infatti, non equivale alla sicurezza delle informazioni. La prima è un sottoinsieme tecnologico: reti, software, dispositivi; la seconda invece è un perimetro decisamente più ampio: è la salvaguardia dell’intero patrimonio informativo aziendale – ad oggi uno dei più importanti asset di ogni organizzazione – indipendentemente dal supporto su cui risiede. Le aziende possono disporre della migliore tecnologia ma rischiano di rimanere comunque esposte: il rischio più diffuso è organizzativo non tecnologico.

Sicurezza delle informazioni vs Sicurezza informatica

Il patrimonio informativo, per una azienda, è una risorsa fondamentale, estremamente importante ma anche “Precious”, giusto per citare i Depeche Mode, uno dei miei gruppi musicali preferiti. Quando parliamo di sicurezza delle informazioni, non ci dobbiamo limitare alla sicurezza informatica, cioè alla protezione di reti, sistemi e dispositivi. Il perimetro infatti riguarda l’intero ciclo di vita dei nostri dati, a prescindere dal supporto su cui risiedono: dalla raccolti alla gestione, conservazione e cancellazione, senza dimenticare chi può consultarli o come possiamo trasmetterli ad altri soggetti. Un contratto cartaceo oppure documenti di carattere estremamente riservato, se lasciati su una scrivania incustodita o in un armadio aperto, sono a rischio quanto un database esposto su internet. La distinzione conta perché definisce chi deve occuparsene: non solo il Responsabile dei Sistemi informativi, ma l’intera organizzazione, a partire dalla Direzione.

È un errore comune tra le aziende pensare di aver risolto il problema comprando l’ultimo firewall o delegando tutto al reparto IT. Vale anche qui la lezione di Spider Man: “da grandi poteri derivano grandi responsabilità”. Tecnologia avanzata senza processi governati e personale formato non è potere sotto controllo: è, nella pratica, uno spreco di budget che genera un falso senso di sicurezza.

Riservatezza, Integrità e Disponibilità (RID): i tre pilastri da proteggere

La sicurezza delle informazioni ruota attorno a tre pilastri fondamentali: Riservatezza, Integrità e Disponibilità (RID) che rappresentano la bussola decisionale della Direzione, non un semplice tecnicismo da manuale. Sempre citando i Depeche Mode, ciascuno di questi tre pilastri trova il suo riflesso in un loro brano.

Riservatezza: il nostro “Secret to the End”

Solo chi ha diritto di accedere a un’informazione può farlo. Un segreto resta tale solo fino alla fine se qualcuno lo custodisce con costanza. Ricordiamo che la violazione più insidiosa non sempre arriva da un attacco informatico, ma anche da chi parla o lascia in bella vista ciò che dovrebbe rimanere riservato. Un estraneo che si trattiene in reception e legge documenti lasciati su una scrivania compromette la riservatezza tanto quanto un data breach digitale.

Integrità: una vera “Policy of Truth”

Garantire che le informazioni siano accurate, complete e non alterate lungo tutto il loro ciclo di vita: è la “policy of truth” operativa che ogni organizzazione dovrebbe darsi. Un file modificato per errore, un documento alterato sono violazioni di integrità, spesso senza alcun intervento di un hacker.

Disponibilità: la promessa di “Never Let Me Down Again”

Le informazioni devono essere accessibili a chi ne ha diritto, quando servono. È la promessa implicita nel titolo di questa canzone: un sistema affidabile non ci lascia soli nel momento del bisogno. Un incendio nella sala server o un blackout prolungato sono incidenti di sicurezza delle informazioni gravissimi, perché bloccano la disponibilità dei dati, anche se nessun hacker ha violato la rete: senza una vera continuità operativa, è esattamente il momento in cui siamo scoperti, quando serviva di più.

Due esempi che la tecnologia avanzata non può evitare

Un blackout non avvisa: arriva e basta. È esattamente quello che succede quando un incidente di sicurezza delle informazioni non ha nulla a che fare con un hacker. Immaginiamo un’interruzione di corrente prolungata in un’organizzazione che rende inaccessibili i sistemi di produzione per diverse ore: nessun attacco, nessun hacker, ma un incidente di sicurezza delle informazioni a tutti gli effetti cioè una violazione di disponibilità. Oppure, pensiamo ad una postazione di lavoro, in una sala d’attesa di un ambulatorio, lasciata temporaneamente incustodita per un’emergenza e con informazioni di un paziente a vista: in questo caso parliamo di violazione di riservatezza che, esattamente come nel blackout, non ha richiesto una sola riga di codice.

Chi decide vs chi implementa

Chi governa l’azienda deve smettere di delegare la sicurezza esclusivamente al reparto IT. La normativa vigente – tra cui non dimentichiamo la NIS2 – non permette gestioni improvvisate. La Direzione deve prendere il controllo tramite una vera governance che preveda, prima ancora di investire in nuovi software:

• un’analisi dei rischi a 360 gradi che tenga in considerazione tutti i possibili fattori (comprese le persone);
• la definizione di procedure operative chiare che descrivano esattamente il comportamento e i processi.

È il punto di partenza sono le 3P:

• Processi: Regole chiare, procedure definite e monitoraggio costante.
• Persone: Formazione, consapevolezza e cultura della sicurezza a ogni livello.
• Prodotti: La tecnologia necessaria, scelta e configurata a supporto dei processi (e non viceversa).

Cosa fare già da lunedì mattina?

• Smettere di considerare la sicurezza come un problema unicamente IT: la Direzione deve essere coinvolta nelle scelte strategiche sulla gestione del rischio.
• Identificare dove risiedono le informazioni critiche su carta o presso i fornitori esterni.
• Valutare se gli investimenti tecnologici attuali siano affiancati da una reale formazione del personale e da policy operative applicate.