Un venerdi sera, un cliente richiama Sophie B. proprio prima di riagganciare: "A proposito, come fa a sapere che le sue protezioni funzionano davvero?" Lei risponde di avere "un antivirus e un fornitore che se ne occupa", poi resta pensierosa. Ha appena capito di non avere alcun numero per governare la propria cybersicurezza: niente per rassicurare quel cliente, niente per rassicurare se stessa.
Governare la cybersicurezza significa prima di tutto misurarla
In uno studio fiduciario la sicurezza informatica assomiglia spesso a una scatola nera: si paga un fornitore esterno, si incrociano le dita e si presume che "sia tutto sotto controllo". Il problema e che una supposizione non si puo governare. Non si sa se la situazione migliora, ristagna o peggiora, e il giorno in cui un cliente, un revisore o l'assicurazione fa la domanda, non c'e nulla da mostrare.
Governare non significa diventare informatici. Significa seguire alcuni indicatori — in inglese si parla di KPI, cioe un numero semplice che risponde a una domanda precisa: "funziona?" Un buon indicatore sta in una riga, si legge a colpo d'occhio e porta a una decisione. Non serve un cruscotto da trenta colonne: per una PMI, tre o quattro numeri ben scelti dicono piu di un rapporto che nessuno legge.
Uno studio fiduciario e particolarmente coinvolto per tre ragioni molto concrete. Primo, tratta alcuni dei dati piu sensibili in assoluto: contabilita, salari, situazioni fiscali e bancarie di decine di clienti. Secondo, di solito non ha un informatico interno: la sicurezza e delegata e quindi poco visibile a chi porta comunque la responsabilita verso i clienti. Terzo, sono proprio questi clienti a cominciare a chiedere garanzie prima di affidare i loro dossier. In questo contesto, "mi fido del mio fornitore" non basta piu: bisogna poter mostrare qualcosa di tangibile.
In parole semplici. Un indicatore utile e un numero che vi fa fare qualcosa. Se vederlo muovere non cambia nessuna delle vostre decisioni, non ha valore: eliminatelo e tenete quello che conta davvero.
Prendiamo un esempio parlante per uno studio come quello di Sophie B. La domanda "tutti usano l'autenticazione a due fattori?" — l'autenticazione a due fattori (MFA) consiste nel chiedere, oltre alla password, una seconda prova, per esempio un codice sul telefono — diventa un indicatore appena la si trasforma in percentuale: "8 account su 14 sono protetti dall'autenticazione a due fattori." Si passa da un'impressione vaga a un numero. E un numero si puo seguire, gli si puo fissare un obiettivo e si puo mostrare.
Attenzione pero: non tutti i numeri valgono allo stesso modo. "Numero di e-mail bloccate dall'antivirus il mese scorso" fa colpo in un rapporto, ma non vi fa decidere nulla: e cio che si chiama un indicatore di vanita. Al contrario, "quota di account protetti dall'autenticazione a due fattori" o "abbiamo testato un ripristino del backup questo trimestre?" indicano un'azione chiara quando la risposta non piace. Prima di adottare un indicatore, ponetevi una domanda: "se questo numero e cattivo, sapro cosa fare?" Se si, tenetelo. Se no, lasciatelo da parte.
Cosa ricordare
Pochi indicatori bastano. L'errore classico e voler misurare tutto in una volta, per poi arrendersi dopo due mesi. Tre indicatori semplici seguiti nel tempo valgono piu di quindici misurati una sola volta e dimenticati in un foglio di calcolo. Cominciate in piccolo: ne aggiungerete quando i primi saranno diventati un'abitudine senza sforzo. La regolarita conta piu della completezza: un numero modesto che guardate ogni trimestre pesa piu di un cruscotto perfetto consultato una volta sola.
Un indicatore vale qualcosa solo se guida una decisione. Sapere che meta del team non ha ancora l'autenticazione a due fattori conta solo se innesca un'azione: parlarne con il fornitore, pianificare l'attivazione, ricontrollare il mese seguente. Il numero e un punto di partenza, non un fine in se.
Misurare e anche cio che vi verra chiesto. La nLPD — la nuova legge svizzera sulla protezione dei dati — si aspetta che una PMI che detiene dati sensibili (e uno studio fiduciario ne detiene molti) adotti misure di sicurezza "adeguate". Senza alcuni indicatori, e impossibile dimostrare che state davvero governando qualcosa. Sempre piu clienti e committenti pongono la domanda prima di affidare i loro dossier, a volte sotto forma di un questionario di sicurezza da compilare. Il giorno in cui quel documento arriva, meglio avere gia qualche numero a portata di mano che dover ricostruire tutto sotto pressione.
I passi da adottare questa settimana
1. Scegliere tre indicatori che parlano al vostro mestiere
Non serve la lista completa: tenetela per dopo. Questa settimana scegliete tre numeri facili da ottenere e significativi per uno studio fiduciario. Per esempio: la percentuale di account protetti dall'autenticazione a due fattori; la risposta "si / no" a "abbiamo testato un ripristino del backup negli ultimi tre mesi?"; la quota di collaboratori che hanno seguito una breve sensibilizzazione quest'anno. Tre indicatori concreti, che capite senza essere del mestiere.
2. Fissare un valore di partenza e un obiettivo
Per ogni indicatore, annotate il valore di oggi, anche se e imbarazzante. E il vostro punto di riferimento, e nessuno vi giudichera su questa linea di partenza. Poi fissate un obiettivo semplice e datato: "passare da 8 account protetti su 14 a 14 su 14 entro tre mesi". Un obiettivo trasforma una constatazione in una direzione. Senza, un indicatore e solo una fotografia; con esso, e una rotta — e un progresso che vedrete concretamente all'appuntamento successivo.
3. Guardare questi numeri a data fissa
Un indicatore che non si guarda mai non serve a nulla. Bloccate trenta minuti a trimestre in agenda — da soli o con il vostro fornitore — per rivedere i vostri tre numeri. Si sono mossi nella direzione giusta? Se no, perche, e quale piccola azione decidiamo? Annotate la decisione in una riga e, trimestre dopo trimestre, costruirete una traccia del vostro progresso: esattamente cio che potrete mostrare a un cliente o a un revisore. E questo appuntamento regolare, piu di qualsiasi strumento, a fare la differenza tra subire la propria sicurezza e governarla. L'Ufficio federale della cibersicurezza (UFCS, ex NCSC) pubblica inoltre raccomandazioni pratiche per le PMI, utili per scegliere i gesti giusti dietro ogni numero.
A che punto siete davvero?
Scegliere gli indicatori giusti, sapere quali contano davvero per una PMI svizzera di fronte alla nLPD e alle domande dei suoi clienti, e esattamente cio che un'autovalutazione strutturata mette in chiaro. Cyber Passport non certifica nulla e non vi dichiara "conformi": vi mostra, domanda dopo domanda, dove la vostra organizzazione e solida e dove poggia ancora sulla fiducia e sull'abitudine. Ottenete un'immagine della vostra maturita, senza gergo e senza giudizio — e, appunto, alcuni indicatori chiari per governare la vostra cybersicurezza e condividerli con fiducia con un cliente o un revisore. Il blueprint "Indicatori cyber" vi fornisce poi l'insieme completo di indicatori da seguire, con obiettivi consigliati, soglie di allerta e un modello di tabella di monitoraggio pronto all'uso per il vostro prossimo appuntamento trimestrale.
