Cybersecurity con Direttive, CIS20, NIS2, DORA: è realmente solida senza coscienza?
Tutti strumenti fondamentali ma se non trasformati in azioni quotidiane sono e saranno solo burocrazia che si aggiunge ai tanti altri lavori giornalieri.
Guardando uno degli ultimi episodi di cronaca nell’ambito di sicurezza delle informazioni ( https://www.federprivacy.org/informazione/societa/il-dipendente-rovista-nei-conti-della-sua-ex-sanzione-di-100-mila-euro-per-la-banca-intesa-sanpaolo ) viene subito messa in evidenza quanto sia indispensabile l’applicazione cosciente e consapevole dei controlli come del resto previsti dalle diverse direttive applicabili.
Com’è stato possibile che un dipendente esegua migliaia di accessi indebiti senza che i responsabili IT notino questo comportamento? Tutto questo in uno tra i maggiori istituti bancari italiani?
Le Frameworks di sicurezza, la consultazione dei log, i SIEM, i SOC e i NOC su quali livelli di sicurezza erano stati settati? E a cosa avevano accesso gli Utenti? Evidentemente, i sistemi di controllo interni non erano sufficientemente rigorosi o non sono stati utilizzati correttamente.
Non coinvolgere i vari livelli del management alle proprie responsabilità ma definire solamente con “comportamento personale” o come “incidente” è agli occhi di tutti un alibi molto comodo ma anche molto pericoloso.
Allora un’amara constatazione: spesso le regole ci sono, rinforzate e rafforzate dalle normative ma procrastinate nell’applicazione a quando ci saranno tempo e risorse.
La coscienza del proprio lavoro, del proprio ruolo e delle proprie responsabilità sono le basi su cui poggia una cybersecurity solida.