È noto che la Sicurezza delle Informazioni è fatta da PERSONE, PROCESSI e TECNOLOGIA, esattamente in questo ordine, perché PERSONE e PROCESSI determinano le soluzioni tecnologiche necessarie.

L’evoluzione della TECNOLOGIA informatica e le continue “mutazioni” delle tecniche di attacco dei Cyber-criminali spingono il mercato dei prodotti e dei servizi di Cybersecurity a realizzare a ritmo frenetico nuove soluzioni e ad arricchire di funzionalità quelle esistenti.

Per orientarsi per capire quali sono le soluzioni più adatte per la propria Azienda è indispensabile avere solide basi di Informatica e Sicurezza, essere aggiornati su questo mercato e comprenderne il linguaggio.

In caso contrario si rischia di acquistare prodotti e servizi che non risolvono le esigenze veramente importanti dell’Azienda o non si è in grado di implementarli perché troppo complessi e onerosi per le risorse disponibili.

Il Programma di Sicurezza delle Informazioni coordinato dal Fractional CISO (vedi 9.Il Programma di Sicurezza delle Informazioni) identifica le aree critiche dell’Azienda, stabilisce la priorità degli interventi e quali soluzioni tecnologiche sono necessarie.

I PRODOTTI DI SICUREZZA

Per acquistare un prodotto di sicurezza, come ad esempio un firewall, un software EDR (End-point Detect and Response) oltre al costo di acquisto bisogna comprenderne le caratteristiche tecniche, l’efficacia, i requisiti per la sua corretta configurazione e gestione, l’applicabilità al contesto dell’Azienda, i termini di licenza, i costi di gestione.

I SERVIZI DI SICUREZZA

Molto spesso le aziende di piccole e medie dimensioni hanno le risorse interne misurate se non inferiori a quelle che servirebbero, diventa perciò naturale esternalizzare presso operatori specializzati (MSP – Managed Service Provider) le funzioni di Sicurezza che richiedono competenze specifiche, come ad esempio Vulnerability Test, Penetration test, gestione EDR, monitoraggio dei server, SOC (Security Operation Center) ecc.

In questi casi si deve individuare il partner adatto per l’Azienda, non solo in termini economici, ma di servizio offerto (deve essere ciò che realmente serve), Livelli di servizio garantiti (SLA), reporting per controllare il funzionamento e l’efficacia del servizio (Key Perfomance Index - KPI, Key Risk Index - KRI).

Oltre ad un contratto di servizio chiaro è indispensabile che il dialogo tra Azienda e MSP sia bidirezionale e continuo: per calibrare il servizio, risolvere i problemi, adeguarlo ai cambiamenti dell’Azienda o del contesto operativo.

Anche queste attività sono “nel radar” del Fractional CISO di CISOaaS-it.