Due direttori questa settimana. Stessa domanda da parte mia: mi parli dell'ultima riesame della direzione.
Il primo: "Il cosa?"
Il secondo: "Credo di aver firmato qualcosa a marzo."
Il mio team presso Cresco Cybersecurity, parte del gruppo Integrity360, sta accompagnando entrambe le organizzazioni verso la certificazione ISO 27001. Entrambe entrano in Stage 2 entro il mese. Entrambi gli ISMS sono in buona forma. Scopo redatto, valutazione del rischio completata, SoA giustificata riga per riga, audit interno chiuso e azioni tracciate. Nove mesi di lavoro solido da parte di persone che sapevano quello che facevano.
Ed entrambi stavano per portare il loro massimo responsabile in una stanza con un auditor, senza alcuna preparazione.
Nessuno avvisa il direttore che è in agenda
Vada a guardare il suo piano di audit. Il top management ha uno slot. Di solito è all'inizio, spesso prima che l'auditor abbia esaminato qualsiasi altra cosa, ed esiste perché ISO/IEC 17021-1 richiede che lo Stage 2 valuti la responsabilità della direzione. La responsabilità della direzione non si valuta leggendo una policy. Bisogna parlare con la direzione.
Quindi la prima impressione reale del suo ISMS viene dalla sola persona in azienda che non ha mai letto una clausola della norma.
Ed ecco il calcolo che nessuno fa. Un controllo mancante porta a una non conformità minore. Un owner mancante porta alla Clausola 5. Una si chiude con uno screenshot. L'altra dice che l'intero sistema non appartiene a nessuno, e cambia il modo in cui l'auditor legge ogni prova per il resto della settimana.
Il suo direttore non ha bisogno di sapere cos'è TLS. Se comincia a spiegarlo, è peggio, non meglio. Deve saper rispondere a sei domande.
Le sei domande
"Qual è lo scopo del suo ISMS?"
La risposta killer è "tutto quello che facciamo". La seconda killer è il silenzio, seguito da uno sguardo verso il security manager. Tutti nella stanza vedono quello sguardo.
Clausola 4.3. Il confine, in linguaggio di business. Quali servizi, quali team, quali sedi. E una cosa deliberatamente esclusa, con la relativa motivazione.
Quest'ultima parte conta più del resto. Chiunque può recitare ciò che è incluso. Solo chi ha partecipato alla conversazione sa cosa è stato lasciato fuori.
"Quali sono i suoi obiettivi di sicurezza delle informazioni?"
"Non farsi hackerare." È quello che ho sentito questa settimana. È onesto. Dice anche all'auditor che nessuno ha mai misurato nulla.
Clausola 6.2. Due o tre obiettivi, indicativamente, con una direzione di marcia. Nessuno si aspetta che un direttore citi cifre. Si aspettano che sappia su cosa l'azienda ha deciso di migliorare e se ci si sta riuscendo.
"Quali sono i suoi rischi principali?"
Osservi questa. Nove volte su dieci il direttore ripete quello che gli ha detto l'IT, e quello che gli ha detto l'IT è un elenco di controlli mancanti. Niente MFA. In ritardo con il patching. Nessun test DR dall'anno scorso.
Questi non sono rischi. Sono gap. Un auditor lo sente e capisce esattamente cosa è successo: la valutazione del rischio è stata costruita da un solo tecnico, in un foglio di calcolo, da solo, e non ha mai lasciato il team di sicurezza.
"Quali risorse ha messo a disposizione?"
Questa è quella che li coglie di sorpresa. Ogni singola volta.
"Supportiamo pienamente il programma." È una frase, non una risorsa. Le Clausole 5.1 e 7.1 vogliono qualcosa di quantificabile. Una voce di budget. Un'assunzione. Uno strumento pagato. Giorni liberati affinché qualcuno potesse effettivamente condurre l'audit interno. Una formazione approvata.
Se il suo direttore non riesce a citarne una, si confronti con la versione scomoda della questione: gliene ha mai chiesta una? Un direttore a cui non è mai stato chiesto nulla non è privo di supporto. È semplicemente non informato. E questo ricade su di lei.
"Chi è responsabile della sicurezza delle informazioni qui?"
"Il nostro CISO." Risposta sbagliata, e porta rapidamente a una finding sulla Clausola 5.3.
La responsabilità operativa si delega. L'accountability non si sposta. La risposta è "io", seguita da chi la gestisce giorno per giorno e con quale frequenza lo aggiorna.
"Mi parli dell'ultima riesame della direzione."
La domanda più rivelatrice dell'intero colloquio, per questo ho aperto con essa.
Tre elementi: questo è il minimo. Indicativamente quando. Chi era in sala. Una decisione che ne è emersa.
Una decisione. Solo quella.
Se non riesce a citarne una, l'auditor conclude quello che concluderebbe lei al suo posto: il riesame della direzione è avvenuto sulla carta, qualche giorno prima dell'audit, e nessuno ha preso una decisione perché nessuno era davvero presente. Poi vanno a verificare. Di solito hanno ragione.
E una che nessuno vede arrivare. Qualcuno ha verificato se il cambiamento climatico è rilevante per il suo ISMS? L'Amendment 1, febbraio 2024, ha aggiunto una singola frase alla Clausola 4.1: l'organizzazione deve determinare se il cambiamento climatico è una problematica rilevante. Gli auditor la pongono da quando gli audit di sorveglianza l'hanno recepita nello stesso anno.
"L'abbiamo valutato, incide sulla disponibilità nella nostra sede di Lisbona, è incluso nell'analisi del contesto" va benissimo. Come pure "l'abbiamo valutato, non è rilevante per il nostro ISMS, ed ecco dove lo abbiamo documentato."
È lecito concludere che non sia rilevante. Non è lecito non concludere nulla.
Regole per il colloquio
Risponda alla domanda, poi si fermi. Il silenzio non è un vuoto che il suo direttore deve riempire. È una tecnica. I direttori odiano il silenzio e lo riempiono con dettagli, e ogni dettaglio è una porta. Ogni porta è una nuova linea di indagine, ed è già agli atti.
"Non lo so, se ne occupa [nome]" è una risposta corretta. Improvvisare non lo è. Nessuno viene bocciato perché un direttore non detiene un dettaglio operativo. Ogni auditor segue un'informazione improvvisata che si rivela errata, e a quel punto ha un problema di credibilità che si aggiunge a uno di sostanza.
Non dica mai "sempre" o "mai". Gli assoluti sono un invito a campionare. Dica "revochiamo sempre gli accessi il giorno della cessazione" e l'auditor andrà a trovare il caso che si è perso. "Il processo prevede X, e lo rivediamo trimestralmente" regge al confronto con la realtà. Gli assoluti no.
Non risponda al posto degli altri. "Credo che l'IT se ne occupi" è un filo, e verrà tirato. "Se ne occupa [nome], disponibile questo pomeriggio" non lo è.
Nessuna promessa da mantenere dopo l'audit. Qualsiasi cosa il suo direttore si offra di inviare in seguito finisce direttamente nelle note. Se non esisteva durante l'audit, non esisteva. Stessa trappola con "ci stiamo lavorando". Se il lavoro è già registrato come azione di miglioramento con un owner e una data, lo dica esattamente. Se non lo è, il suo direttore ha appena dichiarato ad alta voce una non conformità.
Non si sfoghi. I direttori si sfogano. "Chiedo budget e non lo ottengo mai" è una finding sulla Clausola 7.1, rilasciata volontariamente, dalla persona in azienda la cui testimonianza ha il peso maggiore.
Accorgimenti che funzionano davvero
Invii tre righe evidenziate, non il pacchetto completo. Quarantotto ore prima, il verbale dell'ultimo riesame della direzione arriva al direttore con esattamente tre elementi marcati: la data, i partecipanti, una decisione. Nessuno legge un documento di dodici pagine la sera prima. Tutti leggono tre righe evidenziate.
Fornisca un solo numero. I direttori ricordano un numero. Scelga quello che dimostra il coinvolgimento e lo faccia loro. La cifra di budget, il numero di risorse, i giorni liberati per l'audit interno. Uno. Non un dashboard.
Scriva la frase sull'accountability insieme a loro, con le loro parole. Chi è accountable, chi gestisce operativamente, con quale frequenza si incontrano. Con il loro lessico, non il suo. Una frase costruita dal direttore stesso regge alla domanda di approfondimento. Una frase scritta da lei crolla alla seconda.
Faccia la prima simulazione senza il security manager in sala. Si scopre molto rapidamente cosa il direttore padroneggia davvero rispetto a ciò che gli viene normalmente passato. Riporti l'ISM per il secondo round.
Metta i documenti sul tavolo. Policy, dichiarazione dello scopo, obiettivi, verbale dell'ultimo riesame della direzione. Leggere da un documento non è barare; è esattamente il punto. Un direttore che dice "lasciatemi controllare il verbale" e poi lo controlla ha appena dimostrato che il verbale viene usato.
Chieda uno slot adeguato. Non incastrato tra due call con il board. Un direttore di fretta dà risposte secche, le risposte secche vengono lette come disimpegno, e l'auditor prolunga la sessione per capire perché. Venti minuti tranquilli sono più brevi di dieci affrettati.
Lo avverta che l'auditor potrebbe chiederle di uscire. Alcuni lo fanno, e ne hanno facoltà. Se il suo direttore mostra disappunto in quel momento, è un'informazione che l'auditor acquisisce gratuitamente.
Qualunque cosa emerga dalla simulazione, la registri
Questa è la mossa che i più si perdono.
Fa la simulazione una settimana prima e porta a galla tre gap reali. L'istinto è quello di andare a sistemarli in silenzio, come se non fossero mai esistiti.
Faccia il contrario. Li inserisca nel registro delle azioni di miglioramento lo stesso giorno, con un owner e una data.
Un gap che l'auditor trova e che lei aveva già registrato, assegnato e datato è la prova che la Clausola 10 funziona. Lo stesso gap, non registrato, è una non conformità. Può scegliere quale dei due diventa, e quella scelta scade nel momento in cui l'auditor si siede.
Non sta preparando il suo direttore. Sta facendo un audit a se stesso.
Quarantacinque minuti, una settimana prima. Non presento nulla. Pongo le sei domande ad alta voce, in ordine, e li lascio rispondere male.
Poi guardiamo insieme ciò a cui non hanno saputo rispondere, ed è lì che smette di essere una sessione di preparazione.
Non riesce a citare una decisione dal riesame della direzione? Il riesame della direzione non è reale.
Non riesce a citare una risorsa? Nessuno gliene ha mai chiesta una.
Non riesce a descrivere lo scopo? Lo scopo appartiene a chi lo ha redatto, e non era lui.
Non ha costruito un ISMS difettoso. Lo ha costruito accanto al business invece che dentro di esso. I documenti sono a posto. Il sistema semplicemente non passa attraverso le persone che la norma indica. Questa è una non conformità alla Clausola 5, e un auditor avrebbe ragione a rilevarla.
Meglio che la trovi lei di loro. Una settimana è sufficiente per renderla vera. Non è minimamente sufficiente per renderla presentabile.
Se il suo audit è lunedì
Tre cose, in quest'ordine.
Una decisione dall'ultimo riesame della direzione. Un numero che dimostri una risorsa. Una frase su chi è accountable.
Con queste tre cose il suo direttore entra con qualcosa di concreto da dire. Tutto il resto in questa pagina è per la prossima volta.
Entrambe le aziende con cui mi sono confrontato questa settimana hanno cambiato qualcosa nei giorni successivi. Nessun cambiamento era un documento.
Quindi vada a fare al suo direttore una domanda oggi. Mi citi una decisione dell'ultimo riesame della direzione.
Qualunque sia la risposta, quella è la sua risposta.
Christophe Mazzola è Head of GRC Practice Development presso Cresco Cybersecurity, parte del gruppo Integrity360, e CISO in attività.
I nostri corsi ISO/IEC 27001 Lead Implementer e Lead Auditor trattano la Clausola 5 e la Clausola 9.3 così come vengono verificate in audit, non come vengono riassunte nei manuali. Cinque giorni, certificazione PECB, €2.499. Se l'esame non viene superato in due tentativi, il rimborso è garantito.