Certi giorni sembra di dover essere un mago. Catapultati in riunioni senza alcun contesto. Chiamati a risolvere sistemi che non si controllano. Incolpati per interruzioni che non si sono causate. Con l'aspettativa di "trovare una soluzione" in tempo reale.
La cybersecurity non è difficile perché le minacce sono complesse. La cybersecurity è difficile perché metà dell'organizzazione si rifiuta di fare il proprio lavoro.
Diciamo ciò che tutti nel settore già sanno.
Un CISO non può realizzare un programma di sicurezza maturo se:
- l'IT non riesce a stabilizzare la propria infrastruttura,
- nessuno si occupa dell'igiene di base,
- il change control è facoltativo,
- e l'organizzazione tratta la sicurezza come un servizio di riparazione.
La sicurezza non è uno strato magico da spruzzare sopra il caos. È un sistema che dipende dal fatto che gli altri team facciano la loro parte.
Quando queste fondamenta cedono, la sicurezza cede con loro.
1. La cybersecurity fallisce quando fallisce l'igiene IT
Non si può costruire un programma di sicurezza sopra:
- server senza patch,
- asset sconosciuti,
- endpoint non gestiti,
- GPO non funzionanti,
- configurazioni inconsistenti,
- account orfani,
- sistemi non documentati.
Molte organizzazioni non superano nemmeno i primi due controlli SANS/CIS (le basi assolute), eppure si aspettano un "programma di sicurezza completo".
La sicurezza non può compensare la negligenza operativa. Se l'IT fallisce sull'igiene, la cybersecurity diventa teatro.
2. Il CISO non è il proprietario di ogni problema
In qualche modo, la sicurezza viene trascinata in:
- interruzioni di rete,
- problemi di autenticazione,
- problemi di performance,
- workload cloud mal configurati,
- errori di deployment,
- scelte architetturali sbagliate.
E quando le cose si rompono? Si incolpano gli strumenti di sicurezza.
Non perché siano colpevoli, ma perché nessuno vuole fare pressione sui team che hanno causato il problema.
Il risultato: il Cyber diventa il capro espiatorio di problemi che non ha creato e che non può risolvere.
3. La responsabilità muore quando il management evita le domande difficili
Se il CIO o il direttore IT si rifiuta di imporre disciplina, nulla cambia.
Si finisce con:
- ingegneri che non fanno mai troubleshooting,
- amministratori che non documentano mai,
- team che non si aggiornano mai,
- e guasti ripetuti che diventano magicamente "colpa della sicurezza".
Elusione del management = caos operativo.
Ci si aspetta che la sicurezza compensi, anche se la sicurezza non controlla i team che hanno generato il rischio.
Non è governance. È abdicazione.
4. Il change control è trattato come documentazione facoltativa
Nelle organizzazioni mature, il change control previene le interruzioni. In quelle immature, il change control "rallenta le persone".
Cosa succede invece?
- i sistemi si rompono,
- i log scompaiono,
- i flussi di identità collassano,
- il monitoraggio diventa cieco,
- gli incidenti si moltiplicano.
E chi viene chiamato a ripulire il disordine? La sicurezza.
Senza un vero change control, la risposta agli incidenti diventa un esercizio di indovinelli e l'intera postura di sicurezza diventa strutturalmente instabile.
5. La sicurezza non può rispondere agli incidenti senza accesso. Punto.
Ci si aspetta che i responsabili della risposta agli incidenti siano supereroi senza strumenti.
Nessun diritto di amministrazione. Nessuna visibilità. Nessun logging. Nessun accesso ai sistemi da analizzare. E nessun privilegio di risposta quando il tempo stringe.
Poi il management si chiede perché le indagini richiedano così tanto tempo.
Non si può pretendere rapidità quando si nega ai responsabili la possibilità di rispondere.
6. Riunioni ovunque, esecuzione da nessuna parte
Quando il calendario è pieno di:
- call di allineamento,
- call di aggiornamento,
- pre-riunioni per la riunione vera,
- sync di crisi,
- "domande veloci",
- revisioni di stato…
…non rimane tempo per gestire un programma di sicurezza.
La governance collassa sotto il peso del proprio rumore.
I responsabili della sicurezza non falliscono perché sono incompetenti. Falliscono perché sono sepolti vivi dall'attrito organizzativo.
7. Il burnout non è causato dagli attori delle minacce. È causato dalla disfunzione interna.
L'esaurimento non viene da malware, ransomware o phishing. Viene da:
- combattere le stesse battaglie interne ogni settimana,
- compensare le stesse lacune IT ogni mese,
- inseguire accessi richiesti da anni,
- spiegare rischi che nessuno vuole possedere,
- farsi carico di lavoro che dovrebbe essere condiviso tra i team.
La sicurezza è collaborativa per natura. Ma la collaborazione fallisce quando ogni altro team assume che il Cyber "risolverà in qualche modo".
Considerazione finale
La cybersecurity non può avere successo nel vuoto. Ha successo quando:
- l'IT si fa carico dell'igiene,
- il management impone la responsabilità,
- i team hanno accesso per svolgere il proprio lavoro,
- i cambiamenti sono controllati,
- e l'organizzazione comprende la responsabilità condivisa.
La sicurezza non è magia. È struttura, disciplina e lavoro di squadra. E senza quella base, il CISO diventa il responsabile di default per ogni fallimento dell'organizzazione.
Il Cyber non ha bisogno di più strumenti. Ha bisogno di partner.
Se si vuole costruire una funzione di cybersecurity che funzioni davvero, fondata su governance, responsabilità e responsabilità condivisa, è esattamente ciò che insegniamo nei programmi Cyber Academy Lead Implementer. Partecipa alla prossima sessione e guida la sicurezza senza portare l'intera organizzazione sulle proprie spalle.