Le attività di consulenza e di programmazione che svolgo vanno nella direzione opposta a quella rappresentata e alla filosofia di molti professionisti che indicano prodotti software o dispositivi di sicurezza solo per una questione commerciale. 

Avendo una formazione, in continuo aggiornamento, trasversale in Cyber Security e Cyber Defence e Digital Forensics, mi occupo di comprendere dapprima il reale stato dell’azienda per poi ridurne le “vulnerabilità”. 

Partendo dal concetto che la Cyber Security si costruisce a strati, un po' come quella fisica, gli ambiti presi in esame sono: 

• La parte fisica dei dispositivi e degli ambienti 
• La reale Business Continuity necessaria
• La gestione della conoscenza degli operatori 
• La parte software/gestionale/dispositivi di rete/server/workstation/VPN-interconnessioni 
• TLC
• Fornitori e clienti

Nella quasi totalità dei casi, questi punti sopra descritti, purtroppo non vengono mai gestiti centralmente e quindi prima o poi, o per causa di un attaccante interno o esterno (Insider – Outsider), in uno di questi, si aprirà una falla, andando a influire negativamente anche sugli altri. 

Il mio lavoro è quello di creare un trait d’union tra sicurezza informatica, stabilità e funzionalità dei sistemi, business continuity e protezione legale (digitale).  Far comprendere al titolare d’impresa il reale stato della sua infrastruttura digitale, valutarne la “Resistenza” andando a scoprire i punti deboli per poi correggerli nel tempo e in tempo, prima che queste vengano sfruttate da qualcuno di ostile. I due percorsi che faccio intraprendere subito ad un’azienda, normalmente sono:

• Gap Analisys 
• Valutazione dei rischi 

 Tutto ciò permette una protezione di gran lunga più elevata, che non si limita alla sola componente tecnica informatica, ma arriva a tutelare:

• Il Know How aziendale e quindi il Business - 
• Questioni legali e contrattuali con partner, clienti e dipendenti
• L’immagine aziendale
• La Business Continuity aziendale 
• Il GDPR
• E tutte le questioni tecniche di cui nessuno mai si vorrebbe occupare

La Cyber Security nel GDPR

Nel GDPR esistono i principi 

• Accountability, che in estrema sintesi la possiamo così descrivere
  • “il titolare del trattamento mette in atto misure tecniche e organizzative adeguate a garantire, ed essere in grado di dimostrare, che il trattamento dei dati personali è effettuato conformemente al Regolamento. Dette misure sono riesaminate e aggiornate qualora necessario”. 
• Privacy by default, sempre in estrema sintesi 
  • Il principio di privacy by default (protezione per impostazione predefinita) prevede, appunto, che per impostazione predefinita le aziende dovrebbero trattare solo i dati personali nella misura necessaria e sufficiente per le finalità previste e per il periodo strettamente necessario a tali fini e con gli strumenti adeguati valutati durante l’analisi dei rischi
• Privacy by design 
  • prevenire non correggere, cioè i problemi vanno valutati nella fase di progettazione, e l'applicativo deve prevenire il verificarsi dei rischi;

Sempre nel GDPR troviamo un altro principio: '"awareness" o "consapevolezza".

Ecco, per la maggior parte delle volte, nelle aziende non percepisco la reale consapevolezza del rischio dei dati trattati, della loro tipologia, di chi fa cosa o di chi può vedere e fare cosa. Quindi va da se che poi la responsabilità può essere alterata o addirittura sottostimata. 

Possiamo affermare che tale processo di rendere “consapevole” un AD o Resp, in alcuni casi non è semplice in quanto il percorso è di tipo cognitivo. L’errore che spesso si fa è affidarsi alla sola semplice sensazione o dalla percezione stessa, ancora peggio fermarsi ai semplici termini, Backup, Antivirus, Firewall. 

La difficoltà che spesso, personalmente ho, è semplificare le centinaia di processi che ho in testa per rendere consapevole i miei interlocutori. 

Alla fine del colloquio cerco di capire quale sia la percentuale della semplice "percezione sensoriale" relativa al rischio connesso al trattamento, e la reale “consapevolezza”. 

Dalla mia esperienza, per migliorare la Cyber Security in modo “SMART”, basterebbe avere un approccio di tipo Risked Based Thinking, ovvero pensare al rischio del nuovo trattamento dati, quindi porsi nello scenario peggiore…….. quindi post attacco/data breach e pensare ai rischi che la nostra azienda potrebbe correre. 

Per questo motivo che il mio studio si posiziona al centro, proprio per via dell’esigenza di tenere uniti e allineati ogni singolo punto visto fino a qui. 

Penso di avere un ruolo fondamentale e cruciale nel supportare il titolare e avere una comprensione globale in tutte le fasi di progettazione, ideazione, verifica e monitoraggio dei sistemi di Cyber Security, Cyber Defense, e dei contenitori – (Server e Networking) e della loro gestione dei dati, oggetto di trattamento.  

La mia più grande forza è che riesco a trasmettere al titolare le reali conoscenze tecniche e normative applicate alla Cyber Security, Cyber Defense e Digital Forensics.  

Il mio STUDIO non si ferma mai e io con lui. :-D

Concludo dicendo

Ancora oggi, nel 2021 viviamo all’interno di una “Non Cultura dell’informatica” trasversale in tutti ceti e questo sì che è un problema. 

Dobbiamo pensare che già oggi tutti noi siamo chiamati a gestire il digitale e le nostre identità ad esso legate, quotidianamente, o per lavoro, per divertimento o perché la PA c’è l’ho richiede.  

Per non parlare del mondo “Giustizia”, dove non è raro assistere ad errori che possono influenzare interi processi.

Nel mondo aziendale e delle libere professioni assistiamo ad una bassa percentuale di soggetti lungimiranti che aspettano solo che il danno o la violazione avvenga, causando un grave danneggiamento per loro, per il loro lavoro, per i loro clienti, fornitori e partner. 

Basterebbe informarsi e formarsi per iniziare a comprendere i reali rischi, ma soprattutto i vantaggi della Cyber Security.

Non sarà facile portare avanti un cambiamento così verticale, così profondo, ma tutti noi siamo chiamati indirettamente all’interno del “Perimetro Nazionale” così da rafforzare il nostro business, il nostro territorio, la nostra Nazione Italia.