Cosa significa fare il cybersecurity manager?

Quali sono i suggerimenti i punti di attenzione per ottenere quanto più possibile su questa tematica fondamentale in azienda?

The Cybersecurity Manager's Guide

Si tratta di un libro (150 pagine più o meno) edito da O'Reilly e scritto da Todd Barnum che porta la sua esperienza pluriennale nel ruolo di IT security e CISO nelle aziende dove ha lavorato. 

Ma quali sono gli aspetti di maggiore interesse (a mio avviso)?

Ho trovato il libro interessante proprio perché parla di esperienza vissuta. Di prove, test, fallimenti e successi. E su diversi aspetti mi sono molto ritrovato. 

Interessante quindi per poter sperimentare e calare sulla propria realtà dei suggerimenti. Mi ha ricordato quindi quello che facciamo noi (o cerchiamo di fare) attraverso i nostri contenuti.

Partendo dai primi "fatti" in azienda ovvero:

• Nessuno in azienda, al di fuori delle persone che si occupano di sicurezza aziendale, considera molto gli aspetti di sicurezza e protezione dei dati
• Nessuno in azienda sa esattamente che cosa comporta occuparsi di sicurezza dei dati
• La cultura della paura

In particolare, questo ultimo punto è interessante. Così come spesso facciamo molto più caso alle notizie "cattive" sui giornali (lo sapevi che esiste un sito che parla solo di notizie positive?). Anche nel caso della cyber security è il veicolo della paura che fa muovere spesso i budget su queste tematiche. 

Dimenticando a volte che la tecnologia, almeno per ora, è solo uno degli aspetti importanti. 

Siamo sempre alla ricerca della tecnologia più innovativa (e costosa) per "risolvere" un problema ma non sempre può essere risolto tramite software (in alcuni casi l'educazione aziendale su queste tematiche può prevenire eventuali problemi).

Ma cosa significa fare educazione su queste tematiche?

• Comunicare (in diverse direzioni e diversi livelli)
• Formare
• Avere un piano
• Definire delle priorità

Ecco in soldoni è questo quello che racconta Todd nel suo libro.

Ultima nota rilevante a mio avviso, per il collegamento tra SAP Security e IT Security ne abbiamo già parlato qui, è quello tra IT security ed Audit. Abbastanza eloquente l'esperienza che riporta Todd (che non svelo per lasciarti il dubbio) sulla quale mi ritrovo molto (Capitolo 11) e ne abbiamo parlato anche qui (La stupidità funzionale (stupidità digitale) nella Cyber Security)