Privacy by default, accountability, impact analysis, obbligo di denuncia, data minimization e retention. E così via. Il regolamento europeo sulla protezione dei dati personali (GDPR) conferma e rafforza diversi trend normativi già affermatisi nel corso del tempo in Europa, con una forte chiamata in corresponsabilità delle aziende e un sistema di sanzioni – vere e proprie multe espresse in percentuale dei fatturati aziendali – che sulla carta può diventare molto oneroso e difficilmente aggirabile. Il legislatore europeo ha sicuramente agito in linea di continuità con il passato, ma allo stesso tempo si rivolge alle imprese e ai responsabili delle loro infrastrutture informatiche, chiedendo un impegno ancora maggiore. Non solo in termini di tracciabilità delle informazioni – con una riduzione dei margini di rischio di esposizione delle stesse, per esempio attraverso nuovi metodi di anonimizzazione dei dati (disaccoppiamento tra informazioni generiche e informazioni anagrafiche), riduzione del volume complessivo delle informazioni conservate e della loro ridondanza, rimozione delle informazioni non più utili alla conduzione del business – ma anche in termini di capacità di individuare rapidamente le violazioni avvenute, che secondo il nuovo regolamento devono essere tempestivamente e volontariamente segnalate alle autorità centrali.

COMPLIANCE IN CHIAROSCURO

Il problema è che la linea di partenza per la definitiva entrata in vigore del GDPR (dopo un periodo transitorio che non prevedeva sanzioni), fissata per il prossimo maggio, è alle porte mentre gli obiettivi della compliance sembrano ancora molto lontani. «Dalle indagini che IDC ha condotto negli ultimi diciotto mesi su questo tema – afferma Giancarlo Vercellino, research and consulting manager di IDC Italia – si evidenzia un procedere flemmatico verso la scadenza del periodo transitorio». Quasi il 60% delle imprese sopra i dieci addetti, spiega Vercellino, dichiara di trovarsi in uno stadio avanzato di adeguamento ai nuovi termini della normativa in vista dell’imminente scadenza di maggio 2018, ma ben il 40% afferma di trovarsi ancora in una fase piuttosto preliminare, non avendo ancora pianificato una specifica roadmap oppure essendo appena partiti con le prime valutazioni. Quel che più conta – e forse dovrebbe preoccupare – è che «meno del 5% delle imprese sostiene di avere già provveduto a tutti gli adempimenti».

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Gli obblighi ai quali le organizzazioni aziendali (e non solo) devono ottemperare sono tanti e sicuramente la tecnologia e il software possono aiutare, insieme ai servizi di valutazione e affiancamento e formazione che i vendor di soluzioni di sicurezza, data protection e relativo consulting stanno offrendo – lo testimoniano le dimensioni ragguardevoli della partecipazione a questo dossier – un mercato di piccoli, medi e grandi utenti di informatica oggi alle prese con la messa in regola delle attività basate sui dati digitali. Secondo le analisi di IDC Italia, la quota dell’intero mercato della cybersecurity attribuibile agli sforzi di adeguamento non sarà indifferente. «Quest’anno – avverte infatti Vercellino – la compliance avrà verosimilmente un impatto particolarmente significativo su alcuni investimenti IT, in modo particolare sulla sicurezza. Il 22% delle imprese italiane sopra i dieci addetti indica la compliance come una priorità essenziale per il 2018, dato che sale al 39% tra le imprese che avvertono la necessità di investire sulla sicurezza IT. Circa il 10% delle imprese in fase avanzata di adeguamento al GDPR investirà in sicurezza oltre il 3% del budget IT complessivo». Oltre ai processi, conclude l’esperto, le aree di maggiore rilevanza degli investimenti saranno le tecnologie di web security, la mobilità e le infrastrutture di rete.

BINOMIO INSCINDIBILE

Una grossa area di incertezza percepita dalle organizzazioni che sono tenute a rispettare il regolamento, riguarda proprio le contromisure vere e proprie da adottare. Al momento, dal legislatore non sono ancora arrivate linee guida precise o best practice da implementare e come vedremo in seguito – dall’intervista con l’avvocato Valentina Frediani, founder e CEO dello studio Colin & Partners che abbiamo coinvolto in questo dossier – l’assenza di un preciso codice di comportamento è stata per così dire ingegnerizzata da un legislatore che ha voluto fissare una serie di obiettivi e presupposti, lasciando a chi deve ottemperare al regolamento, uno spazio di manovra che agisce anche da stimolo alla lettura e alla comprensione di un testo, che secondo Valentina Frediani è molto più esplicito del temuto. Come affermava Alessandro Cecchetti, general manager dello stesso studio specializzato in consulenza legale informatica, nel corso della tavola rotonda organizzata da Data Manager proprio per fare chiarezza sull’adozione del GDPR, la mancanza di precise norme di comportamento invita a rispettare l’unica regola possibile: leggere con cura il testo, individuare i punti di aderenza alla propria realtà procedurale e infrastrutturale e implementare di conseguenza le necessarie misure tecniche e organizzative. Si andrà a creare così – sottolineava Cecchetti – il binomio inscindibile voluto dal legislatore, quello tra il dato digitale inserito nel contesto delle infrastrutture e delle applicazioni informatiche e l’informazione considerata dal punto di vista del business e dei suoi processi.

Alla base del principio di responsabilizzazione che ispira il testo della normativa, c’è l’obbligo da parte dell’azienda di essere in grado di dimostrare l’adeguatezza con la quale è stato affrontato il tema della protezione del dato digitale. In altre parole, l’organizzazione è tenuta a stendere un accurato piano di valutazione da cui potrà derivare l’implementazione di contro misure sia tecniche (come per esempio l’uso della cifratura delle informazioni, o di tool che consentano un uso anonimo del dato personale) sia organizzative (per esempio la gestione improntata a una minore ridondanza dei dati e all’eliminazione di tutto ciò che non ha più utilità per il business). Un’altra forte motivazione dell’estensore della nuova direttiva europea è quella di evitare la definizione di norme preconfezionate e “one size”, proprio per venire incontro all’esigenza di una protezione più adatta allo specifico settore di attività. Uno dei tratti distintivi della compliance consiste proprio nello studio dei trattamenti e delle peculiarità che caratterizzano un’azienda di produzione industriale o un istituto di credito. Questo inevitabilmente comporta la capacità di analisi delle singole situazioni e la creazione di un percorso su misura. In una ottica che volutamente il legislatore ha inteso di vero e proprio risk management.

Dossier #GDPR È iniziato il conto alla rovescia. Come adeguarsi in tempo? Ecco i fattori critici che bisogna tenere d’occhio secondo @Clusit @ColinPartners @IDCItaly
Click To Tweet

EVOLUZIONE DELLA PRIVACY

Qual è la risposta dei system integrator e più in generale del mondo delle soluzioni di IT security anche in termini di offerta consulenziale, di assessment e progettazione, e di veri e propri tool a supporto della compliance? Oltre a cercare di spiegare quali sono i principali obblighi e le misure sanzionatorie introdotti dal GDPR, questo dossier si prefigge di evidenziare quali mosse sono concretamente previste da chi deve affrontare un percorso di compliance e quali sforzi sono richiesti alle imprese in termini finanziari e temporali, e quali sono appunto i possibili contributi che vengono dal tradizionale mercato delle soluzioni di data protection, data leak prevention, e di risk e incident management, nonché dal mondo dei servizi di assessment, implementazione e gestione delle soluzioni adottate, in vista dell’obiettivo fondamentale del regolamento: determinare il passaggio da una cultura della tutela della riservatezza a un contesto generale in cui la salvaguardia del dato non viene mai separata dal concreto rischio di esposizione di informazioni personali che sono – anche da un punto di vista valoriale, economico – al centro di attività commerciali o di pubblico servizio.

Per evidenziare i punti essenziali della normativa, facciamo ancora una volta ricorso ai contenuti che Alessandro Cecchetti di Colin & Partners e Claudio Telmon, membro del direttivo e del comitato scientifico di CLUSIT hanno delineato, nelle due chiavi di lettura giuridica e informatica, nel corso della tavola rotonda di Data Manager. Il nuovo regolamento, aveva precisato Cecchetti, va appunto in direzione della data protection, tanto che tra le misure di sicurezza da adottare si fa riferimento alla 27001, la norma ISO sulla gestione della sicurezza informatica. Il punto chiave di una norma concepita come trasversale all’interno dei settori di industria e delle singole aziende è che diversamente dal passato, il nuovo regolamento non deve essere demandato esclusivamente a figure come il data protection officer (DPO). È il modo di concepire la privacy, che cambia completamente. La struttura del GDPR non prevede come si è detto una lista di cose da fare ma definisce una serie di macro-obiettivi, rimettendo all’azienda il compito di raggiungerli. Spetta a ogni singola organizzazione, in funzione del core business, del modo di trattare i dati, di tanti altri fattori, andare a calare il testo della norma nella propria realtà. Quest’ultima è una considerazione da tenere presente anche nell’affrontare le misure di sicurezza che il regolamento prevede, introducendo tra l’altro un principio di responsabilità, di “accountability”, in base al quale le aziende devono dimostrare la consapevolezza sulle misure adottate, ovvero nell’intera gestione del regolamento e della sua applicazione. Di analoghi margini di interpretazione godono le strutture preposte ai controlli, come la Guardia di Finanza, incaricata di svolgere verifiche che possono avere una durata più estesa, considerando che il compito del controllore è anche quello di capire le logiche con cui il regolamento è stato studiato e applicato alle diverse situazioni.

L’ONERE DELLA PROVA

Il principio di “accountability” – in altre parole, l’onere della prova in relazione all’efficacia delle misure messe in atto – è stato introdotto proprio perché il GDPR prevede l’introduzione di misure tecniche e organizzative “adeguate”. Il binomio inscindibile di cui parla Cecchetti di Colin & Partners prevede un costante allineamento tra misure tecniche e procedure operative: inutile per esempio adottare sofisticati processi di autenticazione che regolano l’accesso alle risorse di rete se mi dimentico di disattivare gli account dei dipendenti che lasciano l’azienda. Il GDPR equivale in pratica all’obbligo di adottare un sistema gestionale, non prima di aver analizzato le procedure in atto e le peculiarità delle singole aziende, o aver controllato che sul piano tecnico non esistano discrasie con quanto prescritto dal regolamento. Altra importante novità riguarda i concetti di privacy by design e privacy by default. Un concetto che incide sulla cronologia degli adempimenti perché il by design viene per esempio demandato anche ai fornitori che mettono sul mercato prodotti che hanno un impatto tecnologico. Viene qui introdotta una precisa co-responsabilità: in base al regolamento, i fornitori devono assicurarsi che le loro soluzioni rispettino la privacy by design e anche loro dovranno effettuare opportune analisi di conformità.

[amazon_link asins=’B079V3BFSX,B079WYBGJ2,8890341912′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’fa8bddd7-22c2-11e8-a67e-5163bed9a305′]

La privacy by default può essere considerata come una responsabilità dell’azienda che acquista determinate soluzioni e le deve impostare. Anche se non sempre le reciproche responsabilità sono chiare nei progetti di sviluppo congiunto dove l’azienda “compliant” collabora con soggetti esterni. Il problema dei due tipi di privacy va affrontato cronologicamente per primo e deve riguardare retroattivamente anche le soluzioni software già presenti. Occorre effettuare una mappatura, tracciare i criteri che rientrano o non rientrano nelle definizioni di privacy by design o by default, tenendo conto della diversa misura in cui le informazioni personali possono impattare un applicativo. Sul piano legale, un altro tema da affrontare riguarda, a seconda della tipologia di trattamento, i privacy level agreement o data processing agreement. Si tratta di integrazioni contrattuali pensate dal punto di vista della privacy e non riguardano le implementazioni e le clausole di conformità previste dalla legge 196. I privacy level agreement (PLAs) disciplinano aspetti che hanno effetti legali evidenti ma impattano soprattutto sul piano tecnico: i backup, gli accessi degli amministratori di sistema e la loro “loggatura”, la mappatura dei subfornitori, la destinazione finale dei dati alla chiusura di un contratto o con l’eventuale passaggio dal fornitore A al fornitore B. Soprattutto, la parte delle subforniture che nel testo è molto lunga. Molte logiche del passato vengono ribaltate dal nuovo regolamento, che invita chi stipula un contratto di outsourcing a “smarcare” fin dall’inizio il tema della privacy per perimetrare in modo preciso i ruoli svolti dai responsabili dell’azienda e dai suoi fornitori.

LOGICA DI GESTIONE DEL RISCHIO

Anche l’esperto in sicurezza di CLUSIT fa partire le proprie considerazioni tecniche dal tema della responsabilità. «ll regolamento ci chiede di adottare una logica di gestione del rischio, la stessa richiesta dagli standard di cybersecurity» – precisa Claudio Telmon. In particolare, nell’articolo 32 la norma si allinea a quelle che dovrebbero essere le buone pratiche della sicurezza dei sistemi informativi, e in termini organizzativi si dovrebbe collocare nell’ambito della gestione dei sistemi di sicurezza aziendale. Un passo avanti rispetto a normative che imponevano le loro contromisure a prescindere dalla tipologia di dati e del loro contesto di trattamento. Un passaggio interessante del citato articolo è quello che impone di tutelare i dati dell’interessato da rischi di varia natura, per esempio di integrità, disponibilità e sicurezza del dato: in altre parole, i rischi non devono necessariamente riguardare attacchi e violazioni, il GDPR parla anche di quelli derivanti da errori nell’implementazione e nelle procedure.

Al centro del processo gestionale voluto dal regolamento, c’è – secondo Telmon – il requisito del registro di trattamento. In base alle definizioni e alle prescrizioni sul contenuto di questo documento, questo registro può fare da collegamento tra il business, i processi operativi dell’azienda e il sistema informativo. Attenzione però, per il registro di trattamento è prevista una forma scritta: può trattarsi di un file elettronico ma non di un semplice database. Come “precursore” del registro, lato sistemi informativi è consigliabile disporre di un buon inventario degli applicativi e dei flussi tra questi, uno strumento sempre auspicabile dal punto di vista gestionale, ma non facile da realizzare. Insieme al registro – spiega Telmon – la normativa prevede la stesura di un data privacy impact assessment (DPIA), che ha tuttavia una logica diversa. La gestione del rischio riguarda tipicamente le implicazioni che possono derivare per l’azienda dai vari tipi di minacce e incidenti. L’impact assessment valuta invece le potenziali conseguenze del trattamento dei dati sull’interessato.

A proposito di questo trattamento e del tema della privacy by default, Telmon mette in forte evidenza l’indicazione verso la cosiddetta data minimization. La normativa prevede che la quantità dei dati raccolti e trattati sia sempre ridotta al minimo indispensabile, già a livello di procedure. Nella stessa direzione della minimizzazione va anche uno dei temi più significativi del GDPR, la pseudonimizzazione, che consiste nel rendere non immediatamente identificabili (in quando diverso dall’anonimizzazione) i dati di profilazione, mantenendo però la possibilità di associare l’identità originaria (trattandosi di un processo reversibile). Tale prassi viene applicata ovunque sia possibile e può comportare serie difficoltà di implementazione su sistemi e processi preesistenti. Tra pseudonimia e minimizzazione è possibile ridurre lo spazio di esposizione al rischio, aspetto fondamentale per una norma che – è sempre utile ricordarlo – formalizza la prassi del rilevamento e della tempestiva denuncia delle violazioni (data breach) riscontrate. Infine, ci sono alcuni aspetti che pur non rappresentando una novità rispetto alla legge 196, vengono posti in maggiore evidenza.

Dossier #GDPR Il percorso verso la compliance è lungo, in molti casi oneroso (non solo in termini di costi) e molte aziende sono in ritardo ed esposte al rischio-sanzioni
Click To Tweet

TRATTAMENTO E CONSERVAZIONE

Un punto più specifico di altri è quello dell’estrazione dei dati personali per la riconsegna all’interessato e della portabilità dei dati in un formato standard che renda possibile il trasferimento delle informazioni da un provider all’altro. Con il regime sanzionatorio attivato dal GDPR diventa opportuno mettere in atto un processo che sia in grado, almeno in via preliminare, di rispondere alle richieste degli utenti in tempi chiari. Più nuova e tecnicamente sfidante, è la questione della data retention, principio in base al quale il registro dei trattamenti deve contenere precise indicazioni sulla durata del periodo di conservazione dei dati e il loro termine di cancellazione. Un ultimo punto che ha implicazioni tecniche e giuridiche, riguarda il data protection officer, una figura né nuova né obbligatoria, ma che in tanti contesti può avere un ruolo importante nel suggerire e indirizzare le scelte procedurali. Il DPO non deve essere in conflitto di interesse con le attività su cui è chiamato a esercitare un ruolo di controllo (per esempio, non può essere il responsabile IT). Secondo Alessandro Cecchetti di Colin & Partners, quella del DPO sarà una funzione evoluta e interdisciplinare, non facile da individuare: dovrà avere competenze specifiche sul regolamento e sulle specificità delle aziende, e dovrà essere dotato di “soft skill” utili al suo ruolo più di intermediatore che di guardiano.

Per la preparazione di questo dossier, Data Manager ha conversato anche con Valentina Frediani founder e CEO dello studio di consulenza legale informatica. Abbiamo chiesto innanzitutto quali sono gli aspetti del GDPR che rappresentano, anche dal punto di vista della compliance, i momenti di unicità, diversità, distacco rispetto alla precedente normativa. «Il tratto distintivo del regolamento europeo rispetto all’attuale normativa privacy di cui al decreto legislativo 196 del 2003, è dato sostanzialmente dal cosiddetto principio di accountability su cui si fonda lo stesso regolamento. In sostanza, mentre nella 196 sono individuati in modo specifico i vari punti e oneri sulla base dei quali si deve uniformare il titolare del trattamento, il GDPR richiede al medesimo di adottare “misure tecniche e organizzative” tenendo conto dei rischi derivanti dal trattamento dei dati e di tutti quegli elementi che possono riguardare le sue finalità e l’ambito di applicazione, al fine di essere in grado di dimostrare che il trattamento è conforme al regolamento». In sostanza – spiega Valentina Frediani – il Legislatore europeo sembra aver preso atto delle enormi differenze che caratterizzano i destinatari del testo normativo: dimensioni, status economico e differenti legislazioni nazionali che ne caratterizzano lo sviluppo. La norma sposta sul titolare del trattamento l’onere della realizzazione di un’analisi che lo porti a confrontare il proprio modus operandi sulla gestione dei dati rispetto a tutti i principi contenuti nel dettato legislativo stesso. «Questo è un punto di rottura molto importante rispetto all’attuale normativa nazionale».

CAMBIAMENTO E CONTINUITÀ

In questo senso, che cosa si può “conservare”, pensando al lavoro di adeguamento già svolto in passato, e quali nuove misure o procedure devono essere adottate, e in quale ordine cronologico, in chiave di adeguamento alla normativa oggi vigente? «Sicuramente – continua Valentina Frediani – ci sono elementi di continuità rispetto alla 196. Per esempio, le informative costituiscono la base portante quale strumento di trasparenza e riconoscibilità per i diretti interessati in merito alla gestione dei propri dati e all’esercizio dei diritti. Nello specifico, anche se viene meno l’adempimento relativo alla nomina, nel testo si fa riferimento al tema delle autorizzazioni per quanto concerne gli operatori che trattano dati. Quindi, anche da questo punto di vista, i documenti di nomina potranno essere letti alla luce del regolamento europeo». Tuttavia, più che “conservare”, bisogna prendere in considerazione l’evoluzione degli adempimenti adottati nel corso degli anni in ottemperanza alla legge 196. «Molte aziende, nel tempo, hanno creato procedure al fine di mettere al centro i diritti dell’interessato e la gestione dei profili di autorizzazione: tematiche, queste ultime, che possono offrire la dimostrazione di un’attenzione organizzativa al tema privacy all’interno dell’azienda stessa. Si tratta di verificare l’allineamento rispetto a quegli obblighi della 196 che vengono riportati nel regolamento, e da lì effettuare l’evoluzione necessaria, introducendo tutti i nuovi grandi temi del GDPR».

Uno dei punti emersi durante la tavola rotonda organizzata da Data Manager sul GDPR riguarda la sostanziale assenza di precise linee guida, di best practice mirate alla compliance in materia di GDPR. La spada di Damocle di decisioni sanzionatorie come conseguenza delle violazioni rappresenta un ulteriore elemento di incertezza. «È ancora così ed è giusto che sia ancora così» – avverte Valentina Frediani. Trattandosi di un testo normativo che si basa appunto sul principio di accountability è impensabile che si possano porre delle regole precise rispetto a entità giuridiche che operano su tutto il territorio europeo, basandosi su aspetti giuridici, economici, culturali, tecnologici completamente diversi. I principi citati nel regolamento sono molto chiari, quindi andare a rileggere all’interno della propria realtà i processi che caratterizzano la gestione dei dati, la documentazione che viene rilasciata, le misure tecniche, adottate in un’ottica di analisi, è un “esercizio yoga” che purtroppo le aziende italiane sono abituate a rimandare». L’esperta invita a ricollegarsi alla legge 231 in materia di sicurezza sui luoghi di lavoro e a tutte quelle normative che essenzialmente imponevano alla struttura di prendere atto e misurare il proprio status rispetto al dettato normativo. Il caso di questo nuovo regolamento europeo non è così isolato rispetto ad altre disposizioni. «Il problema, semmai, sta nel fatto che metodologicamente gran parte delle aziende non ha la capacità di analizzare e mettere in discussione le modalità operative e le misure di sicurezza adottate fino a oggi».

[amazon_link asins=’B079V3BFSX,B079WYBGJ2,8890341912′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’fa8bddd7-22c2-11e8-a67e-5163bed9a305′]

IMPATTO SUL BUSINESS

Forse, la preoccupazione più condivisa è l’impatto che una piena aderenza alla normativa comporta in termini – per così dire – di libertà di business model. È davvero ipotizzabile che il rispetto della privacy digitale può costituire una sorta di interferenza con il business, limitandone le possibilità e soprattutto le opportunità? Sembra quasi di cogliere una sorta di contraddizione in un Legislatore che da un lato delinea le condizioni favorevoli a una ampia apertura alla libera concorrenza (per esempio, normative di ampio respiro come PSD2) e dall’altro immagina un sistema di norme che sembrano impattare proprio su opportunità per le quali le tecnologie sono fattore abilitante. Ma il discorso di Valentina Frediani si fa quasi accalorato. «La normativa privacy non impatta assolutamente sulla libertà di adottare il proprio business model. Questa è una paura che si crea in quelle realtà in cui selvaggiamente i dati sono stati gestiti senza razionalizzazione, senza mettere in discussione il proprio modo di operare, probabilmente come 100 anni fa accadeva rispetto ai diritti dei lavoratori». Il mondo cambia – avverte Valentina Frediani – e le aziende devono, oggi più che mai, capire che tutti i principi raccolti nel nuovo regolamento europeo in materia di protezione dei dati potrebbero essere letti totalmente nell’interesse della tutela delle informazioni aziendali, oltre che nel rispetto dei diritti degli interessati. «Finché non cambia l’ottica, e quindi l’approccio delle aziende a questo adeguamento normativo, rimarrà il sapore di un Legislatore europeo che impone, dispone e non agevola le aziende nel gestire il proprio patrimonio dati. Ma questo è un grande errore che deve essere immediatamente corretto. Alle aziende deve arrivare il messaggio giusto: utilizzare il GDPR per ottimizzare la gestione delle informazioni aziendali che costituiscono il pane quotidiano di ciascuno di noi». Oggi, in un’epoca in cui la circolazione delle informazioni a livello informatico può comportare rischi altissimi, non solo per la perdita, ma anche per la rivelazione a soggetti non autorizzati, il regolamento si pone insomma come strumento di ampia tutela non solo per gli interessati, ma anche per i titolari del trattamento: si vedano, per esempio, i temi della contrattualistica e del data breach introdotti dal nuovo quadro normativo.

IL FATTORE PIÙ CRITICO

Il dominio del GDPR riguarda quindi una sfera, l’informazione digitale, le cui applicazioni oggi contribuiscono a generare, gestire e soprattutto estrarre valore dal dato. A questo punto però, c’è da chiedersi in che misura la stessa tecnologia, il software, può agevolare la conformità a queste stesse regole. Domanda che giriamo volentieri a Valentina Frediani, CEO dello studio Colin & Partners, chiedendole se, al contrario, la compliance normativa non sia pertinenza esclusiva delle procedure e di una policy comportamentale. «Nel GDPR – scorrendo il testo – osserva la Frediani, gli aspetti tecnologici hanno un impatto probabilmente del 30-40% rispetto a tutto l’adeguamento normativo. Ma la sicurezza e il rispetto della gestione dei dati, giustamente, non passano solo dalla tecnologia. A conferma della valorizzazione del fattore umano, il regolamento introduce l’obbligo di adottare misure organizzative adeguate». Per esempio è possibile razionalizzare profili di autorizzazione per accedere ai dati, adottare soluzioni anti-intrusione particolarmente valide, perimetrare in modo adeguato la sicurezza dei dati, «ma il fattore umano resta quello più critico qualora non vi sia sufficiente educazione sulla gestione del dato. Senza formazione, la violazione verrebbe comunque effettuata a prescindere dalle misure tecnologiche adottate». La tecnologia della sicurezza informatica è un elemento imprescindibile, ma come sempre conta moltissimo chi utilizza certi tool, e come viene formato in tal senso. Come valutare l’offerta di strumenti e servizi che vendor, system integrator e consulenti specializzati mettono a disposizione delle aziende? «In questo momento, il mercato offre di tutto e di più, forse anche troppo» – risponde Valentina Frediani.  «Personalmente, ritengo che sia fondamentale essere molto lucidi nel momento in cui si affronta un progetto di adeguamento particolarmente complesso, individuando una metodologia in grado di coinvolgere sin dall’origine del progetto i vari ruoli aziendali, valutando solo dopo una gap analysis, strumenti e servizi ad hoc. Pensare di adeguarsi al GDPR senza avere una visione d’insieme attraverso una analisi che confronti la propria realtà aziendale con quanto prescritto dal regolamento, lo ritengo assolutamente rischioso. A meno che l’azienda sia a un “punto zero” sul tema privacy: in questo caso da rischioso può diventare conveniente».

Dossier #GDPR Compliance in chiaroscuro e business model a rischio? Il valore dei dati e logica di risk management nel binomio inscindibile tra misure tecniche e misure organizzative
Click To Tweet

CHE COSA C’È IN GIOCO?

Il nocciolo della questione è il diritto di ciascun individuo nella sua relazione con la salvaguardia dei dati digitali. Diritto che si articola in cinque ambiti fondamentali:

1. Consenso informato – Il diritto a essere informato sul perché sia necessario disporre di determinate informazioni e su come esse verranno utilizzate. Il consenso deve essere dato in modo esplicito e può essere ritirato in qualsiasi momento.
2. Accesso – Il diritto di accedere gratuitamente a tutti i dati conservati e ricevere informazioni sul loro trattamento.
3. Correzione – Il diritto a correggere dati imprecisi.
4. Diritto all’oblio – Il diritto dell’individuo a richiedere la cancellazione dei dati che lo riguardano.
5. Portabilità – Il diritto a recuperare e riutilizzare i dati personali per finalità proprie nell’intero spettro dei servizi selezionati.

Il primo obiettivo verso la compliance sarà dunque quello di valutare, ed eventualmente modificare, il modo in cui la propria organizzazione raccoglie, archivia e rielabora i dati personali in funzione dei diritti evidenziati. Una parte essenziale di questo compito sarà quella di localizzare ciascuna istanza di queste informazioni attraverso l’intera organizzazione.

GOVERNANCE E RESPONSABILITÀ

L’azienda deve essere in grado di dimostrare di aver rispettato il testo della normativa attraverso adeguate misure di governance, incluse una documentazione dettagliata, la registrazione e una costante valutazione dei rischi. Un’ulteriore aspettativa da parte del legislatore riguarda in questa sede la cosiddetta protezione by design e by default: la sicurezza e la protezione dei dati devono essere – nella più ampia misura possibile – parte integrante del sistema gestionale, non una aggiunta successiva o posticcia. A fronte della velocità di trasformazione ed evoluzione delle tecnologie, il regolamento GDPR è volutamente “evasivo” sulle contromisure tecnologiche necessarie, limitandosi a utilizzare termini come “adeguato” o “stato dell’arte” per definire i livelli di protezione al di là dell’esplicito riferimento a tecniche di cifratura e pseudonimizzazione. In altre parole: ciò che è adeguato oggi può non esserlo domani!

DENUNCIA DELLE VIOLAZIONI

Il testo GDPR introduce un nuovo tipo di obbligo: l’azienda o l’organizzazione deve notificare presso le autorità responsabili qualsiasi tipo di violazione riguardante dati digitali di natura personale in grado di tradursi in un rischio per “i diritti e le libertà dell’individuo”. In caso di rischio particolarmente elevato, la notifica dovrà essere estesa anche all’individuo interessato. La denuncia deve essere presentata senza indugio, entro 72 ore dall’avvenuta conoscenza del fatto, in particolare fornendo entro le prime 24 ore dalla scoperta dell’evento, le informazioni minime per consentire una prima valutazione dell’entità della violazione. Anche in assenza di esplicite avvertenze riguardanti specifiche contromisure, il primo passo verso la compliance deve essere quindi un apparato di tutela che assicuri la massima protezione del sistema informativo sottostante e totale capacità di reportistica.

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

L'articolo GDPR, conto alla rovescia. Adeguarsi è possibile? proviene da Data Manager Online.

Dati personali e informazioni vanno protetti con tutte le misure tecnico/organizzative commisurate al danno derivante da una loro impropria divulgazione. Assistiamo quotidianamente ad “assalti” alla nostra privacy di natura commerciale, provenienti da fonti sconosciute che ci raggiungono sui canali di comunicazione di cui fruiamo quotidianamente (mail, cellulare, internet). Questo atteggiamento che infastidisce il nostro stato di soggetti liberi nel dominio dell’era digitale connessa è in parte conseguenza dei molti consensi da noi forniti a terzi per l’uso dei nostri dati al momento dell’adesione a servizi o stipula di contratti, ma è anche dovuto alla sottrazione degli stessi in modo doloso dai sistemi aziendali di coloro che ne operano il trattamento e rivenduti per scopi commerciali o per danneggiare l’immagine e la reputazione degli interessati.

I potenziali “hacker”, che nell’immaginario collettivo erano figure isolate dedite a violare i sistemi degli enti governativi solo per dimostrare le proprie capacità, oggi, con la disponibilità in rete di know-how specifico e risorse nel “Deep Web” (parte del Web non indicizzata dai comuni motori di ricerca e non convenzionalmente visibile), stanno crescendo in maniera preoccupante e con essi il rischio di attacchi ai dati per scopi non etici. La risposta convenzionale al fenomeno è la “cyber security”, ovvero la strategia evoluta per la tutela delle informazioni e dei dati aziendali esclusivamente dipendenti dalla tecnologia. L’esperienza insegna che sicurezza informatica e sicurezza delle informazioni non sono la stessa cosa: infatti la prima “cyber security” utilizza prettamente la tecnologia quale strumento per la protezione degli asset informativi, la seconda tiene invece conto anche degli aspetti organizzativi che impattano su quelli tecnologici (per esempio: installiamo un modem con Wi-Fi abilitato e lasciamo inalterate le password amministrative di default del dispositivo ricavabili tramite app disponibili sugli store). Questo esempio ricorrente indica come la sicurezza debba essere ricercata attraverso un approccio metodologico di risk assessment che valuti, in modo strutturato, tutte le minacce che incombono sui nostri dati/informazioni e che consenta di identificare le adeguate contromisure per la riduzione del rischio.

#DataBreach e minacce alla #Privacy ? Il #RiskAssessment è il primo passo @omatforum
Click To Tweet

Quando le contromisure non sono adeguate alla mitigazione del rischio si può incorrere nel temuto “data breach”, ovvero un incidente di sicurezza in cui i dati rilevanti per aspetti strategici o di privacy vengono utilizzati da un soggetto non autorizzato sia per dolo che in modo involontario. Ciò può avvenire in seguito alla perdita accidentale di un dispositivo mobile, al furto di un notebook, all’infedeltà aziendale di personale scontento o corrotto, all’accesso non autorizzato a sistemi informatici. I dati a maggior rischio sono quelli finanziari (carte di credito, posizioni economiche, investimenti), sanitari (informazioni sulla salute per restrizioni assicurative o altre azioni discriminatorie), proprietà industriale o dell’intelletto (soluzioni tecnologiche o innovative), personali (furto d’identità per compimento di illeciti e reati vari). Con l’IoT (Internet of Things) che preme, e una tecnologia in rapida evoluzione senza i tempi necessari per maturare una resilienza alle vulnerabilità intrinseche di sistemi e processi, alcune vulnerabilità, ancora inesplorate, attendono di essere sfruttate ai danni delle organizzazioni e dei titolari dei dati e delle informazioni. La chiave per porre riparo a tutto ciò è la consapevolezza, da parte dei titolari dei trattamenti, dei rischi incombenti sui dati nel dominio che interessa l’organizzazione. In conclusione: buon risk assessment a tutti.

Giuseppe Tacconi è consultant, trainer e professional auditor

Per ulteriori approfondimenti: “Gli audit privacy secondo il nuovo regolamento europeo GDPR 2016/679 – Guida pratica per la verifica della protezione dei dati” a cura di Stefano Gorla, Michele Iaselli, Giuseppe Tacconi. Prefazione di Gianluca De Vincentiis. www.iter.it/libri

Per saperne di più, l’appuntamento è a Omat Forum, il workshop dedicato alle nuove frontiere della gestione delle informazioni digitali. Info sulle prossime tappe su www.omatforum.it.

L'articolo Come evitare data breach e attacchi alla privacy? proviene da Data Manager Online.

Intorno ai temi della Tavola Rotonda dedicata al nuovo regolamento europeo in materia di protezione dei dati personali, in collaborazione con Assicurazioni Generali, Data Manager propone uno speciale approfondimento, focalizzandosi sia sull’aspetto giuridico sia su quello più tecnico. L’obiettivo è anche di allargare virtualmente, attraverso la rivista e il suo sito, la platea della discussione, per prendere il polso del percorso che tutti – dalle ditte individuali alle grandi società – devono affrontare ai fini della compliance prevista dal General Data Protection Regulation. La sensazione generale è che un’azienda su due non abbia un piano strutturato in vista della scadenza di maggio 2018. E soprattutto le più piccole non sono del tutto consapevoli dell’impatto del regolamento. Anche se non lo dichiarano apertamente, molti restano alla finestra per vedere se le sanzioni previste dalla normativa scatteranno come una tagliola oppure no. Le aziende che non si adegueranno alla normativa entro i termini stabiliti saranno passibili di sanzioni che potrebbero arrivare fino al quattro per cento del fatturato. Di certo, se la natura della normativa non fosse autoapplicativa, tutti avrebbero già scommesso sulla proroga del regolamento.

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Accountability, risk assessment e “privacy by design”, ruolo del DPO. Come cambiano i paradigmi della protezione dei dati in senso giuridico e tecnico? La tavola rotonda esplora premesse e conseguenze della compliance in materia di tutela di dati personali, ponendo a confronto le prime esperienze implementative delle aziende. Ai panelist è stato chiesto di illustrare come il regolamento GDPR si inserisca nelle strategie di sicurezza, quali ostacoli pone la normativa, quali sono i possibili ruoli di consulenti, system integrator e dei loro strumenti software e metodologici. La norma – che come ha ricordato Alessandro Cecchetti, general manager di Colin & Partners, è entrata in vigore senza necessità di recepimento, trattandosi di “regulation” e non di “directive” – riprende molti dei temi già attuati in passato, creando tuttavia un binomio inscindibile tra misure tecniche e misure organizzative. Il testo – che offre ampi margini di discrezionalità e interpretazione – è al momento, in attesa di schemi di certificazione e codici di condotta che con tutta probabilità non arriveranno prima di due anni.

Pronti per il #GDPR? Tutto quello che bisogna sapere #DMGDPR
Click To Tweet

UNA VISIONE DI INSIEME

«Inizialmente – spiega Cecchetti – è stata letta come una normativa molto “cartacea”, che prevede la distribuzione a tappeto di documenti e informative. Non è così e non era così neanche prima: il nuovo regolamento va in direzione della data protection, tanto che tra le misure di sicurezza da adottare si fa riferimento alla 27001, la norma ISO sulla gestione della sicurezza informatica». Ed è proprio questo il punto chiave di una norma che Cecchetti definisce trasversale sia dentro all’azienda sia tra i settori di industria cui si rivolge, un regolamento che non deve essere demandato esclusivamente a figure come il data protection officer, che tra l’altro, è anch’esso una figura già nota. È il modo di concepire la privacy, che cambia completamente. «Eravamo abituati con il decreto 196 del 2003 – il Codice in materia di protezione dei dati personali, poi passato alla storia come Legge sulla privacy – ad alcuni provvedimenti che sostanzialmente erano una lista di cose da fare. Il GDPR non ha questa struttura: siamo passati da una sorta di elenco a un regolamento che ragiona per macro-obiettivi, rimettendo all’azienda il compito di raggiungerli. Spetta a ogni singola organizzazione – in funzione del core business, del modo di trattare i dati e di tanti altri fattori – andare a calare il testo della norma nella propria realtà». Secondo l’esperto di Colin & Partners, è inevitabile che una norma che si applica alla tutela del dato – nella casa farmaceutica come nella banca, nello studio del professionista come nella multinazionale, in Italia come in Belgio o Germania – venga giudicato come «a maglie troppo larghe». Ma questa apparente genericità cela l’obbligo, per il legislatore europeo, di andare a coprire la questione della tutela della riservatezza digitale in un ambito praticamente infinito.

Quest’ultima è una considerazione da tenere presente anche nell’affrontare le misure di sicurezza che il regolamento prevede, introducendo tra l’altro un principio di responsabilità, di “accountability”, in base alla quale le aziende devono dimostrare la consapevolezza sulle misure adottate, ovvero nell’intera gestione del regolamento e della sua applicazione. Di analoghi margini di interpretazione godono le strutture preposte ai controlli, in Italia la Guardia di Finanza. «Fino a oggi, le verifiche sulla compliance duravano da uno a tre giorni e potevano essere svolte sia da un punto di vista documentario sia attraverso un team in cui era presente un esperto tecnico per le valutazioni sui sistemi. Da adesso in poi, la Guardia di Finanza resta, ma a quanto siamo venuti a sapere dai nostri contatti, i controlli potranno durare fino a 5 giorni perché gli esperti devono avere il tempo di capire le logiche con cui il regolamento è stato applicato alle diverse situazioni».

UN TESTO TUTTO DA INTERPRETARE

Esistono già dei criteri generali, delle linee guida da seguire nell’implementare e certificare la compliance? «Le strade per applicare un regolamento sono in genere tre» – risponde Cecchetti di Colin & Partners. «La prima. Leggere la norma e cercare di applicarla al meglio nel proprio contesto aziendale. La seconda. Seguendo degli schemi di certificazione. La terza. Applicando dei codici di condotta. Dai nostri contatti con l’autorità e gli enti certificatori, codici di certificazione e linee guida non saranno disponibili prima di due o tre anni. È un rischio concreto, perché le aziende che hanno già avviato il loro processo di adeguamento rischiano di avere dei disallineamenti rispetto a eventuali future impostazioni, ma al momento non resta che leggere il testo e cercare di applicarlo alla propria organizzazione». Non è un compito banale – avverte Cecchetti. La famosa “accountability”, il fatto di essere chiamati a dimostrare di aver adottato misure efficaci, è stata introdotta proprio perché il regolamento GDPR prevede l’introduzione di misure tecniche e organizzative “adeguate”. «Si passa in altre parole a un binomio inscindibile: diventa cioè inutile adottare misure tecniche molto evolute se sul piano organizzativo non riesco a controllare gli accessi dell’amministratore di sistema ai database, o ai siti in outsourcing, o se lascio aperti gli account dei dipendenti che hanno lasciato l’azienda. Così come non posso avere procedure a prova di bomba se tecnicamente ho una grossa falla». Il GDPR, osserva Cecchetti, equivale in pratica all’obbligo di adottare un sistema gestionale, non prima di aver analizzato le procedure in atto e le peculiarità delle singole aziende, o aver controllato che sul piano tecnico ci siano discrasie con quanto prescritto dal regolamento. Altra importante novità sono i concetti di “privacy by design” e di “privacy by default”. «Entrambi incidono sulla cronologia degli adempimenti – sottolinea Cecchetti – perché il “by design” viene per esempio demandato anche ai fornitori che mettono sul mercato prodotti che hanno un impatto tecnologico, introducendo una precisa co-responsabilità: i fornitori in base al regolamento devono assicurarsi che le loro soluzioni rispettino la “privacy by design” e anche loro dovranno effettuare opportune analisi di conformità». La “privacy by default” – invece – può essere considerata come una responsabilità dell’azienda che acquista determinate soluzioni e le deve impostare. Anche se – avverte Cecchetti – non sempre le reciproche responsabilità sono così chiare: «Pensate allo sviluppo di software congiunto o su commissione, dove le responsabilità sono reciproche». In ogni caso, conclude l’esperto, il problema dei due tipi di privacy va affrontato cronologicamente per primo e deve riguardare anche le soluzioni software già presenti. In altre parole, occorre effettuare una mappatura, tracciare i criteri che rientrano o non rientrano nelle definizioni di “privacy by design” o “by default”, tenendo conto della diversa misura in cui le informazioni personali possono impattare un applicativo: «Un ERP che si limita a tracciare le autenticazioni di chi accede a un magazzino – spiega Cecchetti – non impatta come un CRM che custodisce informazioni molto più dettagliate degli stessi utenti».

#GDPR binomio inscindibile tra misure tecniche e misure organizzative #DMGDPR
Click To Tweet

BUONE PRATICHE DI SICUREZZA

Alla fine della sua introduzione, Cecchetti affronta il tema dei Privacy Level Agreement (PLA) o Data Processing Agreement (DPA), a seconda della tipologia di trattamento. Si parla al proposito di integrazioni contrattuali pensate dal punto di vista della privacy e non riguardano le implementazioni e le clausole di conformità previste dalla legge 196. «I PLA vanno a disciplinare aspetti che hanno effetti legali evidenti, ma impattano soprattutto sul piano tecnico: i backup, gli accessi degli amministratori di sistema e la loro “loggatura”, la mappatura dei subfornitori, la destinazione finale dei dati alla chiusura di un contratto o con l’eventuale passaggio dal fornitore A al fornitore B. Soprattutto la parte delle subforniture che nel testo di legge è molto lunga». Molte logiche del passato vengono ribaltate dal nuovo regolamento, che invita chi stipula un contratto di outsourcing a “smarcare” fin dall’inizio il tema della privacy per perimetrare in modo preciso i ruoli svolti dai responsabili dell’azienda e dai suoi fornitori. Claudio Telmon, membro del Direttivo e del Comitato Scientifico di CLUSIT, si riaggancia al tema della accountability per avviare la sua presentazione della nuova privacy vista dal punto di vista tecnico della sicurezza. «In assenza di indicazioni puntuali sulle misure da adottare, il regolamento GDPR ci chiede di adottare una logica di gestione del rischio, la stessa richiesta dagli standard di sicurezza IT. La norma si allinea insomma a quelle che dovrebbero essere le buone pratiche della sicurezza dei sistemi informativi, e in termini organizzativi si dovrebbe collocare nell’ambito della gestione dei sistemi di sicurezza aziendale». Telmon si riferisce soprattutto all’articolo 32 (Security of processing), che inizia parlando di una gestione del rischio che tenga conto dello stato dell’arte, della natura dell’oggetto del trattamento, dei rischi e dei costi di attuazione commisurati a tali rischi. Un passo avanti, dice Telmon, rispetto a normative che imponevano le loro contromisure a prescindere dalla tipologia di dati e del loro contesto di trattamento. «Oggi, c’è più flessibilità, ma resta il principio della responsabilità di dimostrare di aver fatto del risk management concreto e in questo senso ci si può riferire alle norme ISO in materia di sicurezza. Un passaggio interessante del citato articolo è quello che ci impone di tutelare i dati dell’interessato da rischi di varia natura, per esempio di integrità, disponibilità e sicurezza del dato». Telmon è molto attento a rilevare come anche i rischi che non derivano strettamente da violazioni, per esempio quelli che nascono da errori di implementazione o procedurali, possono rientrare in questa casistica. Il GDPR insomma non “scatta” solo sui problemi dovuti a violazioni e attacchi dall’esterno: non ci si deve preoccupare solo degli hacker.

AL CENTRO, IL REGISTRO

Al centro del processo gestionale voluto dal regolamento c’è, secondo Telmon, il requisito del registro di trattamento. In base alle definizioni e alle prescrizioni sul contenuto di questo documento, esso può fare da collegamento tra il business, i processi operativi dell’azienda e il sistema informativo. «Poiché l’azienda vede nel suo complesso i processi, i trattamenti e gli applicativi che li supportano, e viceversa chi gestisce il sistema informativo ha l’applicativo come interfaccia verso l’azienda, la mappatura fra trattamenti e applicativi è il punto che unisce queste due prospettive» – afferma Telmon precisando che per il registro di trattamento è prevista una forma scritta: «Può trattarsi di un file elettronico ma non di un semplice database». Alla base, lato sistemi informativi, è consigliabile disporre di un buon inventario degli applicativi e dei flussi, uno strumento sempre auspicabile dal punto di vista gestionale, ma non facile da realizzare. Insieme al registro, aggiunge poi Telmon, il regolamento GDPR chiede di fare un “impact assessment”, che ha tuttavia una logica diversa. «La gestione del rischio riguarda tipicamente le implicazioni che possono derivare per l’azienda dai vari tipi di minacce e incidenti. L’impact assessment valuta le potenziali conseguenze del trattamento dei dati sull’interessato».

A proposito di questo trattamento e del tema della “privacy by default”, Telmon mette in forte evidenza l’indicazione verso la cosiddetta “data minimization”. La normativa prevede che la quantità dei dati raccolti e trattati sia sempre ridotta al minimo indispensabile. «Questo significa che il tema della “minimization” non può essere a esclusivo carico di chi si occupa dei sistemi informativi: ridurre la quantità di dati necessari parte dai processi aziendali» – osserva l’esperto di CLUSIT. Nella stessa direzione della minimizzazione va anche uno dei temi più significativi del GDPR, la pseudonimizzazione, che consiste nel rendere non immediatamente identificabili gli utenti, mantenendo però la possibilità di associare a un profilo l’identità originaria. Prassi, ricorda Telmon, che va applicata ovunque sia possibile e che può comportare serie difficoltà di implementazione su sistemi e processi pre-esistenti. Tra pseudonimizzazione e minimizzazione è possibile ridurre lo spazio di esposizione al rischio, aspetto fondamentale per una norma che estende e formalizza la prassi del rilevamento e della tempestiva denuncia delle violazioni (data breach).

#GDPR Protezione e valutazione dei rischi ma con ampi margini di lettura #DMGDPR
Click To Tweet

UFFICIALE E MEDIATORE

Le ultime osservazioni di Telmon riguardano aspetti che non sono propriamente delle novità rispetto alla Legge 196 ma su cui il testo GDPR attirerà maggiore attenzione. Un punto più specifico di altri è quello dell’estrazione dei dati personali per la riconsegna all’interessato e della portabilità dei dati in un formato standard che renda possibile il trasferimento delle informazioni da un provider all’altro. Con il regime sanzionatorio attivato dal regolamento, avverte Telmon, è opportuno mettere in atto un processo che sia in grado almeno in via preliminare di rispondere alle richieste degli utenti in tempi chiari. Più nuova e tecnicamente sfidante, conclude Telmon, è però la questione della data retention, principio in base al quale il registro dei trattamenti deve contenere precise indicazioni sulla durata del periodo di conservazione dei dati e il loro termine di cancellazione. Infine, qualche osservazione di entrambi gli esperti sul data protection officer, anche qui non una figura nuova né obbligatoria, ma che in tanti contesti può avere un ruolo importante nel consigliare. Il DPO non deve essere in conflitto di interesse con le attività su cui è chiamato a esercitare un ruolo di controllo e quindi «non può dunque essere un responsabile IT» – precisa Telmon. Secondo Alessandro Cecchetti, quella del DPO sarà una funzione ricercata e interdisciplinare, abbastanza impegnativa da individuare: dovrà avere competenze specifiche sul regolamento e sulle specificità delle aziende e dovrà essere dotato di “soft skill” utili al suo ruolo più di intermediatore che di guardiano.

ADEGUATEVI PER COMPETERE

La seconda parte della tavola rotonda ha visto una serrata discussione ispirata sulle prime esperienze maturate dalle aziende presenti, che hanno sollecitato diversi pareri dai rappresentanti del mercato dei prodotti e security. Remo Marini, group chief information security officer di Assicurazioni Generali, dice di apprezzare la lungimiranza di una norma che ha demandato la sicurezza dei dati alle aziende stesse, evitando un approccio basato su direttive predeterminate. La complessità di un gruppo assicurativo come Generali, presente in 60 nazioni diverse, ha indotto a procedere con un duplice livello di controllo, a livello di gruppo con l’obiettivo, dice Marini, di produrre processi robusti e avere condivisioni a 360 gradi all’interno del gruppo, demandando alle singole nazioni il supporto delle attività proprie delle singole entità legali. «Un problema concreto riscontrato – riferisce Marini – riguarda gli applicativi forniti da grandi protagonisti del software che non sono compliant e per i quali fatichiamo a ottenere informazioni». Un punto, a parere di CLUSIT, sul quale la normativa chiama a rispondere l’intero sistema delle forniture, stimolato – aggiunge Alessandro Cecchetti – dalla consapevolezza che un mancato adeguamento può comportare, oltre alle sanzioni, anche un serio svantaggio competitivo. «Stare fermi non è la risposta» – avverte Massimo Ceresoli, head of business solutions – Southern and Central Europe di Orange Business Services. L’intero sistema, aziende e partner, deve seguire i percorsi di adeguamento: il regolamento GDPR non farà sconti e anche in questo senso dobbiamo considerarla una opportunità». Stefano Volpi, nominato recentemente country manager di Symantec, a proposito del problema sollevato dal CSO di Generali, auspica l’arrivo di una maggiore semplificazione in aziende che spesso faticano a indirizzare i loro obiettivi di adeguamento. «Troppi prodotti che faticano a dialogare tra loro, troppe interfacce di accesso per gli amministratori. Questo non aiuta a normare, a controllare e a portare a termine un percorso» – spiega Volpi, invitando a privilegiare i fornitori che sono in grado di offrire «architetture integrate e gestibili». Tornando a Generali, la prima sponda di riferimento per la sicurezza coordinata da Marini è la “group regolatory compliance”, funzione che al tavolo è rappresentata da Roberta Lacagnina, responsabile italiana. Rilevando la complessità e le infinite sfaccettature del gruppo assicurativo globale, Lacagnina mette in evidenza le analisi di “scoping” (copertura) svolte dal suo gruppo e i risultati “mai scontati” ottenuti da questo monitoraggio. «Anche noi potremmo fornire delle linee guida – osserva la manager della compliance – ma la governance di un processo non potrà mai essere ben definita». Lacagnina nel suo intervento richiama le sinergie che il suo ufficio e la sicurezza devono avere con la figura del compliance officer che la legge impone per la parte assicurativa, con l’obiettivo di costruire un compliance program da includere nella “protection policy”.

#GDPR Certificazioni e codici di condotta non arriveranno prima di due anni #DMGDPR
Click To Tweet

REGOLAMENTO DI SISTEMA

Si può calare l’esperienza di una organizzazione così ramificata e complessa sulle esigenze – più circoscritte ma diversificate – del nostro sistema di imprese? Per Roberto Mignemi, CEO di OmnitechIT, system integrator specializzato in sicurezza e capillarmente presente in diverse nazioni europee, l’assenza di un approccio “puntuale” rende il nuovo regolamento GDPR particolarmente adatto ad accompagnare la crescita e la maturazione di tutto il sistema produttivo europeo. «Mi soffermerei su tre punti fondamentali: l’accountability, l’attenta mappatura prevista dall’articolo 32 e la stesura di un piano dettagliato. Le aziende hanno la possibilità unica di guardare alla sicurezza in modo sistemico, come vera opportunità in chiave di digital transformation. Per questo – ha ricordato Mignemi – OminitechIT ha messo a punto, insieme a una società portoghese, strumenti di assessment e data discovery». Se Alessandro Cecchetti di Colin & Partners condivide l’opportunità di un impianto regolatorio “a maglie larghe”, aggiungendo una importante annotazione sulla continuità di regole e provvedimenti pregressi che il GDPR non ha abrogato, Remo Marini di Generali e Augusto Fedriani, business continuity & disaster recovery manager di Costa Crociere, obiettano che anche l’assenza di prescrizioni ben definite può essere problematica, in modo particolare quando si tratta di interloquire con gli enti di certificazione e controllo. «Anche Costa Crociere è un gruppo multinazionale. Anche noi abbiamo fatto le nostre prime valutazioni. Ma vedo davvero molte incertezze, e mi conforta vedere che a questo tavolo non sono il solo». A queste osservazioni, dal punto di vista tecnico e di diritto, gli esperti ribattono che la nuova normativa offre comunque ampi margini di intervento sulla base di quattro prescrizioni di fondo: pseudonimizzazione/minimizzazione, cifratura, continuità e recovery. Secondo Claudio Telmon di CLUSIT, è lecito aspettarsi che anche in termini di sanzioni, l’intervento delle autorità di controllo sarà graduale: «Nessuno si aspetta multe di grande entità, almeno inizialmente». E Volpi, di Symantec, osserva che queste regole aiutano le aziende a difendersi meglio da rischi che sono concreti ed elevati: «Una buona prassi consulenziale in ambito security porta a una forte aderenza alla compliance, per questo non bisognerebbe guardare alla GDPR come a un obbligo».

GDPR E RACCOMANDAZIONI PER LE PMI

L’esperienza di Mediobanca raccontata da Diego Pogliani, head of IT regulation, IT compliance and business continuity, sembra inserirsi in questa visione di sperimentazione virtuosa. «ll programma di adeguamento al GDPR è guidato dalla Compliance ed è organizzato con diversi cantieri specialistici tra cui l’IT. L’approccio specifico sull’IT in Mediobanca non è dissimile da quello seguito in Generali» – afferma Pogliani. «Il primo punto è interpretare il regolamento GDPR per realizzare un sistema di gestione di data protection. Per Mediobanca era anche l’occasione per evolvere la sicurezza centrata sul tema del dato. Lo abbiamo fatto identificando soluzioni che indirizzano sia tematiche trasversali che a livello dei singoli servizi applicativi, con un assessment in funzione della tipologia di rischio dei dati gestiti a seconda delle applicazioni. In un secondo momento, abbiamo definito la baseline di sicurezza, a sua volta mappata sui vari livelli di criticità. Contestualmente, abbiamo condotto una gap analysis che ha portato a definire un piano di remediation. Insomma – conclude Pogliani – non una normativa piena di “compitini” da svolgere, ma una richiesta di forte accountability» – e che lascia ancora aspetti organizzativi da affrontare come la privacy impact analysis, o il tipo di governance che seguirà a questa fase.

Quali indicazioni si possono fornire alle aziende di dimensioni inferiori, che operano in settori non altrettanto regolamentati, e che il più delle volte non sono strutturate al proprio interno per perseguire in completa autonomia l’obiettivo dell’adeguamento? Una prima risposta viene da Giorgio Sonego, business unit manager cybercrime e digital forensics di Datamatic, una realtà consulenziale inserita in un grande gruppo di distribuzione di prodotti IT. «Datamatic – spiega Sonego – ha una duplice anima, da un lato una struttura che offre servizi di compliance basati sulla nostra esperienza nel campo della sicurezza e dell’investigazione forense; dall’altro siamo una struttura al servizio della rete dei nostri dealer. La sfida è proprio quella di spiegare ai rivenditori e all’intero mercato che il GDPR è un’opportunità anche per le imprese medio-piccole che vogliono diventare più efficienti e veloci». Datamatic mette a disposizione di entrambi un team formato da uno staff tecnico e da esperti del mondo “legal”, frutto di un accordo con le associazioni dei giuristi informatici. Una struttura distribuita sul territorio, conclude Sonego, che basa la sua azione sull’impianto dello standard 27001 e lavora su tempistiche ragionate. «In genere, occorrono tre mesi per una fase di assessment e altri tre per la parte legal e remediation. Una seconda sfida – sottolinea il manager di Datamatic – sta proprio nel riuscire a parlare al mercato non in termini di specifici prodotti». Obiettivo arduo in un mercato confuso anche a causa di messaggi eccessivamente semplicistici.

#GDPR e buone pratiche. In linea con gli standard di sicurezza IT #DMGDPR
Click To Tweet

LA TUTELA SI FA INSIEME

Ci sono poi esperienze come quella di Consitex Ermenegildo Zegna, il cui ICT architecture e security manager, Giovanni Gugliotta, porta all’attenzione del tavolo una sensibilità diversa nei confronti del dato. «Zegna produce abbigliamento di lusso: la percezione sul dato è meno critica, il nostro rapporto con la clientela non genera conflittualità e di conseguenza la percezione del rischio privacy è bassa. Eppure, continuo a vedere problematiche per me insormontabili, in particolare la mole di dati non strutturati che sono un problema serio e il diritto all’oblio. Con il regolamento GDPR, gli individui hanno il diritto di richiedere la cancellazione o il trasferimento dei propri dati personali a un’altra organizzazione. Ma l’eliminazione del pulsante “esporta dati” non può essere la soluzione». In definitiva, gli aspetti tecnici del regolamento GDPR preoccupano, e mentre Claudio Telmon commenta dicendo che il problema non si esaurisce sul piano tecnico e che come avvenuto in passato per la normativa sulla privacy (anch’essa in apparenza impossibile da implementare) anche per il GDPR si tratta «di una cultura da costruire» – Gugliotta invita scherzosamente provider come Symantec a trovare una soluzione. Forse, ha ragione Massimo Ceresoli di Orange Business Services, che in uno degli interventi conclusivi invoca una modalità di approccio “comunitaria”. «Vedo grosse differenze tra chi è abituato a trattare enormi moli di informazioni, dispone di budget e di risorse, e le aziende medie, che per quanto possano essere meno esposte, hanno il problema di come farsi aiutare». L’aiuto, suggerisce Ceresoli, può venire da organizzazioni a livello di consorzio o di associazione di categoria, soggetti che possono fare massa critica. «Le maglie del GDPR sono larghe anche perché il legislatore non può parlare delle tante cose che non esistevano prima: penso al riconoscimento facciale di iPhone X o alla IoT. L’idea di Orange è fornire servizi dal punto di vista di una community della sicurezza, mettendo a fattor comune risorse per dare un servizio a certe realtà».

 GDPR, la crittografia non basta

Rispettare la nuova direttiva sulla privacy è una grande opportunità di revisione ed efficientamento dei processi aziendali. Per Datamatic Sistemi e Servizi il metodo deve prevalere sulle generiche soluzioni adottate

Per Giorgio Sonego, B.U. manager per il cybercrime e digital forensic di Datamatic Sistemi e Servizi, primario distributore nel mercato della sicurezza IT, la discussione alla tavola rotonda organizzata da Data Manager e Generali sulla nuova normativa europea a tutela della privacy è la conferma di un sentiment già emerso dal contatto con il mercato. «Tra qualche confusione e parecchi dubbi, le imprese italiane sono in ritardo. Anche le grandi organizzazioni, malgrado le loro risorse, sono ancora in una fase iniziale di un percorso di adeguamento che secondo i nostri calcoli non può richiedere meno di sei mesi di tempo per una impresa di medie dimensioni».

Valutazione dei livelli di rischio – Aree come la responsabilità diretta della tutela lasciano ancora ampi spazi di soggettività e inducono, avverte l’esperto, a un atteggiamento attendista, di prudenza forse eccessiva. E il fatto che molti provider di tecnologie lancino messaggi rassicuranti – osserva Sonego – non aiuta. «Il rischio è di far passare il messaggio sbagliato. Per essere conformi al regolamento Gdpr non basta acquistare specifici prodotti, si deve partire piuttosto con una valutazione accurata dei livelli di rischio all’interno della propria organizzazione». Datamatic Dss, che fa parte di un gruppo controllato da uno dei maggiori distributori IT italiani, rifiuta le scorciatoie e adotta un approccio orientato appunto al risk management, proponendolo come servizio direttamente ai suoi clienti ma anche ai tradizionali partner di canale, con l’obiettivo di costruire un network di rivenditori a valore aggiunto capace di veicolare servizi di compliance GDPR a un mercato molto più ampio e capillare.

Strategia in tre fasi – I problemi vengono fatti risalire a una cultura della compliance immersa in un mondo di soluzioni software dominato da fornitori extraeuropei «In più, le aziende si affidano a soluzioni applicative che puntano tutto sull’aspetto funzionale, lasciando la sicurezza per ultima. C’è chi pensa di risolvere tutto con la crittografia, che è importante, ma non basta ad assicurare la compliance». Datamatic Sistemi e Servizi vuole affiancare i suoi clienti in un percorso strutturato verso l’obiettivo dell’adeguamento e contemporaneamente formare un canale che permetterà di raggiungere nuova clientela. «Lo facciamo curando sia l’aspetto legale sia l’aspetto tecnico, rafforzato attraverso una recente alleanza con un gruppo di consulenti specializzati». Il pacchetto di servizi si articola, precisa Sonego, in tre fasi. Un pre-audit di una settimana o meno, per una prima campionatura di dati e documenti. A questo, segue la fase di risk assessment, in cui l’intero assetto normativo GDPR viene per così dire calato nella realtà dell’azienda che persegue il suo obiettivo di compliance. E infine la fase realizzativa, che si conclude con un attestato di conformità. Giorgio Sonego sottolinea ancora una volta l’importanza del saper valutare correttamente l’impatto che il rispetto del regolamento GDPR finisce per avere sui processi interni e sui dati aziendali come asset. «In questo senso, l’adeguamento va visto come una straordinaria opportunità. Non si tratta solo di evitare possibili sanzioni ma di riscoprire il reale valore delle informazioni, trovare spazi anche inattesi di efficientamento del proprio business».

Mettere il dato al centro

Un approccio mirato solo alla protezione può diventare controproducente, avverte OmnitechIT. La compliance GDPR privilegia il disegno complessivo di una informazione ben gestita

«L’evento organizzato da Data Manager ha permesso di mettere in luce la centralità del dato e della sua gestione» – esordisce così Roberto Mignemi, CEO di OmnitechIT system integrator specializzato in sicurezza, forte di un team multinazionale di 170 specialisti in materia. La data strategy è un aspetto che tende a passare in secondo piano quando il tema della Gdpr si affronta in modo troppo esclusivo con il tradizionale taglio della IT security. Il processo di adeguamento, in Italia come in Europa, non è certo in fase avanzata, ma per Mignemi il bicchiere è da considerarsi mezzo pieno. «Molti dei clienti che pensavano la tutela della privacy finalizzata a punti specifici, hanno incontrato un regolamento che richiede invece un approccio molto più esteso». I regolatori europei hanno lanciato anche un secondo messaggio, osserva il responsabile di OmnitechIT. «Adeguarsi non significa soltanto evitare sanzioni, ma mettersi in condizioni di sfruttare tutte le opportunità del cambiamento. Se oggi vuoi essere parte attiva della digital transformation devi ripensare a come gestisci e metti in sicurezza il dato».

La governance del dato – La vera priorità cui rispondere riguarda quindi il disegno complessivo, la reale comprensione di dove si nasconde il valore del dato e dell’informazione. «La governance del dato è la cosa che conta e una parte del problema consiste proprio nel fatto che nella maggior parte dei casi i clienti non riescono a gestire una parte dei dati che sono distribuiti ovunque». Una preoccupazione ulteriore, osserva ancora Mignemi, è che questa pervasività impatta su un’industria dello sviluppo del software che deve assicurare la privacy by design, ma che è essa stessa in ritardo sul piano della certificazione, specie in un contesto applicativo popolato da mille piattaforme di fornitori diversi. «OmnitechIT basa i suoi interventi su un approfondito assessment che non solo è tecnologico ma soprattutto organizzativo. Solo da questa valutazione può derivare la proposta di un piano commisurato ai livelli di rischio». Che cosa significa tutto ciò? Il limite di una visione dominata dalla preoccupazione della protezione totale, sta nell’imposizione di barriere che ostacolano il lavoro e invita a comportamenti rischiosi.

Discovery e valutazione dei dati – «La normativa induce a privilegiare una corretta valutazione e gestione, perché non tutti i dati vanno protetti nello stesso modo». Il modello generale applicato dai consulenti OmintechIT prevede l’impiego di metodologie e tool software specifici per la cosiddetta “discovery” e la valutazione dei dati. L’azienda romana, con sedi proprie in Italia e in diverse nazioni europee, mette a disposizione del cliente un’offerta di servizi gestiti, dal security operation center all’incident response team, in piena sintonia con una normativa che prevede un forte grado di coinvolgimento delle aziende anche nel monitoraggio e nella reportistica degli attacchi subiti e delle contromisure che possono essere messe in campo. «La filosofia dell’outsourcing, la condivisione di conoscenza e di risorse – conclude Mignemi – avranno un ruolo molto importante nel mercato dei servizi finalizzati alla compliance in ambito GDPR».

Per sempre compliant

La normativa sulla privacy apre finalmente la strada a una sicurezza pervasiva e connaturata ai processi aziendali, premiando l’approccio analitico perseguito da Orange Business Services

La normativa sulla privacy comporterà sicuramente un grande sforzo di adeguamento, riconosce Massimo Ceresoli, head of business solutions per l’area europea centro-meridionale di Orange Business Services. «Ma è anche un forte segnale di sveglia per le organizzazioni che devono ripensare i loro processi anche in un ambito come quello della sicurezza: il mondo è profondamente cambiato, non possiamo restare a difesa di un perimetro che il cloud ha cancellato». Occorrono strategie nuove per evitare eventi importanti come quelli subiti da un importante motore di ricerca americano, con tre milioni di account di posta violati. «Con tutti gli attuali margini di interpretazione – afferma Ceresoli – il regolamento GDPR fornisce le indicazioni necessarie e guiderà i futuri investimenti mirati alla protezione delle applicazioni, aiutando le aziende ad apprezzare il valore della protezione del dato come asset, non come costo aggiuntivo».

Limiti e vantaggi – Proprio il fatto che tutti gli attori in gioco, aziende e clienti, guardino a questa normativa come a una concreta opportunità rappresenta un segnale positivo, di maturità complessiva. A destare giuste preoccupazioni è semmai il ritardo nel recepimento. Dalle valutazioni fatte da alcuni analisti, meno di un quarto delle aziende europee ha avviato un progetto di adeguamento già nel 2016 e solo il 90 per cento riuscirà a rispettare le scadenze fissate. «Riteniamo che il restante 75 per cento avrà bisogno di un aiuto e supporto esterno per completare la preparazione – riconosce Ceresoli – ma almeno in questo, le aziende italiane sono in buona compagnia nello scenario europeo». Nelle organizzazioni multinazionali, è possibile che questo ritardo sia anche legato ai limiti imposti sui budget, ma soprattutto al fatto che questi budget sono strutturati localmente. «Il regolamento Gdpr richiede una governance estesa, ma anche una vision che non può essere troppo frammentata tra i vari comparti aziendali. Il vantaggio, in uno sforzo di adeguamento di questo tipo, consiste nel poter ripensare ai processi senza più emulare il passato in un ambiente hybrid cloud e SDN, come è avvenuto in alcuni casi finora».

La risposta di Orange Business Services – Partendo dall’assunto che ai fini della compliance non esiste una soluzione valida per tutti, proprio perché il principio è quello della sicurezza by design, il system integrator francese segue un approccio consulenziale che punta innanzitutto alla comprensione del cliente e dei suoi obiettivi, fino alla creazione di un progetto che può essere “multi-tier”, con Orange Business Services chiamata a seguire specifici aspetti. «In virtù della nostra approfondita conoscenza delle tecnologie – ribadisce Ceresoli – possiamo aiutare il cliente nella scelta delle soluzioni più opportune in una ottica di continuità che vede la compliance Gdpr come un cammino continuo». L’auspicio è che le aziende possano affrontare questo percorso in tempi adeguati perché in un mondo di minacce in costante evoluzione, l’esigenza di assicurare la massima protezione possibile ai dati dei clienti è fondamentale. «Sarà interessante seguire l’evoluzione di una normativa molto ampia, che introduce anche il concetto di verifica e aggiornamento delle contromisure adottate» – conclude Ceresoli. Orange Business Services continuerà a prefiggersi l’obiettivo dell’analisi e della personalizzazione, evitando la trappola del “one size fits all”.

GDPR, la ricetta giusta

La forza di Symantec consiste nella sua capacità di indirizzare la domanda verso un approccio integrato, in cui le contromisure più complesse interagiscono ai fini della sicurezza delle informazioni. No allo “spezzatino” di soluzioni

Per Stefano Volpi, recentemente nominato responsabile della filiale italiana del fornitore globale Symantec, è importante che tutti gli stakeholder del processo di adeguamento alle nuove normative sulla privacy – e più in generale del processo di protezione e governance dell’informazione digitale – abbiano la possibilità di riunirsi intorno a tavoli di relazione che diventano ogni giorno più fondamentali, sul piano della cultura e della piena consapevolezza. «Le aziende sembrano apprezzare questa possibilità di confrontarsi, di “navigare” tra i tanti aspetti di una normativa che per contro lascia ancora molti dubbi sulle cose da fare e da non fare». Il contributo di vendor come Symantec e dei rappresentanti della consulenza e della system integration deve andare anche in direzione di una maggiore chiarezza sui temi della sicurezza e della compliance. «Su tavoli come questi stiamo lavorando per il futuro del business digitale e il mio timore è che se da un lato si stanno mettendo in atto molte delle cose previste dal regolamento Gdpr, dall’altro bisognerebbe prendere misure ancora più serie per una security e una privacy reali, curando tuttavia l’aspetto della contemporaneità delle minacce e delle tecnologie da usare per contrastarle. In questo senso, c’è ancora molto da fare e Symantec può offrire una visione concreta, aggiornata».

Indirizzare la domanda con più chiarezza – Secondo Volpi, le organizzazioni aziendali devono acquisire una mentalità orientata a una sicurezza concretamente end-to-end e questo implica una maggiore capacità del mercato di indirizzare la domanda verso le soluzioni adeguate. Ma qual è la risposta che Symantec può dare a questo bisogno di chiarezza? Il punto fondamentale, afferma Volpi, è l’offerta di una piattaforma davvero integrata, capace di riportare l’attenzione sulla sicurezza del dato, dell’informazione. «Dal nostro punto di vista è sbagliato affrontare il problema implementando più soluzioni specifiche che non sono in grado di comunicare tra loro». Anche attraverso la sua politica di acquisizione, da anni Symantec centralizza le proprie strategie, concentrandosi sul piano tecnologico e sulla protezione del traffico web e sulla messaggistica, i due ambiti più esposti agli attacchi.

Approccio integrato alla protezione – «Centralizzare vuol dire che a fronte di infrastrutture sempre più in cloud e di una sostanziale impossibilità di circoscrivere il dato in un preciso perimetro, tutte le varie misure che siamo tenuti a implementare – la cifratura, la protezione di tutti gli end point, l’autenticazione “forte” delle identità, la protezione dalle fughe di dati, sul cloud come sulla rete aziendale – devono avvenire in un contesto di totale integrazione, di dialogo tra le diverse funzioni» – spiega Stefano Volpi. Le dimensioni di Symantec – oggi, il maggior fornitore di soluzioni e servizi di security al mondo – e la sua expertise, servono a concretizzare un’offerta che include un aspetto analitico, consulenziale. «Infine – aggiunge Volpi – c’è il fondamentale capitolo della sicurezza gestita, che Symantec può dominare grazie al suo esclusivo network globale di quaranta data center. La compliance alle nuove normative non si esaurisce con la scelta della soluzione corretta, ma deve proseguire nel tempo attraverso una gestione intelligente». Che in molte situazioni è difficile assicurare attraverso l’esclusivo impegno di risorse interne.

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

L'articolo GDPR: per cambiare, invochiamo la privacy proviene da Data Manager Online.

Banca UBAE nasce nel 1972 come “Unione delle Banche Arabe ed Europee.” L’obiettivo attuale è quello di sviluppare le relazioni commerciali, industriali ed economiche tra l’Europa e i paesi dell’Africa del Nord e Sub-Sahariana, del Medio Oriente, del Sub Continente Indiano e dei paesi ex CIS. Gli azionisti di Banca UBAE includono i principali gruppi bancari libici, marocchini e italiani: Libyan Foreign Bank, Banque Centrale Populaire, Banque Marocaine du Commerce Extérieur, Unicredit, e Intesa San Paolo e importanti istituzioni finanziarie italiane: Sansedoni Siena spa, Gruppo ENI (ENI Adfin) e Telecom Italia. «Abbiamo una operatività in oltre 50 paesi con il supporto di un’ampia rete di banche corrispondenti» – spiega a Data Manager il Dr. Enrico Pilotti, responsabile direzione organizzazione & IT di Banca UBAE. I principali servizi offerti alla clientela che opera con l’estero sono: finanziamenti all’esportazione, lettere di credito, SBLCs, risk sharing, garanzie, finanza, sindacazioni commerciali e finanziarie e assistenza professionale nei paesi esteri presidiati da una rete di consulenti locali. «Ora ci stiamo aprendo moderatamente anche verso il retail con servizi e prodotti innovativi e diversificati».

Le esigenze e la scelta del partner

«Per quanto riguarda il sistema informatico, a partire dal 2000, è stato scelto un servizio di full outsourcing sebbene, al contempo, si sia deciso di mantenere all’interno una adeguata infrastruttura tecnologica finalizzata alla gestione autonoma delle esigenze informative avanzate dai vari servizi interni. Nella struttura organizzativa IT sono pertanto presenti risorse con adeguati skills in grado di implementare, anche con la collaborazione di partner tecnologici, soluzioni customizzate» – continua Enrico Pilotti. Per quanto attiene il portafoglio progetti in corso di implementazione, il tema della governance dei rischi è sicuramente un argomento su cui la banca ripone particolare attenzione e dove sta investendo. L’obiettivo è quello di poter disporre di strumenti, processi e strutture organizzative adeguate a monitorare e controllare le esposizioni di rischio e a prevenire / gestire eventuali incidenti. La principale spinta al cambiamento è stata impressa dal recepimento della normativa 285/2013 della Banca d’Italia dove si raccomandano una serie di attività volte, soprattutto nell’ambito IT, a definire policy, ad adottare strumenti/soluzioni e a rivedere processi. Viene introdotto un nuovo modo di intendere il concetto di governance e management del rischio con una particolare attenzione alle best practices e agli standard internazionali.

«Le banche sono state chiamate a una profonda revisione del completo processo del rischio: dall’analisi e la metodologia fino ai processi interni. Come Banca UBAE, abbiamo inizialmente cercato un partner di primo piano al quale rivolgerci, facendo anche riferimento a importanti analisti quali Gartner e Forrester. Dopo un primo screening, i cui parametri hanno tenuto conto delle specificità della banca, del sistema informatico in outsourcing e della adeguatezza delle soluzioni proposte (integrazione con i sistemi) nonché di una attenzione agli investimenti necessari, la selezione si è ristretta a cinque società tutte con soluzioni estremamente valide. Alcune società leader di settore hanno riscontrato la nostra RFP con soluzioni molto articolate ma la complessità nell’integrazione con il sistema informatico della banca e i costi da sostenere (nonché i tempi di realizzazione) ne hanno sconsigliato l’adozione. La banca, quindi, ha ridimensionato il progetto iniziale e si è quindi concentrata sulle proposte di un GRC (Governance, Risk & Compliance) che avesse un buon rapporto tra i costi e le funzionalità rilasciate, elevata usabilità e facile implementazione, oltre che possibilità di evoluzione dell’esistente prodotto. Augeos offriva tutti i requisiti che cercavamo: uno tra questi un framework, anche flessibile, aperto e customizzabile, una piattaforma elastica e disponibile ad accompagnare la banca nelle fasi di introduzione e deployment del prodotto, con particolare attenzione alla sua integrazione con il sistema di gestione dei processi» – ha evidenziato Enrico Pilotti.

#BancaUbae con #Augeos per una gestione completa del #rischioIT
Click To Tweet

Visione totale della banca

«Riteniamo che la soluzione dei rischi operativi e il modulo per i rischi IT che stiamo sviluppando insieme a Augeos, siano compliant agli standard richiesti dalla normativa. Il modulo rischi operativi è stato già rilasciato ed entro la fine di ottobre 2016 è stato completato il primo rilascio del modulo AIT Risk per la gestione dei rischi informatici» – spiega Enrico Pilotti. «La seconda fase, fondamentale, del progetto che si concluderà nel 2017, vedrà l’integrazione con il modulo di analisi dei rischi operativi, un prodotto anch’esso targato Augeos. L’obiettivo finale è disporre di un sistema integrato di governance dei processi e dei rischi operativi. Riteniamo Augeos un partner ideale che ci possa accompagnare negli stage di sviluppo, implementazione, customizzazione e infine manutenzione della piattaforma, il tutto anche rispettando criteri di convenienza economica che hanno in ogni caso il loro peso» – continua Enrico Pilotti. Naturalmente, a parte la componente tecnologica, in tutto questo processo il management aziendale gioca un ruolo di primo piano per il successo della nuova piattaforma.

La gestione del rischio

AIT Risk è la soluzione targata Augeos per la gestione completa dei rischi e dei controlli focalizzata sugli asset IT, e fa parte della suite GRC (Governance, Risk & Compliance) per la gestione dei rischi aziendali prodotta dalla software house di Rivoli, nata nel 2005 da un’idea di Claudio Ruffini (presidente) e Carlo Cugusi (attuale amministratore) per offrire soluzioni informatiche ad alto valore aggiunto nel campo del risk management, compliance, legal e audit.

AIT Risk di Augeos recepisce le disposizioni di vigilanza prudenziale di Banca d’Italia in materia di sistema dei controlli interni, sistema informativo e continuità operativa con l’obiettivo di valutare il rischio informatico e la correlazione con la gestione del rischio operativo. Le disposizioni della normativa recepiscono, inoltre, le raccomandazioni della Banca Centrale Europea per la sicurezza delle transazioni bancarie via Internet.

Identificare i rischi e mappare i processi

L’IT Risk, ovvero il rischio di incorrere in danni economici, di quote di mercato e di reputazione legati all’utilizzo degli strumenti di information & communication technology, è un ambito correlato sia ai rischi operativi di un’azienda sia ai rischi reputazionali e strategici. Un corretto approccio alla gestione del rischio IT deve, inoltre, prendere in considerazione il contesto interno, come l’assetto organizzativo, unitamente a quello esterno, come l’evoluzione a livello di normativa e il progresso tecnologico.

Il metodo di analisi applicato da Augeos per identificare e gestire i rischi IT si basa su un processo di risk assessment e un processo di risk management, in cui gli step principali vanno dall’identificazione dei rischi potenziali alla mappatura dei processi aziendali, dalla valutazione dei rischi al sistema di monitoraggio, fino alle azioni di mitigation. Oltre a rilevare e monitorare il rischio IT, AIT Risk di Augeos effettua l’archiviazione e l’analisi degli incidenti IT e consente di gestire le azioni di mitigation, supportando in questo modo anche la leadership interna dell’azienda. Il prodotto si basa su un approccio funzionale che permette di avere «una vista personalizzata dei rischi IT e la gestione dei controlli per ciascuna funzione aziendale competente», utilizzando un framework proprietario conforme agli aggiornamenti della circolare 285/2013 della Banca d’Italia e compatibile con il framework COBIT 5 e lo standard ISO 27001.

Aperti al futuro

«Come Banca UBAE seguiamo sempre con attenzione gli sviluppi e le ultime novità tecnologiche sul mercato» – prosegue Enrico Pilotti. Gli istituti finanziari hanno infatti moltiplicato i punti di contatto con la clientela attraverso il mondo del web, per aprirsi al futuro e venire incontro alle aspettative dei Millennials. Se da un lato questo è irrinunciabile, in quanto moltiplica le opportunità di crescita e di business con le nuove generazioni, dall’altro però anche le superfici d’attacco aumentano esponenzialmente. «Siamo interessati alle evoluzioni tecnologiche di strumenti come il CRM strategico e, anche per la tipologia di clientela in portafoglio, ad acquisire soluzioni che favoriscano il contatto con la clientela e rendano più facile e decentrata l’iterazione con la banca. Gli strumenti, ovviamente, sono quelli che si basano su piattaforme internet ma è evidente che anche in questo caso la sicurezza e i rischi sono i due temi che si ripetono prepotentemente. «La Banca ha sicuramente l’intenzione di preservare gli investimenti IT sino ad ora portati a compimento e di continuare a interagire con partner qualificati che le stanno permettendo di raggiungere importanti obiettivi. Si vuole infatti continuare a offrire, sia agli azionisti che alla clientela, le migliori garanzie sul successo e la serietà dei servizi che mettiamo a loro disposizione» – conclude Enrico Pilotti.

L'articolo Banca UBAE – La gestione del rischio targata Augeos proviene da Data Manager Online.

Strategie di difesa e nuove minacceLa diffusione dell’ICT ha incrementato la possibilità di sfruttare la tecnologia a fini invasivi e terroristici, aumentando le vulnerabilità dei sistemi e ampliando il bacino di soggetti potenzialmente esposti. Tale minaccia grava su tutte le piattaforme, dai sistemi complessi delle grandi aziende, delle banche e della PA, ai dispositivi dei singoli cittadini. La cosiddetta minaccia cibernetica, per la sua natura diffusa, incontrollata e transnazionale, rappresenta – oggi – una delle sfide più impegnative. I cyber attack sono in grado di produrre effetti confrontabili con quelli ipotizzabili in attacchi bellici convenzionali e di incidere sull’esercizio stesso delle libertà essenziali per i sistemi economici e democratici.

La guerra, il terrorismo e il crimine non si svolgono più o solo nel modo tradizionale ma anche nel cyber-space. Gli obiettivi privilegiati sono le cosiddette infrastrutture critiche (IC), lo Stato, l’economia, le singole aziende e, quindi, le banche e i sistemi della finanza. La distruzione e il danneggiamento – anche parziale – di una IC hanno un notevole impatto economico e sociale. Basti pensare alle reti della finanza e dei sistemi di pagamento che includono effetti intersettoriali e transfrontalieri, con effetto “domino” dovuto alle interdipendenze e interconnessioni.

In particolare, si profilano all’orizzonte gli advanced persistent threat, le cosiddette APT, che sono attacchi prolungati nel tempo e focalizzati su specifici obiettivi economici o strategici. Nelle varie fasi dell’APT, che possono anche durare anni, sono utilizzate non solo tecniche di hacking tradizionali, ma anche tools dedicati. In sostanza, vere e proprie azioni di spionaggio e sabotaggio via Internet e canali tradizionali.

Il rischio APT nella finanza è confermato dall’autorevole Global Risks Report del World Economic Forum (www.weforum.org) che – analizzando le 50 principali minacce globali dei prossimi 10 anni e classificandole per impatto e probabilità – pone il cyber attack ai primi posti. Il successivo livello di escalation può quindi essere una seria minaccia per il sistema bancario e finanziario di uno o più paesi. Non bisogna, infatti, dimenticare che a livello di competitività industriale gli obiettivi di gruppi – anche piccoli ma ben organizzati, con una copertura istituzionale da parte di eventuali paesi ostili – non sono solo i singoli conti dei clienti ma le informazioni strategiche di una banca o di grandi manovre finanziarie, economiche e industriali. Anche le mafie si stanno evolvendo: hanno fatto un up-grade delle competenze e cominciato a rubare, riciclare e a far transitare soldi attraverso i sistemi informatici, usando i sistemi della finanza.

L’evento più importante dell’ultimo anno, in questo ambito, è stato Eurograbber, una colossale operazione criminale condotta nei confronti di 30mila conti correnti europei, che ha sottratto agli ignari correntisti oltre 36 milioni di euro con prelievi illeciti e ai singoli malcapitati, somme tra i 500 e 250mila euro. L’operazione, condotta con l’ennesima variante per piattaforme mobile del malware Zeus (ZitMo), è partita proprio dal nostro Paese e ha coinvolto 16 istituti bancari solo in Italia, oltre agli 11mila utenti complessivi a livello europeo. Il New York Stock Exchance (NYSE) ha recentemente imposto a banche, broker e gestori di asset di dimostrare praticamente la propria resilienza di business continuity anche sotto cyber attack. L’esercitazione – che ha il nome in codice di Quantum Down 2 ed è coordinata dalla Securities Industry and Financial Markets Association (Sifma), l’associazione che rappresenta le aziende del settore finanziario – coinvolge circa 50 istituti finanziari e istituzioni federali, oltre al dipartimento del Tesoro, l’FBI e il dipartimento per la sicurezza nazionale USA.

Bill Michael, responsabile dei servizi finanziari di Kpmg (www.kpmg.com), nel recente rapporto sul settore bancario inglese afferma che il maggiore rischio attuale non è quello di una crisi di liquidità, ma di un cyber attack che paralizzi le attività delle banche. «I cyber attack – sostiene Michael – potrebbero essere il prossimo shock sistemico. Ci sono sempre maggiori dubbi sulla capacità delle banche di combattere future minacce alla sicurezza. Dopo anni di miglioramento, le banche britanniche hanno subìto, lo scorso anno, un aumento del 12% delle frodi online».

ANALISI AUTOREVOLI

A livello governativo, la conferma dell’aumento delle minacce arriva dall’ultima relazione del DIS (Dipartimento di Informazione per la Sicurezza) della Presidenza del Consiglio sulla Politica dell’informazione per la sicurezza e dalla relazione del COPASIR (Comitato Parlamentare per la Sicurezza della Repubblica). L’accresciuta rilevanza della cyber security è testimoniata anche dalla relazione annuale del Sistema di Informazione per la Sicurezza della Repubblica (l’insieme delle istituzioni e agenzie nazionali preposte alle attività di intelligence). Lo stesso governo considera la minaccia cyber non più come mero problema di criminalità, ma come questione di sicurezza nazionale. Cruciale in tal senso è la protezione delle infrastrutture critiche informatizzate (CIIP). Nell’ultimo rapporto dell’osservatorio dell’Istituto Affari Internazionali (IAI – www.iai.it) dal titolo Cyber-security: Europa e Italia, si ribadisce che l’interesse del cybercrime è particolarmente elevato per le frodi bancarie, il furto di identità e di informazioni (come lo spionaggio industriale) che sono causa di ingenti danni economici. Secondo l’annuale rapporto Clusit (www.clusit.it) sulla Sicurezza ICT in Italia, presentato a Roma lo scorso giugno durante il Security Summit 2013, in relazione a quanto avvenuto nel 2012 e nei primi mesi del 2013, la situazione è in netto peggioramento e vi sono elementi di forte preoccupazione tra gli addetti ai lavori. Ci troviamo di fronte a una vera e propria emergenza nella quale nessuno può più ritenersi al sicuro, dove tutti sono in qualche modo e – a vario titolo – minacciati. La frequenza degli incidenti è aumentata del 250% in un solo anno. Il cybercrime è diventato la causa del 54% degli attacchi (era il 36% nel 2012), con una crescita anno su anno del numero di attacchi di oltre il 370%. Lo studio Clusit si riferisce a un campione di oltre mille e 600 incidenti significativi avvenuti negli ultimi due anni e al confronto con le informazioni che emergono dai report di molti vendor (Cisco, IBM, Kaspersky, McAfee e Trend Micro).

AZIONI E CONTROMISURE

Per affrontare e dibattere il tema, i principali attori della sicurezza in banca e nella finanza si sono incontrati a Roma poco prima dell’estate per l’annuale summit Banche e Sicurezza 2013. L’evento – organizzato e ospitato dall’associazione bancaria italiana (ABI – www.abi.it), in collaborazione con l’osservatorio in materia di sicurezza (OSSIF – www.ossif.it) e ABI Lab (www.abilab.it) – è la sede più importante e qualificata per fare il punto sulle prospettive future e sulle più innovative metodologie e tecnologie per la sicurezza nella finanza. L’incontro annuale è unico nel suo genere, sia per la visione privilegiata sul settore sia per il coinvolgimento istituzionale.

Le vaste implicazioni della minaccia cibernetica sono state all’origine delle norme introdotte, prima con la legge n. 133/2012 e poi con il DPCM del 19/3/2013 n. 66. L’Italia ha oggi la sua strategia per la cyber security. Il decreto 66, in particolare, definisce “l’architettura istituzionale deputata alla tutela della sicurezza nazionale relativamente alle IC materiali e immateriali, con particolare riguardo alla protezione cibernetica e alla sicurezza informatica nazionali, indicando a tal fine i compiti affidati a ciascuna componente e i meccanismi e le procedure da seguire ai fini della riduzione della vulnerabilità, della prevenzione dei rischi, della risposta tempestiva alle aggressioni e del ripristino immediato della funzionalità dei sistemi in caso di crisi”.

ARCHITETTURA A TRE LIVELLI

L’architettura si articola su tre distinti livelli d’intervento. Il primo è di indirizzo politico e coordinamento strategico per l’elaborazione di un Piano nazionale per la sicurezza dello spazio cibernetico. Il secondo è di supporto con funzioni di raccordo nei confronti di tutte le amministrazioni ed enti competenti per l’attuazione degli obiettivi, delle linee di azione indicate dalla pianificazione nazionale e che provvede a programmare l’attività operativa a livello interministeriale e ad attivare le procedure di allertamento in caso di crisi. Il terzo livello è di gestione delle crisi, con il compito di curare e coordinare le attività di risposta e di ripristino della funzionalità dei sistemi, avvalendosi di tutte le componenti interessate. La legge attribuisce al Comitato interministeriale per la sicurezza della Repubblica (CISR) compiti di consulenza, proposta e deliberazione sugli indirizzi e sulle finalità generali della politica dell’informazione per la sicurezza, nonché di elaborazione degli indirizzi generali e degli obiettivi fondamentali da perseguire nel quadro della politica dell’informazione per la sicurezza. Un’ulteriore e specifica esigenza di coordinamento si pone con riguardo alla gestione operativa delle crisi e all’adozione delle misure necessarie al ripristino della funzionalità dei sistemi. Tale coordinamento è individuato nel Tavolo interministeriale di crisi cibernetica che – per gli aspetti tecnici di computer emergency response – si avvale del CERT nazionale istituito presso il ministero dello Sviluppo economico ai sensi del decreto legislativo n. 259/2003. Anche la Commissione europea ha finalmente reso nota la sua direttiva in materia di sicurezza delle reti e dell’informazione. Il piano nasce per tutelare l’apertura, la libertà e le opportunità della rete. Nello specifico le priorità sono cinque: conseguire la resilienza informatica, ridurre drasticamente la criminalità informatica e sviluppare la politica di difesa e le capacità informatiche connesse alla politica di sicurezza e di difesa comune. DIS e COPASIR, commentando il nuovo impianto normativo, sottolineano che «oggi la sicurezza del Paese passa per la sicurezza delle sue aziende e la sicurezza delle aziende non può prescindere dalla sicurezza del Paese». In altre parole, l’intelligence si pone a supporto della sicurezza aziendale (infrastrutture critiche e cybercrime in particolare). Esistono dunque le premesse normative e fattuali affinché il rapporto pubblico-privato possa esprimere tutte le sue potenzialità positive, realizzando una sicurezza globale e di sistema quale base fondamentale di contrasto ai cyber attack. Da un punto di vista operativo, l’ABI e la Convenzione interbancaria per i problemi dell’automazione (CIPA) hanno emesso l’annuale Piano delle attività in materia di automazione interbancaria (per il periodo 2013 – metà 2014), che raccoglie le principali attività progettuali e quelle di analisi e studio promosse dalla Banca d’Italia (BI), dalla stessa CIPA, dall’ABI, dai consorzi BANCOMAT, CBI e ABI Lab, da OSSIF e dai centri applicativi. Il piano è sempre più orientato a una forte integrazione europea delle infrastrutture, dei mercati e degli strumenti della finanza e dei sistemi di pagamento e fotografa anche i fenomeni della sicurezza informatica in termini di utilizzo dell’ICT, di investimenti, di progetti e di priorità dell’intero sistema bancario. In materia di continuità operativa e sicurezza delle IC del sistema finanziario, proseguono le attività del CODISE (gruppo di lavoro sulla continuità operativa del sistema finanziario coordinato da BI), attraverso lo svolgimento di esercitazioni annuali e lo sviluppo di nuove metodologie per l’analisi dei rischi. Il comitato ha approfondito i rischi cyber per le infrastrutture di mercato, con particolare riferimento agli aspetti di continuità operativa e ha mostrato l’importanza di sviluppare nuove metodologie e metriche per l’analisi dei rischi.

PIù’ INTELLIGENCE PER LA SICUREZZA

La Banca d’Italia partecipa ai lavori dell’European Forum on the Security of Retail Payments (SecurePay Forum). Nel mese di febbraio 2013 la Banca Centrale Europea (BCE) ha pubblicato il rapporto Recommendations for the security of internet payments, che contiene le raccomandazioni in materia di sicurezza per i pagamenti via Internet. Queste linee guida dovranno essere trasferite nelle regolamentazioni nazionali entro il primo febbraio 2015. I principali aspetti riguardano la fase di inizializzazione del pagamento (metodi di “autenticazione forte” dell’utente, vincoli sulla sessione transattiva, presidi di monitoraggio sulla fase di inoltro della transazione), l’implementazione di misure di sicurezza per mitigare i rischi di utilizzo fraudolento e la fase di assistenza del consumatore (con appositi sistemi di alert e la verifica dei movimenti effettuati). In parallelo, la BCE ha emesso anche le Recommendations for payment account access services, che riguardano la sicurezza dei servizi Internet forniti da soggetti terzi che, interponendosi tra l’utente e la banca (o altro prestatore di servizi di pagamento), consentono al cliente di effettuare pagamenti accedendo al proprio conto. La BI, nel ruolo di ente titolare del trattamento dei dati della Centrale di Allarme Interbancaria (CAI), svolge anche una costante azione di controllo sulle segnalazioni trasmesse dagli intermediari e sulla gestione dell’archivio da parte della SIA (www.sia.eu). Inoltre, è in corso il progetto per la realizzazione di un data warehouse finalizzato a rendere più efficaci i processi di analisi delle segnalazioni di operazioni sospette attraverso l’integrazione di tutte le fonti informative interne all’Unità di informazione finanziaria (UIF), di quelle della BI e delle fonti esterne. ABI Lab, con il suo osservatorio su Sicurezza e frodi informatiche – cui partecipano attivamente le banche, gli outsourcer interbancari, i partner ICT, i referenti istituzionali e della Polizia Postale e delle Comunicazioni – è costantemente attivo nell’area della prevenzione e del contrasto dei cyber attack e mantiene il presidio dei rapporti con le principali istituzioni europee e con i centri di studio nazionali e internazionali attivi in materia. In particolare, ABI Lab fa parte dell’European Electronic Crime Task Force, le cui attività si concentrano sul contrasto alle frodi online e il fenomeno del crimine informatico. Sono seguite con particolare attenzione le attività del Progetto europeo OF2CEN (On-Line Fraud Cyber Centre and Expert Network), finanziato dalla Commissione europea e coordinato dalla Polizia Postale. Tra gli obiettivi del progetto risalta l’istituzione di un Cyber Frauds Centre nazionale per la raccolta e lo scambio di informazioni inerenti ad attacchi sospetti o perpetrati sul canale Internet nei confronti di banche e la creazione di una piattaforma per lo scambio di informazioni con la Polizia Postale e delle Comunicazioni a supporto delle attività investigative delle forze dell’ordine e delle iniziative di information sharing del Cyber Frauds Centre. Al fine di massimizzare le azioni di contrasto e prevenzione interviene ancora il rapporto Sicurezza e frodi informatiche in banca di ABI Lab a mettere in luce come è sempre più importante e strategico dotarsi di strumenti evoluti e continuamente aggiornati, in grado di effettuare un presidio costante degli accessi, delle operazioni e della rete. Per quanto riguarda l’organizzazione, la tecnologia e le azioni principali da mettere in campo all’interno della banca ci sono:

•          accurato risk assessment che contempli anche il rischio APT

•          adozione di sistemi di cifratura e data loss prevention (DLP)

•          continuo pathcing dei sistemi operativi

•          adozione di framework di sicurezza nello sviluppo software

•          segmentazione delle reti e separazione delle funzioni aziendali

•          adozione di sistemi di strong authentication

•          monitoraggio del traffico entrante e uscente

•          analisi anomalie utilizzo dei sistemi informativi

•          costituzione del CIRT(computer incident response team)

•          attività di cyber intelligence al fine di predire possibili minacce.

L’adeguata verifica della identità è un aspetto rilevante dell’azione preventiva di contrasto. Essa richiede l’identificazione e l’autenticazione dei dati acquisiti e la verifica nei confronti del beneficiario – titolare effettivo – quando il cliente è una persona giuridica o effettua un’operazione per conto di altri soggetti. Il presidio migliore per la prevenzione del rischio è quello dell’autenticazione “a due fattori”, basata, per esempio, su smart card contenenti certificati digitali e codice PIN o su token e PIN.

Alle soluzioni tecnologiche si affiancano le iniziative di sistema e delle singole banche volte ad accrescere il livello di conoscenza e familiarità dei dipendenti e dei clienti con i fenomeni fraudolenti e che si concretizzano in azioni di formazione destinate a: personale di filiale, strutture di help desk, operatori di call center. Nel medesimo quadro si pone la diffusione di una cultura della prevenzione cibernetica e della cybersecurity, secondo un approccio integrato e multidisciplinare che non manchi di includere iniziative volte a sensibilizzare la collettività, nonché a promuovere la formazione tecnico-specialistica, lo sviluppo della ricerca, il coordinato raccordo tra pubblico e privato. Secondo il rapporto Clusit è anche auspicabile che “dalla crescente copertura dedicata dai media ai cyber attack parta quel movimento di sensibilizzazione necessario a instaurare la prima forma di difesa della identità digitale costituita dall’accortezza e dalla diffidenza”.

SICUREZZA GLOBALE

Gestire i rischi in ottica di sicurezza integrata globale e di sistema, nella logica PPP, vuol dire rispondere a una richiesta precisa e pressante che impone di acquisire una complessa e globale visione d’insieme e di fare le scelte giuste instaurando anche specifiche relazioni a tutto campo. Occorre quindi pianificare e implementare un’organizzazione di sicurezza, come già previsto peraltro dalla normativa PCI (Payment Card Industry), che sia in grado di far funzionare il sistema in modo adeguato a raggiungere gli obiettivi di business e di sicurezza insieme. A tal fine è fondamentale rivedere il modello di approccio trasformandolo come elemento centrale di una strategia maggiormente focalizzata. In questo senso, la governance della sicurezza deve essere inserita all’interno di un processo direzionale. Lo scenario delineato configura, infatti, la sicurezza come un’attività sempre più trasversale e globale, che coinvolge all’interno della banca strutture differenti e personale non sempre consapevole delle necessarie accortezze. Anche la pervasività della tecnologia suggerisce un approccio integrato, secondo una gestione per processi in grado di coinvolgere in maniera trasversale tutte le strutture interessate: sicurezza logica, business continuity, sicurezza fisica, business intelligence. In sostanza, serve una visione globale e di sistema, collaborando strettamente con il sistema bancario, il sistema nazionale ed europeo di sicurezza – nella logica PPP – per la soluzione di problematiche che riguardano talvolta anche la stabilità dell’intero sistema finanziario. Le azioni da porre in essere devono configurarsi secondo una dimensione interna (sicurezza integrata) ed esterna alla banca e coinvolgere anche le istituzioni (sicurezza di sistema) nel senso auspicato dal DIS e COPASIR.

La migliore risposta organizzativa interna alla gestione della sicurezza nel senso auspicato è l’adozione della metodologia basata sull’information security management maturity model”. Come tutti i modelli “maturity model”, l’approccio si basa sul raggiungimento graduale dei quattro livelli di maturità interni, attraverso la misurazione della propria situazione attuale e la conseguente adozione di strumenti e processi che eliminino i punti di debolezza. E’ quindi evidente che il tema della sicurezza costituisce una questione di competenza dell’alta direzione in quanto richiede necessariamente di conciliare l’efficacia della prevenzione, delle contromisure con l’ottimizzazione delle risorse da impiegare e la collaborazione con le istituzioni e il sistema Paese. Adottando un processo di governance e risk management, oltre a mantenere nel tempo la conformità a leggi e regolamenti, si ottiene un rapido ritorno degli investimenti e un supporto per l’innovazione. I vantaggi maggiori – però – si ottengono con una sicurezza “by design” (come indicato dalla Unione europea e come da sempre sostenuto dagli esperti IBM, che a differenza di altri player, ne hanno fatto una vera dottrina), cioè progettata sin dall’inizio in tutti i processi aziendali, nello sviluppo di prodotti e servizi, nelle attività quotidiane. In azienda, questo non significa semplicemente proteggere l’ICT, ma realizzare una organizzazione e un’infrastruttura sicura e “resiliente”, considerando quindi anche la continuità dei processi e delle operazioni di business.

CONCLUSIONI

Maggiore sicurezza significa più qualità dell’offerta e maggiore fiducia della clientela. Si profilano all’orizzonte importanti e crescenti rischi per la banca che vanno sotto il nome di cyber attack alle IC. Questi, infatti, non sono più rappresentati dal singolo haker dilettante ma da vere e proprie organizzazioni criminali che stanno abbandonando la rapina e la frode tradizionale per dedicarsi alla frode informatica. Nelle banche è necessario un mutamento radicale nella concezione della sicurezza per la realizzazione del modello di “sicurezza integrata globale e di sistema”. Tale nuovo approccio consente di concentrare la responsabilità delle varie direzioni in un unico punto di raccordo al più alto livello manageriale e di gestire il fenomeno anche all’esterno con i necessari collegamenti con il sistema bancario e con il sistema di sicurezza nazionale ed europeo nella logica PPP. In sostanza, si sta passando dalla “Info security” alla “Cyber security”.

L'articolo Cyber attack e sicurezza in banca. Strategie di difesa e nuove minacce proviene da Data Manager Online.

Terza piattaforma, enterprise architecture come hub della social enterprise, cambiamento delle logiche di budget, rivoluzione ed evoluzione del ruolo dei chief information officer all’interno delle organizzazioni aziendali: sono questi i trend – per menzionare solo i principali – che emergono dalle analisi degli specialisti. Non si tratta di curve e grafici su un pezzo di carta che tentano di dare forma a concetti astratti lontani dalla realtà a uso esclusivo degli addetti ai lavori. Siamo davanti a un cambiamento in atto che coinvolge direttamente le divisioni aziendali, le business unit e i manager che ne fanno parte. Si tratta di un cambiamento vissuto sulla pelle dei CIO. Data Manager, con il contributo di 250 CIO e IT manager italiani e stranieri, vuole fare il punto della situazione, raccontando storie ed esperienze vissute sul campo, per mettere in luce scelte e priorità tecnologiche – una volta tanto – lontano dalle mode del momento. Dai CIO interpellati, emerge una sostanziale convergenza di quattro principali scelte prioritarie che IDC identifica nel modello conosciuto come “terza piattaforma”. Inoltre, dalle classifiche di ogni settore di mercato preso in considerazione, emerge come prioritario il recupero di competitività e l’utilizzo dell’innovazione tecnologica come fattore strategico per la crescita del business.

VERSO LA TERZA PIATTAFORMA

Per meglio comprendere i contesti operativi e i vincoli decisionali della realtà italiana, partiamo approfondendo il focus grazie alla guida esperta di Giancarlo Vercellino, research manager di IDC, il quale ha curato per Data Manager uno studio sulla “navigazione perigliosa nella tempesta perfetta dell’IT”, seguendo la figura del CIO nelle operazioni di governo dell’IT verso la “terza piattaforma” e guidandoci per mano nella rilettura delle testimonianze raccolte da noi “sul campo”. Le imprese sono fortemente dipendenti dalle comunicazioni e dalle applicazioni in rete. Proprio per questo il network è diventato il centro nevralgico dei processi di business, intorno ai quali ruotano i dispositivi più disparati (smartphone, notebook, tablet, pc e via dicendo) connessi sia in modalità wireless, sia wired. Secondo IDC, stiamo approdando alla terza piattaforma. Dopo l’era dei mainframe e dei terminali e il passaggio attraverso il client/server e le reti locali, è ora il turno di una nuova piattaforma caratterizzata dall’accesso mobile ad alta velocità, dal cloud, dai big data, dai social media. Il cloud computing – come nuovo modello di erogazione delle risorse IT basato su architetture distribuite e scalabili – non sta modificando soltanto la dimensione hardware e le infrastrutture tecnologiche del settore, ma sta trasformando le modalità di offering delle applicazioni e dei servizi IT, dalle strategie di canale fino ai modelli di pricing. Le mobile technologies – dal successo commerciale degli ultimi device fino alla esplosione degli application store – stanno guidando una rivoluzione che traboccherà dal mondo consumer a quello business, comportando una revisione delle policy di sicurezza e dei processi di vendita. Le social platform – sempre più declinate sul versante della collaborazione e della “people discovery” – stanno evidenziando nuove best practice nella definizione della customer experience, determinando una influenza rilevantissima nel dare forma sia alle funzionalità, sia ai paradigmi HMI di qualsiasi applicazione software, anche di quelle più tradizionali e consolidate. Infine – ma non meno importanti – i big data rappresentano la nuova frontiera della business intelligence, dove le tradizionali ambizioni analitiche sono spinte a un livello sempre più elevato, affrontando l’analisi di volumi di dati sempre maggiori, sempre meno strutturati, sempre più in tempo reale.

CIO AL LAVORO NEL 2013

«Più efficienza per lo sviluppo e la competition» – Alessandro Musumeci, direttore centrale sistemi informativi di Ferrovie dello Stato Italiane (www.trenitalia.com), inaugura la nostra galleria di interventi, dettagliandoci le principali priorità della sua direzione in ragione della modernizzazione e della compliance e per una vera crescita della competitività. Le priorità sono: «Ottimizzare le spese correnti in modo da contribuire alla “spending review” in atto nel nostro Gruppo. Migliorare l’impatto dell’ICT sul business, semplificando il più possibile l’accesso alle procedure informatiche, sia da parte dell’utente finale, sia da parte dei colleghi di Ferrovie. Assicurare la business continuity ai sistemi informativi. Agevolare lo sviluppo internazionale. Tra i fattori esterni che possono influenzare queste scelte mi sento di citare la crescente “competition”, l’attuazione dell’Agenda Digitale e le iniziative del Governo per utilizzare al meglio i Fondi Europei, massimizzando le sinergie con gli altri vettori di trasporto».

«Ottimizzare il software lifecycle e i servizi per il time to market» – Alessandro Saralli, IT manager di Poste Italiane (www.poste.it), indica come priorità principale quella di migliorare i processi per la creazione dei nuovi servizi che il business richiede all’IT e rendere il ciclo di vita del software più rapido per rispondere al solito “time to market”, che diventa sempre più impellente. Questo si traduce nella ricerca di una IT più “agile” e orientata ai servizi, una vera enterprise architecture che non si limita a essere circoscritta alla sola direzione IT, ma coinvolge finalmente tutta l’azienda, trasformando l’information technology in business technology. «È qui che si focalizzano i nostri sforzi – spiega Saralli – per essere sempre più allineati alle esigenze del business e cercando di operare come una sorta di “pre-sales” dell’IT per abilitare lo sviluppo di nuove iniziative. Tutto questo si incastra nel quadro dell’Agenda Digitale, per la quale – attraverso i nostri canali fisici e virtuali – possiamo fare da volano in grande scala. Diventare azienda di servizi a 360 gradi è l’obiettivo di Poste Italiane, che da qualche tempo si sta spingendo oltre i confini “core” postali e bancari. Questa è la vera chiave del successo sulla quale si basa il futuro di Poste. In questo sforzo, l’IT ha un ruolo fondamentale perché questa evoluzione avviene nello scenario di una maggiore compressione degli investimenti, che spinge a una giusta – ma non facile – razionalizzazione delle risorse, dei processi e dell’organizzazione».

«Amalgamare il ruolo all’interno del board, promuovendosi come leva e acceleratore» – Nell’esperienza di Michele Curti, ICT services manager di Zobele Group (www.zobele.com) business alignment, governance e compliance sono le parole chiave. «Nel 2013, la direzione IT resterà impegnata per amalgamare il suo ruolo all’interno del board attraverso iniziative che affiancano concetti tecnologici ad aspetti organizzativi, promuovendosi come leva e acceleratore, per affrancare sempre di più il ruolo dell’IT nell’organizzazione, non solo come strumento di supporto, ma come asset strategico per il miglioramento della performance aziendale. Le priorità più operative che ci troveremo ad affrontare nel 2013 restano legate alla mobilità, l’accesso alle risorse multidevice e la gestione del dato non-strutturato, senza per altro dimenticare il cloud come piattaforma per la realizzazione di soluzioni a basso impatto sugli investimenti in capitale. Per quanto riguarda i sistemi di governance interni all’IT (ITIL, MOF…) siamo impegnati in interventi per ottimizzare i servizi al fine di rispondere alle esigenze di budget».

CIO AL SERVIZIO DEL BUSINESS

«Essere più competitivi grazie all’ottimizzazione della strategia commerciale e della supply-chain» – Girolamo Botter, CIO del Gruppo SME (www.sme.it), lavora alla direzione ICT di un’azienda nel mondo della grande distribuzione no-food, un mondo che sta cambiando rapidamente e che impone rapidi adeguamenti della strategia commerciale, così come mutamenti organizzativi, gestionali e del sistema informativo. In questo caso, assistiamo a una sovrapposizione delle prime sei business priorities che Gartner ha rilevato nel recente studio dal titolo “Hunting and Harvesting in a Digital World: The 2013 CIO Agenda”. «SME ha deciso di concentrarsi su tre progetti con particolare accento all’abilitazione di strategie di innovazione rivolte al mondo della virtualizzazione. I tre progetti – racconta Botter – puntano sull’efficiente e controllata gestione virtuale degli articoli, sulla maggiore articolazione delle promozioni gestite direttamente dalla barriera casse e sulla completa integrazione della supply chain dell’elettronica di consumo. Quest’ultimo punto ha l’obiettivo di incidere sulla riduzione dei costi della catena di approvvigionamento mediante l’integrazione tra produttore e retailer, con la creazione di Ediel, un consorzio in grado di facilitare l’adozione di uno scambio elettronico delle informazioni e l’utilizzo di un portale di logistica collaborativa».

«The contribution of IT to automate the business need to be managed like a business itself» – Liang Downey, global IT manager di General Motors IT Vehicle Solution (www.gm.com), dagli Stati Uniti, testimonia come la gestione dei big data sia sempre più centrale anche nell’automotive, uno dei settori più tradizionali del manufacturing. Dal punto di vista personale del CIO – che in questo caso non rappresenta alcuna posizione ufficiale di GM – una soluzione efficiente di data management può supportare ogni business activity, dal product design al product sales/marketing, passando per il product services. «Al momento – sottolinea Liang Downey – per me è di grande interesse l’applicazione del data management al product design and development, con particolare riferimento al tracking dei dati lungo il product lifecycle. L’analisi del ROI e la misurazione dell’IT sono un fattore interno cruciale per la salute di una organizzazione. Tra i fattori esterni che incidono sulla competitività, l’attenzione al cliente occupa un ruolo centrale. Fare meglio a costi inferiori significa ispirare il cliente a compiere una scelta di acquisto, con una ricaduta positiva sui margini di guadagno».

QUANDO L’IT È IL CORE BUSINESS

«Cloud sugli scudi e attesa per l’Agenda Digitale» – Per Michele Pagliuzzi, responsabile della direzione area sicurezza IT e reti di Kelyan (www.kelyan.it) l’adozione del modello di cloud computing «risulta essere indubbiamente l’argomento più analizzato e discusso tra i CIO delle aziende nelle sue varie declinazioni». Nono solo. «La BI non ha ancora raggiunto nelle aziende il livello di consapevolezza sufficiente per diventare uno dei temi di riferimento». E aggiunge: «L’attuazione dell’Agenda Digitale è la base necessaria perché si possa creare un legame di fiducia tra imprese e sistema Paese in grado di garantire il volano necessario per far ripartire il mercato, migliorare l’efficienza, la produttività aziendale e la creazione del tessuto per lo sviluppo delle start-up innovative».

«Bilanciare flessibilità e sicurezza è la nostra priorità» – Proprio da una start-up, arriva il contributo di Luca Carettoni, director of information security di Addepar (www.addepar.com), che si distingue non solo per la sua natura “tecnopratica” (Carettoni esegue spesso la verifica dei sistemi di sicurezza in prima persona e ha quindi un ruolo di gestione e anche molto operativo), ma anche per l’ambiente di eccellenza in cui si svolge la sua attività: la Silicon Valley.

«In un contesto dinamico come la Silicon Valley – racconta Carrettoni – l’azienda deve essere in grado di avere processi snelli e flessibili per adattarsi alle esigenze del business. Spostare alcune delle risorse aziendali sul cloud è una possibile soluzione per avere servizi scalabili e limitare così i costi di gestione. Spostarsi sul cloud significa anche comprendere bene che stiamo affidando dati potenzialmente sensibili a terze parti. È estremamente importante – quindi – valutare il contesto, i possibili rischi e scegliere accuratamente i fornitori. Nel nostro caso, abbiamo creato un processo di risk assessment per valutare attentamente i fornitori, ma anche attività tecniche di sicurezza informatica, come penetration test e vulnerability assessment».

«Il BYOD come risposta all’evoluzione dei device» – La visione globale di Carol Fawcett, CIO di Dell (www.dell.com/it) indica decisamente che il 2013 sarà l’anno del BYOD. Se da un lato è importante fornire i migliori strumenti IT disponibili, dall’altro è fondamentale allineare queste scelte all’interno della strategia di information security scelta dall’azienda. Secondo IDC, nel 2013 – in tema di sicurezza – i CIO assisteranno a un confronto sempre più acceso tra sistemi operativi tradizionali e i sistemi operativi emergenti con i nuovi dispositivi mobili. Al tempo stesso, l’intento di estendere i confini della extranet aziendale confliggerà con la necessità di garantire maggiori livelli di sicurezza, rinnovando le policy di gestione delle identità aziendali e il device management. «Una delle sfide più impegnative per i CIO – spiega Fawcett – è l’evoluzione dei device che varcano i confini aziendali insieme ai dipendenti. Management e governance sono le aree più critiche. Dispositivi multipli per un determinato utente potrebbero minare e distruggere qualsiasi politica di governance. Dalla semplice gestione del dispositivo individuale bisogna passare alla più attenta comprensione del ruolo ricoperto dal personale, dei propri livelli di autorizzazione e security, a prescindere dal device». L’intreccio tra dispositivi mobili e piattaforme sociali – rileva ancora IDC – sposterà il focus in modo sempre più preponderante su dispositivi del tutto inediti, caratterizzati da una sempre maggiore integrazione di sensori diversi, determinando un flusso tumultuoso e continuo di dati e informazioni. Questo flusso sarà generato sia da oggetti del mondo esterno, sia da individui nelle reti sociali. I dati saranno analizzati e interpretati in tempo reale, impiegando soluzioni e algoritmi capaci di analizzare enormi volumi di informazioni che determineranno un vantaggio competitivo sostenibile per qualsiasi impresa in qualsiasi settore. Siamo alle soglie di un nuovo ecosistema aziendale in cui l’informazione e la capacità di elaborazione e comunicazione saranno sempre più ubique e pervasive. La nascita di questo ecosistema segnerà una transizione sempre più netta rispetto agli scenari economico-sociali del più recente passato, realizzando quel paradigma della “intelligent economy” teorizzata da diversi osservatori negli ultimi anni.

PRIORITÀ E BUDGET

Se questo è lo scenario di fondo in cui interpretare e sviluppare le priorità per il 2013, i CIO come reagiscono alla pressione continua di conciliare i budget di spesa con il livello delle risorse disponibili e le scelte di business?

«Il ruolo del CIO è una battaglia quotidiana» – Graziano Previato, ICT director di CSAV Agency Italy (www.csavagency.it) esordisce così, portando la sua testimonianza in un settore molto particolare: lo shipping. Nel settore del trasporto container a livello globale, la conquista di quote di mercato, la riduzione dei costi e l’aumento del livello di automazione dei processi sono una variabile strategica decisiva. «Nel 2011, la nostra industria ha perso qualcosa come sei miliardi di dollari – dichiara Previato – e al momento l’attenzione è focalizzata più sui costi e meno sugli investimenti. Questo non deve impedirci – però – di cogliere nuove opportunità. Gli investimenti in tecnologia devono essere valutati in funzione del ritorno che sono in grado di generare e del loro valore netto. La pressione del cloud – come tentativo di riduzione dei costi di gestione e di impianto – si fa sempre più forte anche se l’approccio è ancora troppo artigianale, sia da parte nostra, sia dei nostri fornitori. È forte anche la pressione interna verso il social, come strumento innovativo per la gestione non solo del business, ma anche della relazione con il cliente».

«Set-up delle priorità per la crescita» – Per Claudio Abad, CIO di Eurogroup (www.eurogroup.biz) ridefinire la scala delle priorità è fondamentale per evitare di tagliare anche il ramo su cui si è seduti. «Da parte del business – con un aumento straordinario del budget – l’indicazione è netta: dobbiamo prepararci per la crescita. C’è dunque una forte attenzione sulle priorità dell’IT e sul fatto che queste saranno focalizzate principalmente sul migliorare i processi business. L’obiettivo è poter emergere nel 2014 con una capacità lavorativa business superiore all’attuale, senza tuttavia incrementare i costi fissi di struttura. Per noi la crisi vuole rappresentare un’opportunità per investire su noi stessi. C’è attesa per la prima versione di un tablet Windows 8 Pro, con la possibilità di autenticazione in dominio: la forza di vendita vuole arrivare dal cliente con il tablet come strumento di supporto. Sono in corso importanti investimenti sul consolidamento e sulla virtualizzazione. Si tratta di un processo iniziato in azienda con un po’ di ritardo, ma la nostra intenzione è virtualizzare fino all’ultimo server, se sarà possibile. Per quanto riguarda il porting su cloud, siamo ancora un po’ dubbiosi per il semplice fatto che non possiamo permetterci di spostare i dati dei nostri clienti oltre frontiera. Non credo che il VDI sarà adottato se non per postazioni molto tecniche. Stiamo inoltre procedendo all’adozione della metodologia BPM per la mappatura dei processi business e presto ci sarà un ulteriore passaggio di sviluppo e formazione a tutto il personale IT. Importanti investimenti sono stati fatti in business intelligence. Sulla governance abbiamo iniziato a settembre il processo di certificazione ISO 20000. Per il 2014, contiamo di abbassare l’opex IT in un 25% per via di tutti gli investimenti fatti durante il 2012 e 2013».

NON SOLO AGENDE DIGITALI

Secondo i dati IDC, la crisi economico-finanziaria dei Paesi dell’area euro sta diventando l’ostacolo principale allo sviluppo di nuovi investimenti in area IT. Nel 2013, secondo i dati del MIP Politecnico di Milano, il calo medio del budget ICT sarà pari all’1,7%. Gli investimenti si concentreranno soprattutto su sistemi gestionali, business intelligence, business analytics e mobility. Le prospettive del mercato nel 2013 non sembrano essere migliori rispetto a quelle del biennio precedente. In un quadro nazionale di forte contrazione degli investimenti, non mancano – però – gli esempi virtuosi che provengono anche da sedi abbastanza decentrate rispetto alle “dorsali digitali” del Paese.

«In provincia è arrivata la fibra» – Per Piero Rolfi, information system manager di MTM/BRC (www.brced.com) le priorità dei sistemi informativi «sono strettamente legate ai processi interni e alle esigenze di un business che è molto dinamico e volatile. Al primo posto, c’è l’integrazione e l’upgrade dell’ERP con il gruppo. Stiamo analizzando la fattibilità del progetto. L’allineamento organizzativo con le altre filiali estere per fornire assistenza in orari estesi ai Paesi del Nord e Sud America vorrebbe dire valutare una nuova infrastruttura server per l’ERP in IaaS, PaaS o SaaS – oppure – consolidare il nostro datacenter. Sull’ERP, dovremo valutare nel corso del 2013 anche l’interazione degli ordini con i fornitori e clienti e dare loro strumenti B2B. Inoltre, bisogna spostare e migliorare il sito di disaster recovery e a breve avremo la connettività in fibra ottica. Altro progetto di rilievo sono la migrazione da office client on promise al cloud e l’integrazione di soluzioni di unified contact center».

«Mettere l’ERP al centro» – La priorità ai sistemi gestionali è espressa da Barbara Brunetti, IT manager di Varvel (www.varvel.com/it), che conferma la centralità dell’estensione ERP. Per il piccolo gruppo industriale, la sfida principale del 2013 si colloca sotto il cappello dell’integrazione attraverso il rinnovo dell’ERP da implementare centralmente e il roll-out della filiale indiana.

«La novità social diventa chiave per innovare i processi» – Per Enrico Pana, IT manager di DWT Group Grundfos (www.dwtgroup.com), l’ERP deve diventare “social” e il cloud deve essere fruibile efficacemente. Le priorità sono: «Implementazione ERP su single instance multicompany con CPM e group profitability (dati consolidati e analisi multidimensionale con margini reali). Cloud della maggior parte dei servizi ERP (per la parte HA) e full cloud per tutta la parte BackOffice. Questo ultimo punto – spiega Pana – è decisivo nelle realtà manufacturing multicompany internazionali: tutti ne parlano e pochi sono riusciti a farlo in maniera integrata». Tra i “fattori esterni” abilitanti ci sono: «La realizzazione dell’Agenda Digitale per rendere accessibile il cloud a costi più sostenibili e la maturità dei produttori di software per rendere più disponibile l’offerta di piattaforme ERP integrate con sistemi social».

CIO: STRATEGIA E TATTICA

La principale sfida che i CIO dovranno raccogliere sarà quella di mantenere una specie di “progressione armonica” tra il management e la governance delle risorse IT. Sicuramente tra i ranghi dei CIO, non ci sarà più spazio per figure che hanno dimostrato di non essere pronte a mettersi in gioco in prima persona. Purtroppo per qualcuno – o per fortuna dell’intera categoria – i tempi (al di fuori di ogni survey) assicurano che è finita l’epoca dei CIO burocrati armati di tutto, ma troppo abituati a dare in outsourcing il governo dell’infrastruttura solo per non dovere risponderne: i CIO, “beati monocoli in terra caecorum”, da sempre malvisti dal resto dei professionisti IT – oggi come non mai – devono essere sostituiti da veri leader con i “gradi” guadagnati e riconosciuti sul campo a ogni livello dell’organizzazione. Al fianco di ogni leader deve – però – esserci una squadra in grado di supportare la spinta al cambiamento. Giancarlo Vercellino (IDC) ha tracciato un ritratto quasi poetico del CIO, sospeso tra slancio ideale e realtà: «Come il capitano di un vascello – sorpreso dalla tempesta perfetta, nonostante sia impossibile scorgere l’orizzonte sommerso dai flutti, nella sua navigazione incerta e perigliosa – il CIO si affida alla saldezza di poche irrefutabili certezze: la forza dell’innovazione e la forza della sua squadra. Da qualche parte, esiste un porto sicuro che attende di essere raggiunto. La missione è attraccare con l’intero equipaggio, senza lasciare indietro nessuno». L’innovazione è il vero viatico per la crescita. Buon lavoro a tutti i CIO. 

L'articolo TOP 10 CIO PRIORITIES proviene da Data Manager Online.