Il punto cieco della cyber security:

perché la sicurezza delle informazioni richiede un approccio integrato

Nel dibattito sulla cyber security l’attenzione è spesso concentrata quasi esclusivamente sugli aspetti tecnologici: firewall, antivirus, sistemi di detection, vulnerability assessment e penetration test.Tuttavia, questa visione parziale rischia di lasciare scoperto uno dei principali vettori di compromissione: il contesto fisico e operativo in cui le informazioni vengono trattate.

Le violazioni informative e i casi di data leakage non sono sempre il risultato di attacchi informatici sofisticati.Molto spesso derivano da una combinazione di fattori fisici, organizzativi e tecnologici che, se analizzati separatamente, non consentono una reale valutazione del rischio.

Il limite di una cyber security non contestualizzata

Un’infrastruttura IT formalmente sicura può risultare vulnerabile se inserita in un ambiente non controllato.Dispositivi di intercettazione, microspie, apparati radio, accessi fisici non autorizzati o utilizzo improprio dei device aziendali rappresentano un rischio concreto, soprattutto in contesti ad alto valore informativo.

Una strategia di cyber security che non tiene conto di questi elementi può fallire nel suo obiettivo primario: proteggere l’informazione lungo tutto il suo ciclo di vita, dalla generazione alla trasmissione, fino alla conservazione.

Tra l'altro non sarà in grado di garantire una protezione effettiva dei dati personali e delle informazioni sensibili, come richiesto dall’art. 32 del Regolamento (UE) 2016/679 – GDPR, che impone l’adozione di misure tecniche e organizzative adeguate al rischio.

Security assessment e bonifiche come parte della sicurezza informativa

Le attività di security assessment e bonifica consentono di analizzare il contesto fisico e operativo in cui avviene il trattamento dei dati, individuando eventuali anomalie, vulnerabilità ambientali o dispositivi non autorizzati.

Tali attività, se non integrate con un’analisi cyber strutturata, rischiano però di rimanere interventi isolati, privi di una reale continuità strategica. Allo stesso modo, una cyber security avanzata che ignora il livello fisico espone l’organizzazione a rischi non rilevabili tramite strumenti esclusivamente digitali.

In un’ottica GDPR, tali attività rientrano a pieno titolo tra le misure organizzative e di sicurezza volte a garantire:

• la riservatezza dei dati;

• l’integrità delle informazioni;

• la prevenzione di accessi non autorizzati;

• la riduzione del rischio di data breach e conseguenti obblighi di notifica.

Svolte in modo isolato, tuttavia, rischiano di non produrre una reale riduzione strutturale del rischio.

NIS2 e la necessità di un approccio integrato alla sicurezza

La Direttiva (UE) 2022/2555 – NIS2 rafforza ulteriormente questo concetto, imponendo agli enti essenziali e importanti l’adozione di misure di gestione del rischio che includano non solo la sicurezza delle reti e dei sistemi informativi, ma anche la sicurezza operativa, fisica e organizzativa.

In questo contesto, una cyber security limitata al perimetro digitale non è sufficiente a soddisfare i requisiti di:

• gestione del rischio;

• prevenzione degli incidenti;

• continuità operativa;

• responsabilità del management.

La sicurezza delle informazioni diventa così una responsabilità trasversale, che richiede integrazione tra competenze diverse.

Un modello integrato per la prevenzione del data leakage

Per rispondere a queste esigenze abbiamo sviluppato una divisione specializzata in cyber security, progettata per operare in sinergia con le attività di security assessment e bonifica, secondo un modello integrato di prevenzione, rilevazione e mitigazione dei rischi di compromissione informativa.

L’obiettivo è supportare le organizzazioni nell’adozione di un sistema di sicurezza coerente con i principi di accountability, risk-based approach e security by design, richiesti da GDPR e NIS2.

La sicurezza come sistema, non come intervento

La sicurezza delle informazioni non può essere affrontata come una somma di interventi tecnici scollegati. È un sistema strutturato, che coinvolge persone, processi, tecnologie e ambienti.

Proteggere i dati significa proteggere il contesto in cui i dati vengono trattati. Ed è proprio in questo contesto che si colloca il vero punto cieco della cyber security.