Nota di policy
Chi è responsabile del rischio cyber negli ambienti ad alta criticità?
Nota di policy · Separare consulenza, responsabilità operativa e accettazione del rischio residuo.
La scelta di policy
Un CISO può spiegare l’esposizione senza poter accettare conseguenze per l’intera missione. NIST CSF 2.0 affronta la governance; il RMF struttura la gestione del rischio di sicurezza e privacy nel ciclo di vita. [1][2] Ogni organizzazione deve comunque definire le proprie autorità.
Una ripartizione proposta
Proponiamo che il responsabile della missione definisca le conseguenze, quello del sistema attui il trattamento, il CISO esamini ipotesi ed evidenze e l’autorità designata accetti il rischio residuo. Una persona può ricoprire più ruoli; il registro deve precisare l’autorità esercitata. È il nostro modello, non una regola giuridica universale.
Eccezioni con scadenza
Per un accesso urgente, confrontare diniego, accesso temporaneo limitato e accesso completo con controlli compensativi. Registrare scelta, motivazione, ambito, scadenza, monitoraggio e condizioni di escalation. L’assenza di budget non giustifica un’accettazione indefinita. Anche l’accesso temporaneo ha costi operativi: indicare chi li sostiene.
Valutare la governance
Esaminare eccezioni scadute, trattamenti in ritardo e decisioni riaperte dopo incidenti. L’audit deve poter contestare le evidenze senza essere titolare della decisione valutata. La prova è la tracciabilità: un successore può capire cosa è stato accettato, da chi, su quali prove e fino a quando?
Un registro che sopravviva al cambio di direzione
Documentare missione, scenario plausibile, opzioni, conseguenze, limiti delle prove e autorità decisionale. Aggiungere responsabile del trattamento e condizioni di riesame. Un colore o punteggio non basta. Un successore deve capire perché continuare era preferibile a limitare o sospendere anche dopo l’uscita dei partecipanti.
Un’eccezione illustrativa
Immaginiamo un fornitore che necessita di accesso prima della partenza di una nave. Il diniego può ritardare l’operazione; accesso illimitato può creare dipendenza inaccettabile da un’identità esterna. Una sessione supervisionata, permessi limitati e scadenza potrebbero essere fattibili. Motivare lo scenario trattato e la prova della chiusura. È un esempio ipotetico.
Separare approvazione e verifica
Chi implementa fornisce prove; decisioni importanti beneficiano di un esame delle ipotesi omesse. Evitare catene infinite di approvazione. Definire decisioni soggette a revisione indipendente, informazioni richieste e riesame delle urgenze. La governance deve chiarire il compromesso in tempo per la missione e registrare l’incertezza accettata.
Riferimenti
- NIST · The Cybersecurity Framework (CSF) 2.0 · 26 February 2024
- NIST · SP 800-37 Rev. 2 · December 2018
Cyber Policy Review · Analisi editoriale. Parafrasi originali, senza citazioni letterali. I riferimenti non implicano certificazione o approvazione.
Pubblicazioni