SVILUPPARE UNA SOLIDA CULTURA SULLA CYBERSECURITY

04. Sviluppare un piano di risposta agli incidenti

Elaborare un piano formale di risposta agli incidenti che contenga orientamenti, ruoli e responsabilità chiari e documentati per garantire che tutti gli incidenti a livello della sicurezza siano affrontati in modo tempestivo, professionale e appropriato.

Per rispondere prontamente alle minacce per la sicurezza, studiare gli strumenti che potrebbero monitorare e creare allerta in caso di attività sospette o di violazioni della sicurezza

SVILUPPARE UN PIANO DI RISPOSTA AGLI INCIDENTI

Contesto

La formazione in ambito cybersecurity è divenuta elemento essa stessa di protezione e gestione del rischio cyber. La Strategia Nazionale di Cybersecurity identifica la formazione e promozione della cultura della sicurezza cibernetica come un fattore abilitante alla realizzazione degli obiettivi della strategia stessa, in quanto correlati in maniera trasversale agli obiettivi di protezione, risposta, sviluppo.
Il contesto tecnologico attuale comporta la necessità da parte delle organizzazioni di costruire o aumentare la consapevolezza collettiva dei rischi derivanti dall’utilizzo di strumenti informatici. La formazione dei dipendenti risponde alla duplice esigenza di:

  • creare consapevolezza diffusa a livello aziendale delle minacce e dei rischi cyber, fornendo le nozioni in merito ai presidi ed alle buone pratiche che ciascun utente deve mettere in pratica per prevenire o reagire ad incidenti informatici;
  • rafforzare, integrare o creare in azienda nuove competenze – manageriali e specialistiche – per gestire consapevolmente la sicurezza degli asset tecnologici.

La formazione è da considerarsi parte integrante del programma di mitigazione dei rischi cyber e di gestione della sicurezza delle informazioni.

Raccomandazioni utili

A prescindere dallo strumento formativo scelto, vi sono dei fattori critici di successo da tenere in considerazione nella definizione ed implementazione delle iniziative di formazione:

  • Comprendere le esigenze: identificare le esigenze di formazione e le peculiarità del contesto organizzativo e tecnologico dell’organizzazione;
  • Disegnare una strategia di formazione: un documento approvato dal management che preveda interventi periodici e aggiornamento continuo dei contenuti in linea con l’evoluzione delle minacce cyber, con revisione almeno annuale;
  • Programmare interventi almeno su due livelli: awareness diffusa per tutti i dipendenti, con interventi brevi e possibilmente frequenti, in parallelo a formazione specifica sia per personale tecnico-operativo che per il livello manageriale, con contenuti e linguaggi da adattare al target di riferimento;
  • Monitorare i risultati attraverso strumenti quantitativi e qualitativi volti al miglioramento continuo dell’efficacia delle iniziative formative.

Il ruolo del Centro di Competenza Nazionale CYBER 4.0

Cyber 4.0 supporta le PMI erogando formazione in ambito cybersecurity per una molteplicità di target: manageriale, giuridico e tecnico, con una focalizzazione specifica sul contesto delle PMI.
Il Centro, promosso dal Ministero delle Imprese e del Made in Italy, è un partenariato pubblico-privato altamente rappresentativo del contesto nazionale di cybersecurity e mette a fattor comune le competenze dei propri partner per sviluppare iniziative a supporto di imprese e Pubblica Amministrazione.
Le attività che realizza Cyber 4.0 sono, principalmente, di orientamento e advisory su innovazione tecnologica in ambito cybersecurity, di formazione e awareness, di promozione di iniziative di ricerca industriale e dello sviluppo sperimentale attraverso appositi bandi.
In merito alla formazione, a corsi standard a catalogo si affiancano percorsi formativi disegnati sulla base delle esigenze dei singoli. I percorsi sono rivolti tanto a manager, che a esperti cyber e operatori informatici, e sono fruibili sia in aula, che in modalità e-learning o presso l’organizzazione.
I corsi erogati da Cyber 4.0 beneficiano di incentivi specifici per il contesto delle Piccole e Medie Imprese. Per saperne di più entra in contatto con il Centro di Competenza: https://www.cyber40.it.

Strumenti per campagne di awareness – AR-in-a-Box

AR-in-a-Box è uno strumento gratuito pubblicato ed aggiornato in continuo da parte di ENISA, che fornisce buone pratiche su come progettare e implementare efficaci programmi di sensibilizzazione sulla sicurezza informatica, anche per PMI.
Sono messi a disposizione in maniera strutturale metodologie e risorse necessarie per aumentare efficacemente la consapevolezza della sicurezza informatica all’interno della propria azienda. Per ulteriori informazioni su AR-in-a-Box, è possibile consultare la pagina del sito web dedicata, oppure contattare ENISA a: arinabox@enisa.europa.eu