di Irene Benedetti

Negli ultimi anni la cybersecurity ha vissuto un profondo cambiamento di paradigma all’interno delle organizzazioni. Da ambito prevalentemente tecnico, spesso confinato nei dipartimenti IT, è diventata progressivamente un tema di governance, responsabilità e gestione del rischio. Questo cambiamento non è avvenuto in modo spontaneo, ma è stato fortemente guidato dall’introduzione di standard e normative che hanno imposto alle aziende un nuovo modello di approccio alla sicurezza.

L’adozione di standard e normative come ISO/IEC 27001 ha rappresentato per molte organizzazioni il loro primo passo verso una gestione strutturata alla sicurezza, basata su processi, ruoli e controlli formalizzati. Tuttavia, trattandosi di uno standard volontario, spesso è stato percepito come un obiettivo di certificazione piuttosto che un sistema di gestione realmente integrato nella vita aziendale. Con l’entrata in vigore del GDPR, la sicurezza delle informazioni ha assunto una dimensione normativa e sanzionatoria, portando l’attenzione su aspetti quali la protezione dei dati personali, la responsabilizzazione della Direzione e la necessità di dimostrare e mantenere la conformità nel tempo.

Oggi, con l’introduzione della NIS2, il contesto evolve ulteriormente. La cybersecurity non è più soltanto una questione di conformità o di protezione dei dati, ma diventa un elemento chiave per la resilienza organizzativa e la continuità operativa. La NIS2 richiede un coinvolgimento diretto della Direzione. In questo scenario, molte organizzazioni si trovano a gestire normative e standard nati in momenti diversi, con finalità differenti, ma che investono sugli stessi processi, sugli stessi asset e sugli stessi rischi. Questo ha contribuito a costruire nel tempo un ecosistema di compliance disomogeneo, in cui ogni funzione aziendale ha sviluppato il proprio approccio alla sicurezza in modo spesso autonomo.

Di conseguenza, la Direzione si trova oggi a dover governare un insieme complesso di requisiti normativi e controlli operativi che faticano a dialogare tra loro. La mancanza di un modello di governance integrato rende difficile avere una visione chiara e unitaria del rischio, stabilire priorità coerenti e allocare in modo efficace risorse e responsabilità.

In questo contesto emergono inevitabilmente criticità organizzative: processi duplicati, ruoli non sempre ben definiti, sovrapposizioni tra funzioni come IT, compliance, legal, risk management e business. La cybersecurity, da tema tecnico, ha iniziato a influenzare ambiti sempre più ampi dell’organizzazione: dalle risorse umane al procurement, fino alle relazioni con fornitori e clienti, richiedendo un livello di coordinamento che molte aziende non erano preparate a gestire.

Limiti di un approccio frammentato

La gestione separata dei diversi framework mostra oggi tutti i suoi limiti. Tale approccio comporta costi elevati, incoerenze tra la documentazione e controlli, difficoltà di mantenimento nel tempo e un aumento del rischio di non conformità involontaria.

Inoltre, questo modello influisce negativamente sulla percezione della cybersecurity da parte del business, che tende a viverla come una serie di scocciature confuse anziché come un elemento abilitante. In assenza di una visione unitaria, anche la comunicazione verso il management risulta frammentata, con il rischio di sottovalutare l’impatto reale dei rischi sull’organizzazione.

Superare questo approccio non significa semplicemente mettere insieme tutti questi framework adottati dall’azienda, ma definire una nuova prospettiva: passare da una gestione per adempimento a un sistema integrato di governo della sicurezza e del rischio.

Conclusioni

Il rischio rappresenta il linguaggio comune tra tutti i diversi framework, pur con finalità diverse. Si basano sugli stessi concetti di identificazione degli asset, analisi delle minacce e definizione dei controlli. Disporre di un’unica metodologia di valutazione del rischio consente di costruire una visione coerente e condivisa delle priorità aziendali. In termini pratici, significa ad esempio utilizzare un solo processo di risk assessment valido sia per la protezione dei dati personali sia per la sicurezza delle infrastrutture critiche, evitando di svolgere analisi separate per ogni normativa. Su questa base diventa possibile sviluppare un set unico di policy, procedure e controlli, mappati trasversalmente sui requisiti dei diversi standard. Un’unica procedura di gestione degli incidenti, un solo processo di gestione dei fornitori, un unico registro degli asset: sono esempi concreti di come l’integrazione possa ridurre duplicazioni, semplificare le attività operative e migliorare l’efficacia complessiva.

L’integrazione permette di migliorare anche il monitoraggio e il miglioramento continuo. Indicatori comuni, audit coordinati e un sistema di reporting unificato.

La vera sfida per le organizzazioni non è quindi aggiungere nuovi controlli, ma costruire un modello capace di integrarli e farli funzionare insieme. Solo così la cybersecurity può diventare ciò che oggi è chiamata a essere.