Sono stati giorni molto intensi alla Cybersel Annual Conference a Bardolino! (15-16 Ottobre 2025)
Ho avuto il piacere di partecipare a una Round Talk ricca di spunti sul tema ICT Risk insieme a Mauro Restante (Solution Advisor Cybersel) e Orazio Mardente (Business Development Cybersel).
La nostra discussione è partita da una domanda cruciale: in che modo normative come la Circolare 285 di Banca d’Italia, le Linee Guida EBA e il DORA, possono diventare il blueprint per la gestione del rischio in ogni settore, specialmente con l'introduzione della NIS2?
Il punto di partenza è semplice, ma potente: il Rischio ICT è vivo. Si muove con il business, i fornitori, il cloud e le persone. Di conseguenza, non possiamo gestirlo "a campagne" periodiche; va osservato e governato in continuo.
Ecco i tre pilastri della disciplina finanziaria che possiamo e dobbiamo riusare subito per accelerare la nostra resilienza operativa:
I Tre Pilastri Essenziali
1. Governance chiara: ruoli e responsabilità (RACI) espliciti. Dobbiamo dichiarare l'appetito al rischio ICT e assicurare un reporting periodico e comprensibile al vertice aziendale. Chi decide, chi controlla, chi fa.
2. Preparazione reale: la resilienza non è una policy su carta. È preparazione: esercitazioni di crisi (table-top); test di ripristino backup/restore; simulazioni di interruzioni e cyber incident.
3. Continuità e dipendenze critiche: mappare servizi essenziali, definire RTO/RPO e, soprattutto, trattare le Terze Parti come una fetta di rischio che "vive fuori casa". La gestione fornitori deve essere controllo del rischio: clausole standard (security, audit, exit), monitoraggio continuo e evidenze su cifratura e backup.
Cybersel Annual Conference Bardolino 15-16 Ottobre 2025Il Modello di Governo Continuo: dagli “Assesment” ai Trigger
Se il rischio è vivo, dobbiamo cambiare metronomo. Il vecchio modo "a campagne" non basta più, è necessario un modello continuo e leggero che si aggiorna quando si verifica un material change.
Ho evidenziato quattro trigger pratici che devono farci muovere subito:
Superficie d’attacco: compaiono nuovi servizi esposti.
Fornitori: un partner critico ha un incidente o peggiora il rating.
Cloud & identità: vedo drift di configurazioni o privilegi anomali.
Business: M&A, nuovo prodotto o nuovi dati sensibili.
L’Automazione? Non è un "tool in più", ma un circuito leggero che collega poche fonti chiave (inventario, vulnerabilità, cloud/identità) e visualizza i dati in un’unica dashboard per Risk, IT e Procurement. Così otteniamo numeri semplici = decisioni migliori.
Il Fattore Umano è il Moltiplicatore
La tecnologia abilita, ma sono le persone a moltiplicare l’efficacia. Senza una solida risk culture e una comunicazione interna mirata, il rischio ICT resta sulla carta.
Cosa funziona davvero: Messaggi semplici e regolari (i “3 numeri” che il Board capisce in 5 minuti), Micro-learning, simulazioni costanti e il riconoscimento del merito.
Stakeholder chiave: Board/C-suite (fissano il tono), IT/SecOps (traducono in controlli), Procurement/Legal (portano la cultura nella supply chain) e i Data/Business Owner (decidono il rischio residuo).
In sintesi: prendiamo la disciplina del finance e la rendiamo pragmatica: governance chiara, preparazione provata, gestione delle dipendenze e dei fornitori.
Rischio ICT vivo = Controlli vivi.
Un ringraziamento speciale a Mauro Restante e Orazio Mardente per la Round Talk stimolante e a tutto il team Cybersel Walter Marmo, Giulia Saladino, Renato Bloise e a Mauro Lisa . È fondamentale continuare a condividere questi spunti per alzare il livello di resilienza di tutto il nostro ecosistema.
Per maggiori dettagli sull'evento: Cybersel Annual Conference Bardolino 15-16 Ottobre 2025
#ICTRisk #CyberSecurity #DORA #NIS2 #RiskManagement #ResilienzaOperativa #CyberselConference #BancaFinint #DigitalSecurityFestival #DSF7