Come costruire un calendario di ispezioni TSCM basato sul rischio
Programmare una bonifica TSCM inserendo semplicemente una data nel calendario non è sufficiente.
Molte aziende adottano una scadenza fissa: una volta all’anno, ogni sei mesi oppure quando qualcuno inizia a sospettare una possibile fuga di informazioni. Questo sistema è semplice da gestire, ma non sempre riflette il rischio reale.
Il livello di esposizione di un’organizzazione può cambiare rapidamente. Una fusione, una gara importante, l’ingresso di nuovi fornitori o una ristrutturazione degli uffici possono aumentare il rischio molto prima della successiva ispezione programmata.
Per questo motivo, un calendario TSCM efficace dovrebbe essere basato su tre elementi:
- sensibilità delle informazioni;
- possibilità di accesso agli ambienti;
- eventi che modificano il livello di esposizione.
Le ispezioni TSCM hanno lo scopo di individuare vulnerabilità tecniche che potrebbero consentire l’accesso non autorizzato a conversazioni o informazioni. Anche la definizione del NIST descrive le contromisure TSCM come tecniche utilizzate per rilevare e contrastare tecnologie di sorveglianza che permettono la sottrazione non autorizzata di informazioni.
Perché un calendario fisso può essere insufficiente
Un controllo eseguito ogni dodici mesi può sembrare una soluzione ordinata e prevedibile. Il problema è che il rischio aziendale non segue necessariamente lo stesso ritmo.
Immaginiamo un ufficio controllato a gennaio. Nei mesi successivi potrebbero verificarsi:
- lavori di manutenzione;
- accessi di tecnici esterni;
- cambiamenti nel personale;
- riunioni riservate;
- trattative con investitori;
- controversie legali;
- trasferimenti in nuovi locali.
Aspettare gennaio dell’anno successivo significherebbe ignorare tutti questi cambiamenti.
Un’ispezione descrive la situazione dell’ambiente nel momento in cui viene eseguita. Non può garantire che le condizioni rimangano identiche per i mesi successivi.
Il calendario deve quindi prevedere una scadenza di base, ma anche un meccanismo che permetta di anticipare il controllo quando aumenta l’esposizione.
Primo fattore: la sensibilità delle informazioni
Il punto di partenza consiste nel capire quali informazioni vengono discusse o gestite in ogni ambiente.
Non tutte le stanze hanno la stessa importanza.
Una sala utilizzata per normali riunioni operative presenta generalmente un livello di rischio diverso rispetto a un ufficio nel quale vengono discussi:
- strategie aziendali;
- offerte economiche;
- progetti non ancora pubblici;
- proprietà intellettuale;
- dati relativi ad acquisizioni;
- questioni legali;
- decisioni del consiglio di amministrazione.
Per costruire il calendario, è utile dividere gli ambienti in tre gruppi.
Ambienti a sensibilità normale
Sono spazi nei quali vengono gestite informazioni interne, ma con conseguenze limitate in caso di divulgazione.
Per questi ambienti può essere sufficiente una revisione periodica annuale, salvo eventi particolari.
Ambienti sensibili
Comprendono uffici direzionali, sale riunioni e aree nelle quali vengono discusse informazioni commerciali importanti.
Questi spazi richiedono maggiore attenzione e potrebbero essere inseriti in un programma semestrale o trimestrale, a seconda dell’esposizione.
Ambienti critici
Sono i luoghi nei quali una fuga di informazioni potrebbe provocare gravi danni finanziari, legali o strategici.
In questi casi, la pianificazione non dovrebbe dipendere soltanto da una scadenza. È opportuno prevedere controlli collegati agli eventi più sensibili.
Secondo fattore: accesso e opportunità
La sensibilità delle informazioni rappresenta soltanto una parte della valutazione.
Occorre anche considerare chi può accedere fisicamente agli ambienti.
Un ufficio può contenere informazioni molto riservate, ma avere accessi estremamente limitati e controllati. Un altro ambiente può trattare informazioni meno critiche, ma essere frequentato ogni settimana da fornitori, visitatori e manutentori.
Per ogni area, il responsabile della sicurezza dovrebbe valutare:
- quante persone possiedono chiavi o credenziali;
- quanto spesso entrano visitatori esterni;
- se gli accessi avvengono senza supervisione;
- se sono stati eseguiti lavori recenti;
- se mobili o dispositivi sono stati sostituiti;
- se il controllo degli accessi è documentato;
- se l’ambiente rimane incustodito per lunghi periodi.
L’autorità britannica UK NACE tratta la TSCM come una valutazione complessiva della vulnerabilità e del rischio degli asset sensibili, aiutando le organizzazioni a sviluppare strategie per ridurre il rischio di compromissione.
In termini pratici, più occasioni di accesso esistono, maggiore dovrebbe essere la capacità del calendario di adattarsi.
Tre livelli di pianificazione
Un calendario efficace può combinare tre modelli: annuale, trimestrale e basato sugli eventi.
1. Pianificazione annuale
Il programma annuale può rappresentare una base ragionevole quando:
- gli ambienti sono stabili;
- gli accessi sono limitati;
- non vengono trattate continuamente informazioni critiche;
- non sono in corso operazioni aziendali particolarmente sensibili;
- non esistono anomalie o sospetti concreti.
La data annuale dovrebbe essere considerata una scadenza massima, non un appuntamento che non può essere modificato.
Il calendario deve indicare chiaramente quali eventi richiedono una revisione anticipata.
2. Pianificazione trimestrale
Un programma trimestrale può essere più adatto quando l’esposizione è elevata e continua.
Può essere valutato per:
- uffici dell’alta direzione;
- sale del consiglio di amministrazione;
- studi legali coinvolti in importanti contenziosi;
- aziende tecnologiche che proteggono proprietà intellettuale;
- società che partecipano regolarmente a gare;
- organizzazioni coinvolte in negoziazioni di alto valore.
Il vantaggio non consiste soltanto nell’aumento del numero dei controlli. La pianificazione trimestrale permette di verificare più frequentemente se sono cambiati gli ambienti, gli accessi o il valore delle informazioni.
3. Pianificazione basata sugli eventi
Il controllo attivato da un evento è la parte più flessibile del calendario.
Può essere previsto:
- prima di una riunione strategica;
- prima di una trattativa particolarmente importante;
- durante una fusione o acquisizione;
- dopo lavori di ristrutturazione;
- dopo l’accesso prolungato di personale esterno;
- in seguito a un conflitto interno rilevante;
- dopo cambiamenti delicati nel personale;
- quando si sospetta una fuga di informazioni.
Questo modello non sostituisce il programma annuale o trimestrale. Lo completa, permettendo all’organizzazione di reagire quando il rischio aumenta improvvisamente.
Dal calendario alla decisione
La pianificazione TSCM non consiste nel scegliere una frequenza e mantenerla per sempre.
Consiste nel creare un sistema capace di rispondere a tre domande:
- Quali informazioni dobbiamo proteggere?
- Chi ha avuto l’opportunità di accedere agli ambienti?
- Cosa è cambiato dall’ultimo controllo?
Le risposte permettono di decidere se mantenere la scadenza annuale, passare a un programma più frequente oppure attivare un controllo dopo un evento specifico.
Per effettuare una prima valutazione e confrontare i modelli annuale, trimestrale e attivato dagli eventi, consulta la matrice della frequenza TSCM pubblicata su Medium. La matrice propone un sistema orientativo basato su sensibilità delle informazioni, accessi, cambiamenti recenti ed eventi aziendali.
Conclusione
Un calendario TSCM efficace non deve essere rigido.
La scadenza annuale può costituire una base. Il programma trimestrale può offrire maggiore continuità negli ambienti ad alta esposizione. I controlli attivati dagli eventi permettono invece di reagire ai cambiamenti improvvisi.
La soluzione più utile nasce dalla combinazione dei tre modelli.
L’obiettivo non è eseguire il maggior numero possibile di controlli, ma pianificarli nei momenti in cui le informazioni, gli accessi e le circostanze rendono l’organizzazione più vulnerabile.
Commenti
Posta un commento