Il ruolo del vertice

In breve. L'art. 23 mette la sicurezza informatica sul tavolo di chi governa l'organizzazione: gli organi approvano le misure, ne sovrintendono l'attuazione, si formano e rispondono delle violazioni.

Cosa chiede l'art. 23

1. Approvare le modalità di implementazione delle misure di gestione del rischio.
2. Sovrintendere agli obblighi del Capo IV e dell'art. 7.
3. Rispondere delle violazioni.
4. Formarsi in materia di sicurezza informatica.
5. Promuovere una formazione periodica coerente per i dipendenti.
6. Essere informati periodicamente, o tempestivamente se opportuno, su incidenti e notifiche.

Chi sono gli organi

Sono gli organi che detengono il potere di direzione, compreso il Consiglio di amministrazione dove presente. Un amministratore unico è l'organo stesso. I dirigenti che non fanno parte dell'organo non rientrano nell'elenco.

I documenti da approvare

La forma dell'approvazione non è prescritta dalle misure. Ciò che conta è poter dimostrare data, oggetto e versione di quanto approvato. Una delibera o un verbale che elenchi i documenti è una soluzione tipica.

Domande che un amministratore dovrebbe porre

• Quali sono i nostri tre rischi informatici principali e chi li gestisce?
• Quanto tempo ci serve per ripartire se tutti i sistemi si fermano?
• I backup sono al sicuro da un attacco e li abbiamo provati?
• Chi notifica un incidente alle 3 di notte di domenica?
• Quali fornitori potrebbero fermarci?
• Quali rischi residui stiamo accettando, e l'abbiamo scritto?
• Il piano di adeguamento è in linea con i tempi?

Una relazione periodica efficace

Una pagina basta, se riporta: stato delle misure, avanzamento del piano, incidenti e quasi incidenti, vulnerabilità gravi aperte, fornitori critici, scadenze ACN, decisioni richieste.

Responsabilità personale

Il vertice risponde delle violazioni (art. 23). In caso di inadempimento dopo la diffida, l'Autorità può disporre verso le persone fisiche responsabili la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali nel soggetto, fino al rimedio (art. 38 c. 6). Per i dettagli vedere la scheda su vigilanza e sanzioni.