Marco Bavazzano, CEO di Axitea
Il recente disservizio globale di Microsoft 365 riporta l’attenzione su un aspetto spesso dato per scontato: la capacità delle organizzazioni di proteggere le informazioni e continuare a comunicare anche in situazioni di crisi. Un tema che riguarda da vicino la gestione del rischio e la resilienza richieste dalla direttiva NIS2.
Il disservizio che il 12 e 13 novembre ha coinvolto diversi servizi Microsoft, tra cui Outlook e Teams, ha mostrato ancora una volta quanto le attività quotidiane delle imprese dipendano da un numero limitato di strumenti digitali. Un’interruzione, anche quando non è legata a un attacco informatico, può rendere difficili le comunicazioni, rallentare i processi decisionali e, nei momenti più critici, compromettere la capacità dell’organizzazione di coordinare persone e attività.
È un aspetto che merita attenzione anche nel percorso di adeguamento alla direttiva NIS2.
NIS2: proteggere sistemi, informazioni e comunicazioni
La direttiva europea NIS2, recepita in Italia con il D.Lgs. 138/2024, rafforza gli obblighi di gestione del rischio cyber per le organizzazioni coinvolte. Tra le misure previste rientrano la sicurezza dei sistemi, la gestione degli incidenti, la continuità operativa, la protezione della catena di approvvigionamento e l’adozione di politiche sull’utilizzo della crittografia e della cifratura. La sicurezza, quindi, non riguarda soltanto la prevenzione degli attacchi o la protezione delle infrastrutture. Riguarda anche il modo in cui le informazioni vengono condivise e la capacità di un’organizzazione di continuare a comunicare e prendere decisioni quando si trova ad affrontare una situazione anomala o un incidente.
È un cambio di prospettiva importante: dalla sola protezione dei sistemi alla resilienza complessiva dell’organizzazione.
Il valore di canali di comunicazione alternativi
Email, piattaforme collaborative e applicazioni di messaggistica sono ormai strumenti indispensabili per qualsiasi impresa. Proprio per questo tendiamo spesso a considerarli sempre disponibili. Ma la continuità operativa richiede di porsi anche lo scenario opposto.
La NIS2 non impone a tutte le imprese l’adozione di una specifica applicazione alternativa. Richiede però un approccio basato sulla valutazione dei rischi. Per alcune categorie di soggetti, inoltre, il Regolamento europeo 2024/2690 richiama espressamente la necessità di prevedere una ridondanza, almeno parziale, anche dei canali di comunicazione e di disporre di mezzi adeguati per comunicare con le autorità durante una crisi.
In questo contesto, le imprese possono valutare l’adozione di piattaforme dedicate alle comunicazioni riservate, progettate per proteggere conversazioni e documenti attraverso la crittografia e specifici controlli sugli accessi.
Strumenti di questo tipo non devono necessariamente sostituire le piattaforme utilizzate ogni giorno. Possono invece affiancarle come canale alternativo, creando un ambiente distinto per lo scambio di informazioni sensibili e per quelle comunicazioni che, soprattutto durante un incidente, richiedono maggiori garanzie di disponibilità e riservatezza.
La domanda da porsi è quindi molto concreta: se gli strumenti abituali non fossero disponibili o non fossero considerati sufficientemente sicuri, saremmo comunque in grado di scambiare informazioni riservate e coordinare rapidamente le persone coinvolte?
Dalla conformità alla cultura della sicurezza
La NIS2 rappresenta un’occasione per ampliare la prospettiva sulla cybersecurity. Adeguarsi alla normativa è certamente importante, ma l’obiettivo non può essere semplicemente quello di soddisfare un insieme di requisiti.
Occorre costruire organizzazioni capaci di prevenire gli incidenti, gestirli e continuare a operare quando qualcosa non funziona come previsto. Questo significa investire in tecnologie di protezione, ma anche interrogarsi su come vengono gestite e condivise le informazioni, quali dipendenze esistono dai principali strumenti digitali e quali alternative sono disponibili nelle situazioni più critiche.
La sicurezza delle comunicazioni deve quindi diventare parte integrante della strategia di cybersecurity. Non significa soltanto proteggere le informazioni, ma assicurarsi che le persone possano continuare a comunicare, prendere decisioni e coordinarsi in modo affidabile e riservato anche quando gli strumenti abituali non sono disponibili. Per le imprese, il passaggio dalla conformità normativa a una reale cultura della sicurezza passa anche da qui. Perché la cybersecurity non riguarda soltanto la capacità di proteggere sistemi e dati, ma anche quella di mantenere operative le comunicazioni dalle quali dipendono le decisioni dell’organizzazione.
