“La sicurezza se funziona non si vede”. La strategia ROSI di INAIL

La crescente attenzione verso le minacce e gli obiettivi di difesa ha spinto INAIL ad avviare nel 2014 un piano strategico per raggiungere la completa digitalizzazione dei servizi e delle informazioni. L’Istituto ha deciso di orientare le proprie risorse, finanziarie ed umane, secondo la metodologia ROSI (il Return On Investment da loro ribattezzato) che incrementi l’efficacia e l’efficienza delle proprie scelte, soprattutto in ambito di mitigazione del rischio e di creazione di uno storico su attacchi, incidenti e relative risposte di difesa. A Stefano Tomasini, Responsabile della Direzione Centrale per i Servizi Informativi Telecomunicazioni, INAIL, chiediamo come nasce la volontà di essere sempre più attivi nella difesa informatica.

Il progetto che abbiamo avviato all’interno di Inail e che si inserisce nel più complesso piano strategico dell’Istituto affronta il tema del ROI, il ritorno degli investimenti fatti per la cyber security. Non è più sufficiente intervenire in maniera preventiva, ma è opportuno canalizzare gli investimenti in maniera ottimizzata: dobbiamo sostenere quelle che sono le iniziative di sicurezza introdotte all’interno dei sistemi informativi. Per questo l’introduzione del ROI sulla sicurezza (da noi ribattezzato ROSI) vuole collegare il danno derivante dalle perdite di dati ai costi affrontati per le iniziative di mitigazione del rischio. È evidente che questo comporta un forte coinvolgimento delle aree di business e un innalzamento dell’attenzione sui temi della sicurezza; importante anche l’avvio di un percorso di formazione sulla sicurezza per gli utenti, che diventano un patrimonio all’interno dell’organizzazione.

Quali difficoltà state riscontrando?

Gli ostacoli sono legati alla resistenza culturale propria delle aree business e delle strutture IT, settori molto conservativi. Il lavoro che stiamo cercando di fare è avvicinare due mondi separati: integrando business e tecnologie con interventi organizzativi interessanti vogliamo colmare questo gap.

Cosa vi aspettate da questa integrazione?

Ci auguriamo che il business non releghi la tecnologia in un ambito separato rispetto al resto dell’organizzazione della macchina e che capisca il valore economico e i benefici derivanti dalla digitalizzazione. Per questo cerchiamo di presentare al business tecnologie e soluzioni finite in modo che diventi sempre più consapevole di questa opportunità.

La maggior parte delle persone è connessa h 24 attraverso diversi device: pensate di proseguire sulla strada della digitalizzazione?

Senza dubbio. La strategia di INAIL punta all’uso sempre crescente dei dispositivi mobili, anche perché sia l’utente esterno che quello interno sono abituati ad usare questi strumenti. È questa stessa tendenza che ci impone un cambiamento ed un aggiustamento di determinate policy: dobbiamo ridefinire la customer experience dei servizi perché siano più fruibili e più sicuri senza disagi per l’utente, perchè la sicurezza se funziona non si vede. Un altro tema verso il quale siamo molto sensibili è quello dello smart working (da non confondere col telelavoro) che attende di essere regolamentato e che rappresenta una vera opportunità per le organizzazioni. Come PA abbiamo problemi di tipo normativo: stiamo lavorando per essere pronti.

Dunque come pensate di migliorare la risposta degli operatori al cyber risk?