Sempre più spesso un cliente ci chiama con un file allegato e una domanda sola: «Da dove cominciamo?». Il file è un questionario arrivato dal suo cliente più grande, quello che da solo vale una bella fetta del fatturato. Chiede come vengono gestiti i dati interni, chi ci accede, cosa succede in caso di incidente. Il motivo è la NIS2: quella del cliente, che a cascata arriva su tutta la sua filiera.
La scadenza è vicina. Entro il 31 ottobre le aziende che rientrano nella direttiva devono avere in ordine le misure di sicurezza richieste dall'Agenzia per la Cybersicurezza Nazionale, e tra queste c'è il controllo dei fornitori. Per questo i questionari arrivano adesso, e continueranno ad arrivare nei prossimi mesi.
Quando ci sediamo con il cliente a rispondere, la scena si ripete quasi sempre uguale. Le cose in azienda funzionano: i backup girano, gli accessi sono stati dati con criterio, i fornitori sono quelli di sempre. Poi arriva la domanda «chi ha accesso al gestionale?», oppure «dove sono le copie dei dati?», e tutti si girano verso la stessa persona. È lei che conosce le password, che sa chi chiamare per ogni fornitore, che si ricorda come è stato configurato il server cinque anni fa. Il resto dell'azienda si fida, e di solito a ragione.
Il questionario mette in luce proprio questo. Chiede risposte scritte e verificabili, che reggano anche quando quella persona è in ferie o cambia lavoro. E così si scopre che la sicurezza dell'azienda poggia in buona parte sulla memoria di qualcuno. Ne avevamo scritto a giugno, parlando di cosa succede quando una persona chiave manca: lì il rischio era fermarsi, qui è restare senza risposte davanti al cliente che pesa di più sul fatturato.
C'è anche un lato utile. Il lavoro che serve per compilare bene il questionario è lo stesso che rende l'azienda meno fragile: mettere per iscritto chi accede a cosa, dove stanno i dati, chi chiamare e in quanto tempo se succede qualcosa. Serve soprattutto tempo, e la disponibilità di quella persona a mettere nero su bianco quello che finora sapeva solo lei. Chi lo fa adesso, prima che il questionario arrivi, lo fa con calma. Chi lo fa dopo, lo fa di corsa, con una scadenza fissata da qualcun altro.
La NIS2 nomina quasi solo aziende grandi, eppure attraverso i loro acquisti sta arrivando alle piccole, una per una.
La domanda che conviene farsi oggi è semplice: se domani arrivasse quel questionario, quante risposte sapreste dare senza chiamare sempre la stessa persona?
Prima che arrivi il questionario, parliamone: https://www.bitagoraorobica.it/#call
— Team BitAgorà