Che cosa è

 La terziarizzazione della sicurezza digitale (outsourcing) è una pratica crescente in Italia, vista anche la stragrande maggioranza delle piccole e piccolissime organizzazioni, sia in ambito privato che pubblico. 

I servizi di Cybersecurity as a Service (CSaaS), erogati tipicamente da Managed Security Service Provider (MSSP), consentono di affidare a soggetti specializzati una parte più o meno ampia delle attività di sicurezza digitale. Tipicamente i servizi terziarizzati includono   SOC/monitoraggio 24×7, gestione degli strumenti, rilevamento e triage degli eventi, vulnerability management, incident response ecc. la gestione dei sistemi e strumenti di sicurezza, il rilevamento e la categorizzazione di incidenti e di attacchi, la loro gestione e risoluzione, 

E' bene evidenziare come non tutto della sicurezza digitale sia "terziarizzabile" e delegabile, in primis la responsabilità del vertice dell'organizzazione. Affidare la cybersecurity a un MSSP o a un CISO esterno non trasferisce al fornitore la responsabilità che è degli organi organizzativi di vertice dell'organizzazione, l'"accountability" inglese.

È un principio oggi reso esplicito dalla NIS2: per i soggetti essenziali e importanti, gli organi di amministrazione e direttivi approvano le misure di gestione del rischio cyber e ne sovrintendono l’attuazione. Gli obblighi rimangono in capo al soggetto anche quando la gestione dei sistemi o della sicurezza è esternalizzata. Si può quindi esternalizzare l’operatività, non la responsabilità di governo. È una logica di accountability che ritroviamo anche in altri ambiti regolatori, come la protezione dei dati personali, ma che la NIS2 rende particolarmente esplicita in materia di cybersicurezza

La tabella sottostante dettaglia che cosa si può o non terziarizzare.

In questo contesto, un caso interessante è quella della terziarizzazione del CISO, Chief Information Security Officer, indicato come vCISO / CISO as a Service. Questo non deve confondersi con un "Temporary Manager", un manager temporaneo che internamente all'organizzazione svolge il ruolo di CISO, sovente formando nel contempo una persona interna per questo ruolo, con un sistematico "training on the job".

 Un CISO esterno può essere una soluzione efficace, soprattutto per PMI e organizzazioni che non dispongono internamente delle competenze necessarie. Ma deve essere realmente inserito nel sistema di governance dell'organizzazione.

Quindi deve:

• conoscere processi, asset e rischi aziendali;
• avere accesso diretto al management;
• poter segnalare rischi anche quando sono scomodi;
• coordinarsi con IT, Legal, Privacy, Risk Management e Business Continuity;
• disporre di informazioni e autorità sufficienti;
• evitare situazioni di conflitto d'interesse.

Quest'ultimo punto è fondamentale: se lo stesso fornitore progetta o vende le soluzioni, le gestisce e ne valuta poi autonomamente l’efficacia: il modello di governance va guardato con molta attenzione. 

 Questo tema è oggi al centro dell’attenzione europea: ENISA sta sviluppando EUMSS, European Cybersecurity Certification Scheme for Managed Security Services,  il futuro schema europeo di certificazione dei Managed Security Services.

Perché è importante

 Non tutte le organizzazioni possono permettersi internamente tutte le competenze necessarie per la sicurezza digitale: risorse specialistiche difficili da trovare, costose, che devono aggiornarsi continuamente, come ad esempio per SOC 24×7, threat intelligence, penetration testing, incident response, vulnerability management.

Poter disporre "as a service" delle comptenze e di ervizi adeguati per la sicurezza digitale del proprio sistema informativo è essenziale per la sua sicurezza digitale, sempre più sotto attacco, e per stessa continuità operativa dell'organizzazione. 

 Ma l'outsourcing in generale, e quindi anche quello della sicurezza digitale, può presentare gravi rischi, se non ben e sistematicamente controllato, e se non si utilizza un fornitore competente e professionalmento serio.

Le principali cose da sapere

 Per esternalizzare la sicurezza digitale in sicurezza servono almeno:

1. un responsabile/owner interno chiaramente identificato;
2. ruoli e responsabilità definiti, possibilmente con una matrice RACI;
3. SLA, Service Level Agreement,  non soltanto di disponibilità, ma anche per detection, escalation e incident response;
4. requisiti chiari su accessi privilegiati, dati, logging e riservatezza;
5. controllo sui subfornitori utilizzati dal provider;
6. KPI (Key Performance Indicator)/KRI (Key Risk Indicator) e reporting periodico verso il management;
7. diritto di audit e disponibilità delle evidenze;
8. procedure di continuità ed exit strategy, per poter cambiare fornitore senza perdere conoscenze, dati e capacità operative.

Raccomandazioni pratiche

•  L'outsourcing può aumentare la sicurezza quando porta competenze, tecnologie e capacità operative che l'organizzazione non possiede.
• Diventa invece un rischio quando viene utilizzato per “delegare il problema”. Il fornitore può gestire la sicurezza; l'organizzazione deve continuare a governarla.
• Non sempre un unico fornitore è in grado di fornire tutti i servizi di sicurezza digitale allo stesso livello qualitativo. Può essere necessario utilizzare più fornitori, anche se questo moltiplica le interfacce ed i controlli
• Valutare con particolare cautela offerte anormalmente basse: competenze specialistiche, continuità del servizio, capacità di risposta e aggiornamento tecnologico hanno costi reali. Il costo dell’outsourcing deve essere confrontato anche con il costo potenziale della non sicurezza.