La sicurezza informatica come rischio di governance
L’art. 2086 del Codice Civile impone agli amministratori di predisporre assetti organizzativi adeguati a garantire la continuità e la sana gestione dell’impresa. Tra questi assetti, rientra oggi a pieno titolo la protezione dei sistemi digitali e delle informazioni. Un CdA che non considera la cybersecurity come parte del proprio sistema di controllo interno rischia responsabilità per omessa vigilanza, specialmente nei settori regolamentati o in presenza di dati sensibili.
“La sicurezza dei dati è ormai parte del dovere di diligenza degli amministratori.”
Le competenze necessarie nel CdA
Non è richiesto che ogni consigliere diventi un esperto informatico. Ma è essenziale che tutti abbiano una consapevolezza strategica del rischio cyber, per poter valutare le decisioni del management con cognizione di causa.
Competenze chiave per i consiglieri:
● comprendere le principali minacce informatiche (es.: ransomware, phishing, data breach);
● saper leggere i report di sicurezza e gli indicatori di rischio IT;
● conoscere i framework di riferimento (ISO 27001, NIST, CIS Controls);
● integrare la cybersecurity nei piani di continuità e nel sistema di controllo interno.
“Un consiglio competente in materia digitale è il primo baluardo contro il rischio informatico.”
Le società più strutturate dovrebbero valutare la presenza di un consigliere con competenze tecnologiche specifiche (“digital board member”), figura sempre più diffusa a livello internazionale.
A chi assegnare la responsabilità nel consiglio
Il CdA può gestire la materia attraverso due modelli organizzativi:
1. Delegato con responsabilità diretta.
Un amministratore o un CEO con delega specifica alla sicurezza e alla tecnologia, che risponde al consiglio sull’adeguatezza delle misure adottate.
2. Comitato dedicato.
Un Cybersecurity Committee o Technology & Risk Committee, che esamina piani, vulnerabilità e investimenti in ambito IT, riportando periodicamente al CdA.
In ogni caso, il consiglio deve approvare una Cybersecurity Policy chiara, che definisca ruoli, processi e reporting periodico.
I pilastri tecnici della sicurezza
Senza entrare nei dettagli operativi, è utile che i consiglieri comprendano i principali pilastri tecnologici della sicurezza:
● protezione delle reti (firewall, EDR, monitoraggio, segmentazione);
● gestione degli accessi e autenticazione multifattore;
● backup e piani di disaster recovery;
● aggiornamento costante dei sistemi;
● formazione del personale, primo strumento di difesa contro il rischio umano.
“La tecnologia è solo metà della sicurezza: l’altra metà è la consapevolezza delle persone.”
Il ruolo del consulente
Un consulente di governance e cybersecurity aiuta il CdA a integrare la sicurezza informatica nella strategia aziendale, offrendo una visione indipendente e interdisciplinare.
Le sue funzioni principali includono:
● valutare la maturità del sistema di sicurezza;
● allineare la cybersecurity al modello di governance e compliance;
● fornire indicazioni utili per aggiornare policy e procedure;
● supportare la gestione delle crisi e degli incidenti;
● facilitare il dialogo tra area IT, legale e organi di controllo.
Il consulente non sostituisce il management tecnico, ma traduce la complessità tecnologica in scelte di governance.
“La cybersecurity non è un costo: è un investimento in resilienza, fiducia e reputazione.”
Il CdA che affronta la sicurezza informatica in modo consapevole tutela il valore dell’impresa e ne rafforza la credibilità. Governance Advisors mette a disposizione consulenti qualificati, per integrare la cybersecurity nelle migliori pratiche di governo societario e trasformarla da m