Che cosa chiedere a un provider di cyber security

Come scegliere il giusto provider di cyber security

Sapere quali corde toccare per ottenere il miglior risultato possibile nel processo di selezione è una virtù.

Inoltre, quando si parla di cyber security è opportuno che un’organizzazione abbia le idee perlomeno abbastanza chiare circa le proprie necessità.

Andare alla cieca non dà mai risultati apprezzabili ed è per questo che non bisognerebbe mai incontrare un qualsiasi fornitore completamente digiuni dell’argomento che si dovrà trattare in sua presenza.

La prima domanda è semplice e lapidaria ed è tesa a comprendere quanta esperienza ha il provider nel settore in cui l’azienda opera. Non tutti i settori hanno le medesime necessità in ambito di cyber security e sapere se il fornitore ha altri clienti che operano nel medesimo comparto dà la possibilità di chiedere informazioni e referenze.

La cosa più importante è che il provider di cyber security conosca le minacce e i requisiti di conformità specifici del settore, offrendo protezione su misura che rispecchia le necessità operative dell’azienda.

Ci sono però altre domande essenziali le cui risposte dovrebbero essere inserite nel contratto che lega l’azienda al provider di cyber security.

La valutazione del rischio

È utile fare in modo che il provider di cyber security espliciti prima e metta nero su bianco poi quali sono i fondamenti su cui eroga il servizio.

Ovvero, in che modo identifica le vulnerabilità, valuta le minacce e il loro impatto sull’impresa cliente. Ciò significa che devono essere chiari i metodi, gli strumenti e la frequenza con cui effettua valutazioni e assesment.

Le risposte che il provider fornisce aiutano l’azienda a capire quanto questo sia proattivo e quanto sia in grado di fornire un servizio sul lungo termine.

Framework, standard e protocolli

Tra gli elementi che caratterizzano i diversi provider di cyber security c’è anche il ricorso che fanno ai framework e ai protocolli di risposta degli incidenti.

L’adesione a standard rigorosi è un indizio (che da solo non fa una prova) della capacità del provider di proteggere al meglio i propri clienti. Tra i framework di riferimento è utile citare NIST Cybersecurity Framework, CIS Controls oppure ISO 27001.

Non meno importante, nell’ottica di una cyber difesa completa, è la risposta agli incidenti e le possibilità di disaster recovery, quanto mai attuali anche a causa della diffusione di minacce ransomware.

È quindi opportuno chiedere al provider come lavora il proprio team di gestione degli incidenti e in quanto tempo garantisce il ripristino di sistemi critici compromessi.

La compliance

A seconda del comparto in cui opera, un’organizzazione è confrontata con dei requisiti di compliance specifici. GDPR, HIPAA, CCPA e PCI-DSS sono alcune delle normative più diffuse ma occorre verificare come il provider garantisce il rispetto delle norme, in che modo e in quali tempi le aggiorna e se copre la compliance anche a livello internazionale.

Anche queste informazioni devono essere esplicitate nel contratto di servizio.

Gestione on site e in remoto

On site e remoto hanno doppia valenza. Il provider di cyber security deve sapere intervenire in remoto per tutelare l’azienda cliente e deve essere anche pronto a intervenire fisicamente presso la sua sede.

Allo stesso modo, deve sapere proteggere i lavoratori che frequentano la sede aziendale così come quelli che lavorano in remoto e anche in movimento (si pensi, per esempio, ai commerciali).

Conclusioni

Ognuno degli argomenti che abbiamo trattato va intavolato con il provider di cyber security. Conoscere quali politiche persegue, con quale rapidità le implementa e con quale dedizione può seguire i propri clienti è di vitale importanza.

Poiché le parole hanno valore relativo, è importante fare in modo che il provider scelto espliciti per iscritto ciò che ha promesso o sostenuto di potere fare, contribuendo così a creare un rapporto di fiducia sul lungo periodo.

Cambiare il partner che fornisce cyber security è quasi sempre conseguenza di un pessimo servizio che ha causato danni potenzialmente costosi non soltanto in termini economici ma anche reputazionali.

Quello tra aziende e provider di cyber security dovrebbe essere un rapporto di lunga durata, ecco perché è opportuno sceglierli con cognizione di causa.