2. COME GIUSTIFICARE UN PROGRAMMA DI SECURITY AWARENESS

Transcript

1

2 1. LA GESTIONE DEL PROGRAMMA DI SECURITY AWARENESS 1.1 Introduzione I problemi più comuni Il modello I componenti del modello Come usare il modello Un programma continuo I benefici di business COME GIUSTIFICARE UN PROGRAMMA DI SECURITY AWARENESS 2.1 Introduzione Il modello del Ritorno sugli investimenti in sicurezza Quantificare l esposizione al rischio Quantificare la mitigazione del rischio Quantificare il costo di un attività di Awareness Pianificare a lungo termine PIANIFICARE UN PROGRAMMA DI AWARENESS 3.1 Gli obiettivi della Security Awareness I problemi La scotomizzazione, ovvero, l ottimismo è il profumo della vita Le minacce evolvono con l evolvere del mercato e delle aziende La sicurezza non ha niente a che fare con la mission aziendale Il processo di pianificazione Definire il team di progetto Definire gli obiettivi Definire l audience I gruppi target Individuare le necessità del pubblico Definire gli obiettivi di performance Le risorse La sponsorship del top management Budget e costi Preparare un business case Un esempio di business case Sommario esecutivo Introduzione Scopo di questo documento Introduzione al programma di Awareness L audience del programma Gestione, delivery e monitoraggio del programma di Awareness Contenuti del programma di Awareness Tecniche di Awareness Fonti di materiale IPSOA Sicurezza delle informazioni: educare l azienda 7

3 I metodi della Security Awareness Il sito web della sicurezza Il branding La formazione per i nuovi dipendenti La gestione del programma Piano di programma e attività principali Monitoraggio del programma Analisi dei costi e benefici Conclusioni La strategia di comunicazione La valutazione delle soluzioni Un esempio di Richiesta di Offerta La scelta dei media Presentazioni di gruppo Presentazioni individuali Produzioni video CD interattivo Formazione via web Newsletter, guide Nuovi modelli di apprendimento: il blended learning Il programma di Security Awareness Bisogni e obiettivi I contenuti del programma L uso di prodotti di Security Awareness Costruire il programma Pianificare gli eventi Esempio di Piano esecutivo Executive Summary Comitato direttivo I destinatari della Security Awareness I contenuti della Security Awareness Le modalità di erogazione dei contenuti Feedback e miglioramento Metriche e valutazione Piano di progetto Documento di progetto (Project charter) Obiettivi di apprendimento Modulo 1 La sottrazione di informazioni confidenziali Modulo 2 La privacy e la sicurezza dipendono da te Modulo 6 Proteggi i tuoi dati: la sicurezza in mobilità Modulo 9 Sicurezza anche a casa Modulo 8 Riconoscere i segnali di pericolo Lista di controllo del progetto LA VALUTAZIONE DI UN PROGRAMMA DI SICUREZZA 4.1 Introduzione Livelli di valutazione Esempi di strumenti di valutazione IPSOA Sicurezza delle informazioni: educare l azienda

4 4.3 Il sondaggio sul rischio del fattore umano Come usare il sondaggio Tabella dei risultati Come diffondere il sondaggio Un esempio di sondaggio Il Security Awareness Maturity Model Metriche di valutazione e strumenti di misura L elenco delle metriche IL MARKETING DELLA SICUREZZA 5.1 Vendere la sicurezza La sicurezza è un servizio Tecniche e strategie di marketing Stabilire la credibilità del venditore Posizionamento e immagine del prodotto La soddisfazione del cliente (customer satisfaction) Costruire la soddisfazione del cliente Strumenti di vendita Ausili visivi Utilizzare gli ausili visivi Concorsi a premi PRINCIPI DI BASE DELLA FORMAZIONE SUI TEMI DELLA SICUREZZA DELLE INFORMAZIONI 6.1 Introduzione Frequenza della formazione Formazione come processo continuo Formazione come parte della responsabilità dei dipendenti Istruzione come responsabilità Alcuni esempi Barclays si dà al cinema Security Awareness contest Le «Pillole di sicurezza» Raccontare storie Il metodo L apprendimento attraverso storie interattive Un esempio Conclusione PERFORMANCE ED ESPERIENZA DI APPRENDIMENTO 7.1 La performance nel luogo di lavoro Problemi di performance e soluzioni I problemi ambientali IPSOA Sicurezza delle informazioni: educare l azienda 9

5 7.1.3 Le carenze di conoscenze o competenze I problemi motivazionali Le soluzioni Principi dell apprendimento negli adulti Gli adulti sono motivati internamente e si dirigono da soli Gli adulti portano esperienze di vita e conoscenza all esperienza di apprendimento Gli adulti sono orientati all obiettivo Gli adulti sono orientati a temi rilevanti Gli adulti sono pragmatici Gli adulti vogliono essere rispettati I deficit del training Effetti positivi Rendere efficace l esperienza di apprendimento Parlare di minacce Approcciare i discenti Comunicare in modo efficace Rompere il guscio della presunzione La responsabilità dei dipendenti Ambiti a maggiore confidenzialità La formazione iniziale La classificazione delle informazioni La protezione delle informazioni La declassificazione delle informazioni Altri ambiti Motivare i collaboratori Sollecitare la motivazione I problemi della motivazione Applicare la motivazione L atteggiamento verso la sicurezza Un modello per la motivazione Motivazione positiva e negativa Un modello di motivazione La teoria dei bisogni di Maslow SECURITY AWARENESS E STANDARD DI SICUREZZA 8.1 Introduzione ISO 27001/ PCI DSS COBIT Legislazione italiana Codice in materia di protezione dei dati personali Legislazione svizzera Circolare FINMA 2008/21 Allegato Le policy aziendali Policy generale di Security Awareness Procedura di gestione di attacchi di social engineering per gli operatori di Front Desk IPSOA Sicurezza delle informazioni: educare l azienda

6