THE BENCHMARKING CLUB. Benchmarking Study. La Sicurezza Informatica

Transcript

1 THE BENCHMARKING CLUB Benchmarking Study La Sicurezza Informatica

2 La Sicurezza Informatica Business International Via Isonzo, 42 C Roma Tel Fax

3 Indice PREMESSA Key finding del benchmarking 1 La metodologia 2 Valutazione dei rischi ICT 45 Business Continuity-Disaster Recovery 49 Indicatori di performance della sicurezza informatica 54 CAPITOLO 1 Introduzione alla sicurezza informatica 4 Il paradigma della sicurezza ICT: Continuità di servizio, riservatezza e integrità delle informazioni 8 Metodologie e soluzioni per la gestione organizzativa e tecnologica della sicurezza ICT 8 CAPITOLO 3 Le Best-Practice 55 Modelli di riferimento 55 La terziarizzazione della Sicurezza ICT 56 La norma BS Il Metodo Cobit per l IT Governance 61 EMI Music - Un caso di Best Practice 63 Suggerimenti per la gestione della sicurezza ICT 65 CAPITOLO 2 Il benchmarking sulla sicurezza informatica: Analisi dei dati 11 Attività, risorse e iniziative aziendali sulla sicurezza ICT: 13 Montenegro 13 CAPITOLO 4 Risultati del benchmarking 72 Conclusioni 73 Bibliografia di riferimento 75 SMC 16 Aethra 16 IllyCaffé 19 Siemens 22 Amsa 26 ALLEGATI Glossario di benchmarking 77 Questionario 82 Robert Bosch 29 Gruppo Formula 32 I dati rilevati 35 Governance 35 Ruoli per la gestione della sicurezza ICT 36 Caratteristiche delle policy 37 Tecnologie 39 Formazione 45

4 Premessa Il benchmarking è la ricerca di informazioni a livello aziendale, che consente ad un manager di confrontare le prestazioni della sua funzione con le prestazioni delle stesse funzioni di altre imprese. Il benchmarking identifica quelle prassi direzionali che la funzione interessata deve adottare per raggiungere la superiorità. Q uesto documento contiene i risultati di un benchmarking crossindustry tra 8 aziende sul processo di gestione della sicurezza informatica. Hanno partecipato all iniziativa: Aethra, Amsa, Bosch, Gruppo Formula, IllyCaffé, Montenegro, Smc, Siemens. Il confronto, avvenuto mediante la metodologia di benchmarking funzionale implementata dal Benchmarking Club di Business International, nasce dall assumption che alcuni processi come la gestione della sicurezza informatica siano molto simili anche in settori industriali diversi; questo fornisce la possibilità di scoprire prassi e metodi attuati nell ambito di settori di attività diversi dal proprio. Le aziende partecipanti al benchmarking hanno condiviso le proprie esperienze e le prassi utilizate nella gestione di aspetti ritenuti fondamentali e di particolare criticità nella gestione della sicurezza informatica, quali: governance tecnologia formazione Il benchmarking study è così articolato: - nel primo capitolo è riportata un introduzione divulgativa sul tema nella quale è delineata l evoluzione della sicurezza informatica nel tempo con riferimenti alle principali tendenze in atto, esaminate anche in collegamento con i risultati del benchmarking; - il secondo capitolo è dedicato all analisi ed al confronto dei dati rilevati presso le singole aziende con un quadro di sintesi complessivo; - nel terzo capitolo sono delineate le best/good practice individuate presso le aziende partner del progetto, con alcune indicazioni operative su comportamenti da seguire e passi falsi da evitare per un efficace gestione della sicurezza informatica, in coerenza con le Best-Practice del mercato. 1

5 La metodologia Per il benchmarking è stata utilizzata la metodologia del Benchmarking Club di Business International, il primo network italiano di benchmarking che da dieci anni gestisce con successo gruppi di lavoro finalizzati all individuazione e al trasferimento di buone pratiche sui processi aziendali. Il benchmarking di processo o funzionale permette di scoprire prassi e metodi alternativi a quelli utilizzati. In definitiva ciò che interessa sono le prassi migliori, perché solo l applicazione innovativa di tali combinazioni può portare a prestazioni superiori. La metodologia prevede tre incontri così organizzati. La prima riunione del gruppo di lavoro La prima riunione ha un taglio metodologico ed ha l obiettivo di definire le linee guida e le modalità operative del gruppo di lavoro. Ad un intervento formativo sul benchmarking e sulla metodologia applicata nei gruppi di lavoro seguono: la presentazione del progetto, l analisi di dettaglio dell oggetto del confronto e la condivisione delle aree d approfondimento tra tutti i partner coinvolti. In particolare, il processo è mappato con l identificazione di tutte le fasi e della catena del valore e vengono definiti quali aspetti saranno oggetto di confronto. Sempre in occasione della prima riunione: vengono identificati gli indicatori, le unità di misura che indicheranno il livello di qualità e produttività della prestazione del processo viene condiviso un questionario per la raccolta dei dati su tutti i partner sono definite le linee guida delle presentazioni aziendali che i partecipanti faranno nel corso della seconda riunione. La seconda riunione del gruppo di lavoro La seconda riunione costituisce il momento di massimo scambio e condivisione di informazioni tra i partecipanti. Le aziende, secondo lo schema di presentazione concordato nella prima riunione, illustrano il proprio processo e condividono le principali prassi in essere. La terza riunione del gruppo di lavoro L ultimo incontro del gruppo di lavoro, è dedicato alla presentazione dei dati raccolti in tabelle comparative, corredate da grafici che illustrano la situazione rilevata e quindi indicano gli aspetti degni d approfondimento. Sulla base dei dati raccolti: viene rilevato il posizionamento di ciascuna azienda rispetto agli indicatori di processo condivisi vengono identificate le good-practice ed un eventuale Best-in- Class vengono individuate delle prassi trasferibili in altri contesti. 2

6 Seguendo il percorso metodologico sin qui delineato, il confronto sulla gestione della sicurezza informatica si è svolto secondo una precisa sequenza di azioni: individuazione di un terreno d indagine comune (quali aspetti del processo confrontare) mappatura del processo (approfondimento del processo con analisi delle relazioni e fasi) in alcuni processi chiave redazione di un questionario per la raccolta dei dati in modo strutturato per il confronto approfondimento delle prassi aziendali in uso condivisione e analisi dei dati identificazione di casi di Best/Good Practice. Confronto sulle prassi, identificazione del proprio posizionamento, individuazione di spunti per cambiamenti 3