Una cyber security strategy aziendale è il piano che collega obiettivi di business, rischi informatici e investimenti in sicurezza.Stabilisce sostanzialmente quali asset proteggere per primi, quale livello di rischio l'azienda accetta, chi decide e come si misurano i risultati. Si costruisce partendo da un framework riconosciuto, come il NIST CSF 2.0, e la approva il vertice.
Molte aziende hanno già introdotto misure specifiche, dall'antivirus all'autenticazione a più fattori (MFA), ma spesso mancano un disegno d'insieme e una decisione su quali rischi coprire per primi. Gli investimenti si accumulano quindi senza una priorità, e solo il 28% delle grandi imprese italiane ha un approccio realmente orientato alla cyber-resilienza, secondo l'Osservatorio Cybersecurity & Data Protection del Politecnico di Milano.
Per capire che cosa proteggere conviene partire dal contesto, a cominciare dagli attacchi informatici più diffusi contro le aziende: una strategia serve proprio a ricomporre le misure in un unico percorso, con priorità e responsabilità chiare. Questo contenuto spiega poi come si costruisce una strategia di sicurezza informatica aziendale: i framework di riferimento, i sei passi, chi la guida e come si misura.
Vi è una differenza tra strategia nazionale di cybersecurity e quella meramente aziendale.
La strategia nazionale di cybersicurezza 2022-2026 viene realizzata dall’ACN (Agenzia per la cybersicurezza nazionale) e individua obiettivi e fattori chiave per rendere il Paese più sicuro e resiliente. La strategia aziendale decide invece come una singola impresa protegge i propri servizi, con quali priorità e con quale budget.
Le due non coincidono, ma la prima influenza la seconda attraverso la NIS2 e le misure di base indicate dall'ACN, che traducono gli obiettivi nazionali in obblighi per i soggetti coinvolti.
Un esempio può aiutare a distinguerle meglio: la strategia nazionale fissa obiettivi di sistema per il Paese, mentre quella aziendale stabilisce quali servizi proteggere per primi, chi risponde delle decisioni e quanto budget destinare. Per un'azienda questo significa che la strategia nasce dalle proprie esigenze di business e dai propri rischi, ma deve tenere conto di un quadro normativo in evoluzione.
Un cybersecurity framework è il linguaggio comune con cui si descrivono rischi e misure di sicurezza: il framework dà il vocabolario, mentre la strategia è la scelta delle priorità. Vediamo i tre riferimenti più utili per un'azienda italiana.
Il NIST Cybersecurity Framework 2.0, pubblicato il 26 febbraio 2024, organizza la gestione del rischio cyber in sei funzioni:
La novità principale sta in Govern, che porta la sicurezza al livello della direzione, perché definisce contesto, strategia, ruoli e responsabilità prima di qualsiasi misura tecnica. Il NIST Cybersecurity Framework è quindi un buon punto di partenza per scrivere una strategia, dato che le sue funzioni coprono l'intero ciclo, dalla decisione al ripristino dopo un incidente.
Le funzioni non sono fasi da eseguire una dopo l'altra, ma attività che si svolgono in parallelo e si alimentano a vicenda: le lezioni apprese dopo un incidente, per esempio, riportano a rivedere le scelte di governo. Il framework non impone infine misure specifiche, quindi ogni azienda lo adatta al proprio contesto e ai propri rischi, ed è proprio qui che entra in gioco la strategia.
Il Framework Nazionale per la Cybersecurity e la Data Protection, nell'edizione 2025 curata da CIS Sapienza e CINI con il supporto dell'ACN, allinea il proprio nucleo al NIST CSF 2.0 e ne mantiene le sei funzioni.
L'ACN lo richiama per organizzare le misure di base della NIS2, ma non è una certificazione: è uno strumento per descrivere il livello di sicurezza e pianificare i miglioramenti. A questo si aggiunge il Modello Operativo Integrato di Cybersecurity Governance pubblicato dall'ACN, un riferimento italiano per organizzare la governance.
In altre parole, un'azienda usa il Framework Nazionale per descrivere il proprio profilo di sicurezza e per scegliere le misure da introdurre.
La norma ISO 27001 definisce poi i requisiti di un sistema di gestione della sicurezza delle informazioni, cioè politiche, ruoli e controlli che l'azienda mantiene nel tempo e può far certificare.
La ISO/IEC 27005 riguarda invece la gestione del rischio, con indicazioni su come individuarlo, valutarlo e trattarlo. Insieme completano i framework appena visti, perché aiutano a strutturare il sistema e a dimostrarne il funzionamento. In una strategia le norme ISO sono utili soprattutto quando l'azienda vuole una certificazione o deve dimostrare a clienti e partner di gestire la sicurezza in modo strutturato.
Ogni passo della strategia di sicurezza aziendale deve produrre un documento o una decisione, ed è questo che la distingue da un elenco di buone intenzioni: vediamoli in ordine, tenendo presente che i passi si ripetono nel tempo.
Il primo passo individua i servizi che l'azienda non può interrompere, gli obblighi da rispettare e i fornitori da cui dipende.
Tra gli obblighi rientrano gli obblighi della NIS2, il regolamento DORA per il settore finanziario e l'AI Act, che conviene leggere insieme come parte della compliance aziendale. Il documento che ne esce è l'elenco dei servizi critici, con le norme applicabili e i fornitori coinvolti per ciascuno.
Questo step evita di partire dagli strumenti: prima si capisce che cosa va protetto e perché, poi si scelgono le misure.
Con i servizi critici definiti, si mappano gli asset che li sostengono, come applicazioni, dati, infrastrutture e persone, e si descrivono scenari di rischio realistici, per esempio un ransomware sul gestionale o il blocco di un fornitore chiave.
Per ogni scenario si stimano probabilità e impatto sul business: è il cuore del cyber risk management, cioè della gestione del rischio informatico.
Il documento che serve è il registro dei rischi, che ordina gli scenari per gravità. Gli scenari più utili collegano un evento tecnico a una conseguenza di business, come giorni di fermo produttivo o dati dei clienti esposti. La mappatura non deve essere perfetta subito: conviene partire dai servizi più critici e completare il quadro nel tempo.
Il vertice decide quanto rischio l'azienda è disposta ad accettare, cioè la propensione al rischio, e fissa gli obiettivi di sicurezza per i prossimi anni, coerenti con quelli di business.
Senza questa decisione la strategia resta una scelta tecnica dell'IT. Il documento che serve è una delibera del CdA sulla propensione al rischio, con obiettivi misurabili e un responsabile per ciascuno.
La discussione in consiglio rende esplicito che alcune scelte di sicurezza hanno un costo e che certi rischi si accettano in modo consapevole. La delibera viene poi rivista quando cambiano il business o il quadro normativo.
Qui si confronta il profilo attuale, cioè lo stato reale delle misure, con il profilo obiettivo, cioè il livello che l'azienda vuole raggiungere: sono i termini usati dal NIST CSF e dal Framework Nazionale.
La differenza tra i due è la gap analysis, cioè l'analisi dei divari, che mostra dove intervenire e con quale urgenza. Il documento che ne risulta è organizzato per funzione del framework: per ciascuna si indica il livello raggiunto e quello desiderato, in modo da vedere subito le aree più indietro.
Le priorità emerse dalla gap analysis si traducono in una roadmap, o cyber security plan, con le iniziative in ordine di importanza, i tempi, il budget e il responsabile di ciascuna.
Il documento da creare è una roadmap triennale, riesaminata ogni anno, che distingue ciò che serve subito da ciò che richiede più tempo. Una buona roadmap tiene conto anche delle risorse disponibili, perché un piano troppo ambizioso rischia di restare sulla carta. Per costruirla e governarla può essere utile un percorso di strategia IT e gestione del rischio cyber.
L'ultimo passo misura i risultati con indicatori mirati, li riferisce al vertice con cadenza fissa e aggiorna la strategia quando cambiano minacce, servizi o norme. Il documento che ne deriva è quindi un cruscotto trimestrale, che mostra l'avanzamento della roadmap e l'andamento dei rischi.
La cadenza fissa evita che la sicurezza torni in agenda solo dopo un incidente, e se un indicatore peggiora la roadmap si corregge senza aspettare la revisione annuale.
La strategia riguarda l'intera organizzazione, ma ogni figura ha un compito diverso: vediamo chi fa che cosa.
Il CDA o Consiglio di Amministrazione approva la strategia e ne sovrintende l'attuazione. Il consiglio non scrive la strategia, ma ne risponde, quindi deve ricevere informazioni chiare sui rischi e decidere con cognizione di causa.
Per i soggetti NIS2 è anche un obbligo: l'articolo 23 del decreto NIS (D.Lgs. 138/2024) prevede che gli organi di amministrazione e direttivi approvino le misure di gestione del rischio, ne vigilino l'applicazione e rispondano delle violazioni, come si approfondisce parlando delle responsabilità degli amministratori.
Il CISO (Chief Information Security Officer) traduce la strategia in un programma operativo, coordina le funzioni coinvolte e riferisce al vertice.
Per farlo ha bisogno di un accesso diretto al vertice e di un mandato chiaro, altrimenti la strategia rischia di restare un documento dell'IT. Chi non ha questa figura può affidarsi a un esterno come un CISO as a Service, cioè un responsabile che svolge il ruolo in modo continuativo senza entrare in organico.
La strategia coinvolge anche altre funzioni: l'ufficio legale per obblighi e contratti, gli acquisti per i requisiti di sicurezza dei fornitori, le risorse umane per la formazione e i responsabili della continuità operativa per i piani di ripristino.
Il legale, per esempio, verifica che i contratti con i fornitori contengano requisiti di sicurezza e obblighi di notifica degli incidenti. Una strategia efficace assegna quindi a ciascuna funzione un compito e un indicatore, così che la responsabilità non resti solo in capo all'IT.
Una strategia funziona se i suoi risultati si misurano: bastano pochi indicatori, scelti in base agli obiettivi e riferiti al vertice con una cadenza fissa, per esempio ogni trimestre. Conta più l'andamento nel tempo del singolo valore.
La tabella riporta gli indicatori da cui partire, con ciò che misurano e il destinatario del dato.
|
Indicatore |
Cosa misura |
A chi si riferisce |
|
Copertura MFA sugli accessi critici |
Quota di accessi critici protetti da autenticazione a più fattori |
CISO e vertice |
|
Tempo medio di correzione delle vulnerabilità critiche |
Giorni tra la scoperta e la correzione |
CISO e responsabile IT |
|
Tempo di rilevazione e di risposta agli incidenti |
Rapidità con cui si individua e si contiene un incidente |
CISO e vertice |
|
Esito delle simulazioni di phishing |
Quota di persone che cade nel messaggio o lo segnala |
Risorse umane e CISO |
|
Test di ripristino riusciti |
Quota di ripristini completati nei tempi previsti |
Continuità operativa e vertice |
|
Fornitori critici valutati |
Quota di fornitori critici con una valutazione di sicurezza aggiornata |
Acquisti e CISO |
|
Avanzamento della roadmap rispetto al budget |
Iniziative completate e spesa rispetto al piano |
Vertice e direzione finanziaria |
Pochi indicatori letti con costanza valgono più di un cruscotto troppo denso di informazioni, perché permettono al vertice di decidere più rapidamente su priorità e budget.
Quattro errori ricorrono più spesso nelle aziende che scrivono una strategia:
Evitare questi errori richiede un buon metodo e un responsabile che tenga aggiornato il documento nel tempo.
Per ripartire conviene guardare al contesto delle minacce informatiche e valutare un supporto esterno: un percorso di strategia IT e gestione del rischio cyber aiuta a trasformare questi passi in un piano approvato.
Una cyber security strategy è il piano con cui un'azienda decide come proteggere servizi, dati e sistemi in base ai propri rischi e ai propri obiettivi di business. Stabilisce priorità, livello di rischio accettato, responsabilità e indicatori di risultato. Si costruisce partendo da un framework riconosciuto e deve essere approvata dal vertice.
La strategia di cybersecurity stabilisce obiettivi, priorità, budget e tempi su più anni. La politica di sicurezza delle informazioni è invece un documento che traduce una parte della strategia in regole quotidiane, per esempio su accessi e uso dei dati. La politica quindi applica la strategia e non la sostituisce.
Per partire conviene scegliere un framework allineato al NIST CSF 2.0. In Italia il Framework Nazionale per la Cybersecurity e la Data Protection 2025 ne ricalca la struttura e l'ACN lo richiama per le misure di base della NIS2. Le norme ISO 27001 e 27005 servono poi a strutturare il sistema di gestione e il rischio.
Va riesaminata almeno una volta l'anno, insieme alla roadmap, e ogni volta che cambiano in modo rilevante minacce, servizi, fornitori o norme. Gli indicatori, invece, vanno riferiti al vertice con una cadenza fissa, per esempio ogni trimestre, così da accorgersi presto se la strategia non produce i risultati attesi.
Sì, perché anche le piccole imprese subiscono attacchi e spesso dipendono da pochi sistemi e fornitori. La strategia può essere più semplice, con pochi asset critici, una gap analysis snella e una roadmap breve che parte dalle misure di base. Un percorso di cybersecurity per le PMI aiuta a iniziare.