L'audit di sicurezza: le domande a cui nessuno sa rispondere

Narratore: Prima di iniziare, una nota di trasparenza: le voci di questo podcast sono generate sinteticamente. L'ironia, invece, è interamente umana.

Narratore: È mercoledì mattina. Il Junior apre il sistema di ticket e trova una nuova attività, priorità alta: compilare entro venerdì il questionario dell'audit di sicurezza annuale, basandolo sulla documentazione ufficiale.

Junior Developer: Ok. Domanda uno: chi è il data owner dei dati clienti? Domanda due: è stato redatto e approvato il registro dei trattamenti? Domanda tre: confermate che gli accessi sono censiti e rivisti periodicamente? Il questionario dice di rispondere in base alla documentazione ufficiale. Apro la wiki. Cerco data owner. Ecco la pagina. Ultima revisione: quattro anni fa. Autore: un account disattivato. Registro dei trattamenti... esiste un link. Il link porta a una pagina vuota, con scritto in allegato la bozza.

Senior Developer: Sì a tutto.

Junior Developer: Come sì a tutto?

Senior Developer: La tecnica collaudata. Sei anni di audit, zero verifiche vere. L'anno scorso esito pieno. Nessuno ha aperto la wiki, e sai perché? Perché anche chi fa l'audit sa come funziona la wiki.

Junior Developer: C'è anche la sezione formazione. Domanda: confermate che tutto il personale ha completato il corso annuale di security awareness? Io il corso non l'ho mai visto. Anzi, il link del corso punta al portale della formazione, che è stato dismesso l'anno scorso.

Senior Developer: Il corso esiste, non ti preoccupare. Si chiama 'hai ricevuto una mail con un allegato strano'. La fai ogni giorno, involontariamente, senza superarla mai. Tu sulla carta sei formato. Nella pratica sei solo addestrato. Segna sì.

Junior Developer: Ma se le risposte sono false, l'audit misura cosa?

Senior Developer: Misura la capacità di compilare il questionario. Un'abilità che, nella nostra azienda, è molto più affidabile delle nostre policy.

Narratore: Per aiutare a compilare il questionario della propria area, viene convocato Security. Il questionario riguarda la sicurezza, quindi pare logico.

Security: Vediamo un attimo cosa avete risposto. Sezione accessi amministrativi. Domanda: gli accessi amministrativi sono censiti in un registro dedicato. Voi avete messo... sì. Dove è questo registro?

Senior Developer: Teoricamente nella wiki.

Security: Nella wiki non c'è. Allora verifico sul serio. Nel sistema di gestione degli accessi... ecco. C'è un account amministrativo condiviso. Il nome è il fornitore che ci ha lasciati tre anni fa.

Junior Developer: Scusa, tre anni fa quando il fornitore se n'è andato, non doveva esserci un offboarding che disattivava l'account?

Senior Developer: L'offboarding era una call, senza verbale. La disattivazione dell'account era un'action item. L'action item è spirata insieme alla persona che la aveva in carico, che peraltro è uscita pure lei. L'anno dopo.

Junior Developer: Funziona ancora?

Security: L'ultimo accesso è di lunedì. Basta, da qui in poi rispondiamo onestamente. Ogni sì si giustifica, dove serve mettiamo una nota a margine. È più lento, ma è l'unico modo in cui questo questionario dice qualcosa di vero.

Senior Developer: Se poi vuoi esser utile: mentre compili le note a margine, scrivi anche il registro degli accessi amministrativi. Così l'anno prossimo il sì è quasi vero. È il mio ottavo workaround documentale, credo. Gli altri sette sono ancora in produzione.

Junior Developer: C'è una cosa che non mi torna. Il questionario ci chiede di confermare che la policy di segnalazione delle non conformità è applicata. Ma se dichiariamo che non è applicata, la procedura ufficiale per aprire una non conformità richiede tre approvazioni e una valutazione di impatto. Segnalare la mancanza è più lento e più rischioso della mancanza stessa.

Senior Developer: Benvenuto nell'audit.

Junior Developer: E alla fine, chi firma l'attestazione? Perché la sezione finale dice: il sottoscritto attesta la veridicità delle informazioni. Il sottoscritto chi è? Io che compilo, o chi decide che è tutto vero?

Security: Firma il referente di funzione. Che, stando all'organigramma aggiornato... non risulta. Quindi presumo firmi qualcuno che in quel momento sarà referente per convenzione.

Narratore: Alla call di allineamento si aggiunge il CTO, informato dell'imminenza della scadenza. Da questo momento, il questionario non è più un questionario.

Chief Technology Officer: Perfetto, vi trovo tutti insieme. Vorrei riformulare il quadro. Questo audit non è un controllo. È un momento di maturità. È la nostra occasione per mostrare al mercato trasparenza, consapevolezza, governance. Altri aziende si limitano a spuntare le caselle. Noi possiamo fare di più.

Senior Developer: Cioè, rispondiamo sì?

Chief Technology Officer: Al contrario. Un pieno score è emotivo, non dimostra nulla. Un audit con risposte oneste e un piano di remediation strutturato dimostra una maturità superiore. Chi valuta capisce che siamo un'organizzazione che sa guardarsi dentro. Questo è il vero vantaggio competitivo.

Junior Developer: Solo per capire: la trasparenza verso il mercato la dimostriamo con un questionario che il mercato non vedrà mai, compilato in tre giorni, giustificato da un piano di remediation il cui primo шаг è nominare una commissione?

Security: Quindi confermi che possiamo scrivere le non conformità reali. Compreso l'account condiviso del fornitore.

Chief Technology Officer: Assolutamente. Anzi, istituisco una commissione per riallineare la documentazione ufficiale alle risposte oneste. Così documentazione e questionario saranno finalmente coerenti. Nome evocativo, formato misto, cadenza settimanale. Il nome lo vediamo nella prossima call.

Junior Developer: Quindi aggiorniamo i documenti per farli combaciare con le risposte vere, invece di aggiornare le risposte per farle combaciare con i documenti?

Senior Developer: Ti sta entrando nel sangue. L'anno prossimo le domande del questionario le farai tu, e un nuovo junior ti guarderà chiedendo perché.

Junior Developer: Spero almeno di ricordare di rispondergli: sì a tutto.

Chief Technology Officer: Esatto. Si chiama allineamento. Ed è esattamente il tema di questo podcast.

Senior Developer: Domande e risposte resteranno entrambe come sono. Come ogni anno. Il ponte lo fa il solito foglio Excel: a sinistra la domanda, a destra il sì, in mezzo una colonna note che nessuno legge. Venerdì il questionario va via, esito pieno, due action item. E a Security arriva un ringraziamento ufficiale per il contributo alla cultura della sicurezza.

Security: Un ringraziamento. Per aver trovato l'account condiviso.

Senior Developer: Guardala dal lato positivo: è la prima volta che l'audit ci ringrazia per qualcosa. Il dettaglio che il qualcosa fosse dire la verità, lascialo stare.

Narratore: Venerdì il questionario viene inviato con esito pieno. L'account condiviso del fornitore resta attivo: è citato in un action item. La commissione si riunisce la prima volta a dicembre.