Tutti i 100 indicatori / Categoria 1.x: Autorità
Indicatore 1.2
Misura la vulnerabilità ai gap di responsabilità sulla sicurezza quando gli individui presumono che qualcun altro nella gerarchia organizzativa stia gestendo la supervisione, creando pericolosi punti ciechi dove decisioni critiche cadono tra i livelli di management
La diffusione della responsabilità si verifica quando gli individui presumono che qualcun altro nella loro organizzazione stia gestendo la supervisione della sicurezza, creando gap pericolosi dove decisioni critiche cadono tra i livelli di management. Questo pattern psicologico porta a ritardi nella risposta agli incidenti, vulnerabilità non patchate e attacchi di social engineering riusciti perché nessuno assume responsabilità personale per le azioni di sicurezza. Le organizzazioni con gerarchie complesse sono particolarmente vulnerabili poiché i dipendenti deferiscono le decisioni di sicurezza verso l'alto mentre il management presume che i team operativi stiano monitorando le minacce.
Gli studi di Milgram sull'autorità (1974) hanno dimostrato che le strutture gerarchiche alterano fondamentalmente il ragionamento morale individuale e la responsabilità personale, con i partecipanti che mostrano diminuita responsabilità quando agiscono all'interno di strutture di comando. La ricerca di Latané & Darley sull'effetto spettatore (1970) ha stabilito che la diffusione di responsabilità aumenta con il numero di potenziali attori - nei contesti organizzativi, questo si traduce nella responsabilità di sicurezza diluita attraverso i livelli gerarchici. Neurologicamente, studi fMRI (Beyer et al., 2015) mostrano che i contesti gerarchici riducono l'attivazione della corteccia cingolata anteriore, la regione cerebrale responsabile dell'agency personale e del monitoraggio dei conflitti, alterando letteralmente come gli individui processano la responsabilità personale.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
Individui nominati hanno chiara autorità per prendere decisioni di sicurezza entro tempi definiti (sotto 30 minuti per questioni critiche). Responsabilità di sicurezza documentate con assegnazioni a persone specifiche, non assegnazioni a dipartimenti. Il coordinamento inter-dipartimentale avviene mensilmente o più frequentemente con risultati documentati.
Le decisioni di sicurezza richiedono approvazioni multiple creando ritardi da 30 minuti a 4 ore per questioni critiche. Alcune responsabilità di sicurezza sono specifiche per persona mentre altre assegnate a dipartimenti. Il coordinamento inter-dipartimentale è ad-hoc o trimestrale.
Le decisioni di sicurezza richiedono approvazione gerarchica estensiva creando ritardi superiori a 4 ore per questioni critiche. Le responsabilità di sicurezza sono principalmente assegnate a dipartimenti o ruoli piuttosto che a individui nominati. Non esiste coordinamento inter-dipartimentale regolare sulla sicurezza.
Creare un documento che elenca scenari di sicurezza specifici con individui nominati autorizzati a prendere decisioni entro tempi definiti
Il team di sicurezza redige una matrice che elenca scenari (richieste di reset password, anomalie di rete, accesso fornitori, ecc.) con individui nominati e decisori di backup. Includere tempi massimi di risposta per ogni scenario. Distribuire a tutto il personale e aggiornare trimestralmente.
Stabilire tempi massimi di risposta per diverse categorie di decisioni di sicurezza con escalation automatica
Aggiornamento policy che definisce categorie decisionali (immediato/30min/4ore/24ore) con enforcement automatizzato del sistema di ticketing. Qualsiasi decisione che supera il limite temporale scala automaticamente al livello successivo con piena autorità per agire. Formazione manager sui trigger di escalation.
Assegnare security champions a ogni livello organizzativo che si incontrano mensilmente per chiarire i confini di responsabilità
Selezionare champions da ogni livello/dipartimento, fornire formazione di sicurezza base, stabilire calendario regolare di riunioni con risultati documentati. I champions hanno autorità esplicita per coordinare risposte di sicurezza che attraversano confini gerarchici.
Creare metriche di sicurezza personali per ogni dipendente che non possono essere diffuse ad altri
Definire metriche individuali: tassi di applicazione patch per sistemi controllati, completamento formazione, partecipazione alla segnalazione incidenti, conformità policy di sicurezza. Integrazione sistema HR per valutazioni delle performance, riunioni di revisione trimestrali con manager.
Implementare soluzioni tecnologiche che gestiscono automaticamente decisioni di sicurezza di routine senza consultazione gerarchica
Deployment piattaforma SOAR per risposte automatizzate a minacce di routine (blocchi temporanei account, approvazioni di accesso base, eccezioni policy standard). Definire logica workflow, integrare con strumenti di sicurezza esistenti, riservare decisioni umane per situazioni genuinamente complesse.
Stabilire chiara struttura di comando degli incidenti che bypassa temporaneamente la normale autorità gerarchica durante eventi di sicurezza
Aggiornamento piano di risposta agli incidenti che definisce il ruolo di comandante dell'incidente con piena autorità per dirigere risorse senza approvazione gerarchica. Formazione autorità di comando, esercizi tabletop, canali di comunicazione verificati (fuori banda).