Come ottenere budget per la sicurezza aziendale

TL;DR

Un business case di sicurezza ottiene più sostegno quando collega investimenti, rischi e risultati alla strategia aziendale e al valore per clienti e unità operative. Per renderlo convincente servono una sintesi semplice, metriche comprensibili, preparazione anticipata, alleanze interne e credibilità, evitando di affidarsi abitualmente ad allarmismi o al solo richiamo degli obblighi normativi.

Transcript

Ciao, sono James Christiansen di Avantex e ho un background nel campo della sicurezza informatica. Sono stato CISO per Visa e General Motors a livello mondiale, poi, eh, Experian e ora Avantex. Ci occupiamo della gestione dei rischi di terze parti dei fornitori. Sono Jim Anderson, sono un consulente presso Imagine Security. In precedenza sono stato... Read More

Key Insights

• Un business case convincente collega il progetto di sicurezza alla strategia e al valore per il cliente.
• La regola del tovagliolo richiede una proposta semplice, breve e facilmente riassumibile dai dirigenti.
• Metriche e risultati tangibili mostrano ai decisori che cosa sarà ottenuto e in quali termini.
• La preparazione deve iniziare prima del bisogno di fondi, così i dirigenti conoscono già piano e priorità.
• Gli allarmismi possono aiutare nelle vere urgenze, ma il loro uso abituale compromette la credibilità.
• Il contesto deve comprendere rischi aziendali generali e necessità specifiche delle singole unità operative.
• Conto economico, nuovi clienti, prodotti, dirigenti e acquisizioni possono modificare priorità e opportunità.
• Comitati direttivi e gruppi di rischio ampliano il sostegno e collegano la sicurezza alla governance aziendale.

Questions & Answers

Q: Come si costruisce un business case convincente per la sicurezza?

Un business case convincente parte dalla strategia dell'azienda e mostra come il progetto di sicurezza contribuisca agli obiettivi generali, alle esigenze delle unità operative e al valore fornito ai clienti. La proposta deve essere concisa, autoesplicativa e abbastanza semplice da poter essere riassunta rapidamente da un dirigente. Deve inoltre includere metriche e risultati tangibili, spiegando che cosa sarà ottenuto. Poiché nel mondo reale raramente sono disponibili tutti i dati, la solidità deriva anche dal contesto, dalla credibilità del proponente e dalla coerenza con un piano di sicurezza complessivo.

Q: Perché gli allarmismi indeboliscono la richiesta di budget?

Gli allarmismi possono produrre una risposta rapida quando si verifica un evento urgente, ma usati abitualmente riducono la credibilità del responsabile della sicurezza. I dirigenti ascoltano richieste concorrenti provenienti da funzioni che dichiarano tutte di avere obblighi imprescindibili, necessità dei clienti o problemi di consegna. Dire soltanto che un investimento è obbligatorio, regolamentato o inevitabile non dimostra quindi il suo valore relativo. È più efficace spiegare come il progetto sostiene la strategia aziendale, affronta rischi concreti, soddisfa requisiti pertinenti e genera risultati comprensibili per chi deve autorizzare la spesa.

Q: Quando bisogna preparare una richiesta di finanziamento per la sicurezza?

La preparazione deve iniziare molto prima del momento in cui il progetto e il relativo finanziamento diventano necessari. Il responsabile della sicurezza dovrebbe illustrare anticipatamente il piano complessivo, mostrare come le diverse iniziative saranno implementate e chiarire dove si colloca ciascun progetto. In questo modo i dirigenti non ricevono richieste isolate e inattese, ma riconoscono una sequenza già discussa. Il tempo anticipato serve anche a costruire fiducia, comprendere le priorità dei leader, neutralizzare possibili obiezioni e consentire ai decisori di elaborare gradualmente ragioni, benefici e conseguenze della proposta.

Q: Come si allinea un progetto di sicurezza alla strategia aziendale?

Per creare allineamento bisogna conoscere la direzione dell'impresa, gli obiettivi annuali dei leader e le priorità delle diverse unità aziendali. I relatori suggeriscono di parlare con presidenti e responsabili chiave, partecipare occasionalmente alle riunioni del personale, effettuare visite e mantenere un contatto continuativo. Il progetto deve poi essere descritto in termini di contributo alla strategia, al cliente e al valore prodotto dall'organizzazione di sicurezza. Se tale valore è misurabile, può essere comunicato con maggiore chiarezza. Un processo non coerente con gli obiettivi dell'azienda rende invece più difficile ottenere sostegno.

Q: Quali metriche deve includere un business case di sicurezza?

Il business case deve includere parametri che consentano ai dirigenti di capire quali risultati riceveranno grazie al progetto. I relatori criticano le proposte prive di esiti tangibili e le discussioni basate su aspettative di perdita annuale che non comunicano significato al dirigente senior. Le metriche dovrebbero quindi sostenere una spiegazione semplice del valore fornito, rendere il progetto giustificabile e collegarlo agli obiettivi aziendali. Il caso perfetto avrebbe tutti i dati e nessun dettaglio mancante, ma una proposta reale può restare convincente se presenta in modo conciso le prove disponibili, il contesto e gli effetti attesi.

Q: Come influisce la situazione economica dell'azienda sul business case?

Il responsabile della sicurezza deve osservare la situazione aziendale complessiva, incluso il conto economico, per capire se l'impresa attraversa un periodo favorevole o difficile. Quando ricavi e risorse sono sotto pressione, può rafforzare la propria credibilità eliminando dal piano le iniziative rinviabili e indicando chiaramente quelle che devono continuare perché offrono valore al cliente e all'organizzazione. Questa selezione dimostra consapevolezza delle condizioni dell'impresa. Il business case non deve quindi essere formulato in isolamento, ma adattato alle priorità economiche, ai cambiamenti degli obiettivi e alla capacità dell'azienda di finanziare i progetti.

Q: Quale ruolo hanno governance e alleanze interne nell'approvazione?

La governance amplia il sostegno al progetto e impedisce che la sicurezza sia percepita come una richiesta appartenente soltanto al CISO. I relatori consigliano di far governare le iniziative da un gruppo di rischio chiave, coinvolgere le persone rilevanti e creare un comitato direttivo per la sicurezza. Questo comitato può spiegare l'importanza dei progetti, collegarli agli obiettivi generali e riferire al comitato esecutivo per i rischi. Le alleanze richiedono anche attenzione a personalità e dinamiche politiche, perché un interlocutore apparentemente favorevole potrebbe non sostenere la proposta nel momento decisivo.

Q: Come incidono cambiamenti aziendali, fusioni e acquisizioni?

Cambiamenti nei dirigenti, negli obiettivi, nei prodotti, nei progetti o nei clienti possono modificare le priorità sulle quali era stato costruito il business case. Quando arriva un nuovo responsabile aziendale, il CISO deve ristabilire il rapporto e assicurarsi che comprenda il programma in corso. Fusioni e acquisizioni aggiungono nuovi flussi di dati e ulteriori problemi di sicurezza, ma possono anche creare occasioni per far avanzare il programma. Per questo il business case deve essere mantenuto in sintonia con l'evoluzione dell'impresa, aggiornando alleanze, contesto di rischio, motivazioni e collocazione dei progetti nel piano complessivo.

Summary & Key Takeaways

• Un business case efficace deve essere conciso, autoesplicativo e riassumibile come una breve presentazione. Deve chiarire il valore atteso, i risultati misurabili e il legame con gli obiettivi dell'impresa.

• La preparazione comincia prima della richiesta di finanziamento: occorre conoscere strategie, priorità, rischi e condizioni economiche, confrontandosi regolarmente con dirigenti e responsabili delle unità aziendali.

• La fiducia si costruisce presentando un piano complessivo, coinvolgendo comitati di rischio e alleati interni, adattandosi ai cambiamenti e usando requisiti legali, contrattuali e dei clienti come elementi di supporto.