Il rischio cyber dovrebbe stare nel registro dei rischi aziendali?

Sì, scritto come rischi di business e non come un'unica riga tecnica. Descriva ogni rischio in termini che il vertice riconosce: produzione ferma per ransomware, dati dei clienti rubati, frode sui pagamenti, un fornitore chiave violato, una sanzione per una scadenza di notifica mancata. Per ciascuno annoti l'impatto probabile, i controlli esistenti, il responsabile e ciò che ancora manca. Così il rischio cyber diventa confrontabile con gli altri quando si decide il budget, e revisori e assicuratori hanno una traccia chiara. Riveda il registro almeno una volta l'anno e dopo ogni incidente grave. La NIS2NIS2: seconda direttiva europea sulla sicurezza delle reti e dell'informazione. La legge europea sulla cibersicurezza (direttiva (UE) 2022/2555), che impone obblighi di sicurezza e di notifica degli incidenti a molte aziende. si aspetta che i soggetti interessati basino le misure su un'analisi dei rischi, e la ISO/IEC 27001 è costruita intorno a una di esse. NetSenX non tiene un registro dei rischi; fornisce prove per i controlli di rilevamento che vi sono elencati.

Informazione generale, non consulenza legale. Le leggi nazionali possono integrare i testi UE citati qui, per esempio con termini, moduli o canali di notifica: verifichi le regole del Suo Paese.

← Tutte le 40 domande su Per il vertice aziendale e la finanzaTutti i temi