C’è una conversazione che in molte aziende non avviene mai. Da un lato chi gestisce l’IT conosce i dettagli tecnici ma fatica a tradurli in un linguaggio strategico. Dall’altro chi guida l’azienda delega volentieri tutto ciò che riguarda i sistemi, convinto che basti avere qualcuno di competente a occuparsene.
Il risultato è che l’IT aziendale cresce o si deteriora, senza mai diventare davvero parte delle scelte che contano.
- Se domani perdiamo l’accesso ai sistemi, in quanto tempo torniamo operativi?
È la domanda più diretta, e spesso quella che genera più imbarazzo.
Non si tratta di essere pessimisti. Si tratta di sapere qual è il livello reale di resilienza dell’organizzazione. Un’azienda che non conosce il proprio RTO, il tempo massimo di ripristino dopo un’interruzione, non sa quanto è esposta. E non saperlo non significa che il rischio non esista: significa che non è stato misurato.
2. Chi ha accesso a cosa, in questo momento?
Dipendenti che hanno cambiato ruolo. Collaboratori esterni con credenziali ancora attive. Account di ex dipendenti mai disattivati. Applicazioni che comunicano tra loro con permessi mai rivisti.
La gestione degli accessi è una delle aree più trascurate nell’IT aziendale, non perché non sia importante, ma perché richiede una manutenzione continua che spesso non viene pianificata. Chiedere chi ha accesso a cosa — e ricevere una risposta chiara — è un indicatore diretto della qualità della governance IT dell’organizzazione.
3. Quando è stato fatto l’ultimo test del backup?
Avere un backup non è sufficiente. Un backup non testato può essere un componente che non regge al momento del bisogno.
La domanda non è se esiste un sistema di backup, quasi tutte le aziende ce l’hanno. La domanda è se qualcuno ha verificato di recente che funzioni davvero, che i dati siano completi e che il ripristino avvenga nei tempi attesi.
- Quali sono i tre punti più critici della nostra infrastruttura IT?
Ogni infrastruttura ha i suoi punti deboli. Server datati, applicazioni critiche che girano su sistemi non più supportati, dipendenze da un unico fornitore senza alternative.
Chiedere al responsabile IT di identificare le tre vulnerabilità principali serve a due cose: capire la situazione reale e capire se chi gestisce l’IT ha una visione critica e onesta dei propri sistemi.
5. Siamo pronti a un’ispezione sulla conformità normativa?
La direttiva NIS2 ha ampliato significativamente il perimetro delle organizzazioni soggette a obblighi di sicurezza informatica. Il GDPR è in vigore da anni ma continua a generare sanzioni. La conformità non è un tema che riguarda solo le grandi aziende o i settori regolamentati.
Sapere se l’organizzazione è in linea con i requisiti normativi, o quanto distante è dall’esserlo, è una responsabilità che ricade anche sul vertice aziendale. Non è una domanda tecnica: è una domanda che riguarda il rischio legale e reputazionale dell’impresa.
6. L’IT sta supportando la crescita dell’azienda o la sta frenando?
È la domanda più strategica, e quella che apre la conversazione più utile.
L’infrastruttura IT non è un costo fisso da tenere sotto controllo. È una leva o un freno, per tutto ciò che l’organizzazione vuole fare: aprire nuovi mercati, integrare nuovi strumenti, scalare i processi, adottare tecnologie emergenti. Quando l’IT è dimensionato sul passato, ogni progetto nuovo diventa più lento, più costoso e più rischioso.
Conclusione
Queste domande non hanno lo scopo di mettere in difficoltà nessuno. Hanno lo scopo di aprire una conversazione che in molte organizzazioni manca, e la cui assenza si paga, prima o poi, in termini di blocchi operativi, vulnerabilità non presidiate o opportunità mancate.
In Kspin affianchiamo le aziende esattamente in questo tipo di valutazione: non solo nella gestione tecnica dell’infrastruttura IT, ma nel costruire un dialogo chiaro tra chi guida l’organizzazione e chi ne gestisce i sistemi.
Contattaci per una valutazione.