{"id":73994,"date":"2025-05-07T10:18:50","date_gmt":"2025-05-07T08:18:50","guid":{"rendered":"https:\/\/www.italtel.com\/?p=73994"},"modified":"2025-05-07T10:33:20","modified_gmt":"2025-05-07T08:33:20","slug":"tre-domande-a-luca-greco-ciso-di-italtel-la-sicurezza-informatica-e-un-pilastro-strategico-dellinnovazione","status":"publish","type":"post","link":"https:\/\/www.italtel.com\/it\/tre-domande-a-luca-greco-ciso-di-italtel-la-sicurezza-informatica-e-un-pilastro-strategico-dellinnovazione\/","title":{"rendered":"Tre domande a Luca Greco, CISO di Italtel: \u201cLa sicurezza informatica \u00e8 un pilastro strategico dell\u2019innovazione\u201d"},"content":{"rendered":"\n
\n\n\n\t
\n\t\t\t\t
\n\t\t\t\n\t\t\t\n\n\t
\n\t\t\n\n

1) Qual \u00e8 il ruolo del Chief Information Security Officer (CISO) in una realt\u00e0 complessa come Italtel, system integrator e sviluppatore di soluzioni digitali?<\/h2>\n\n\t\t\t<\/div>\n\t\n\t
\n\t\t\n\n

In Italtel il ruolo del CISO \u00e8 centrale e strategico. Si sviluppa a partire dalla governance, alla gestione del rischio e alla compliance, fino al supporto della definizione dei controlli tecnici dei sistemi, come security advisor dei miei colleghi.<\/p>\n

La mia responsabilit\u00e0 principale \u00e8 definire, implementare e mantenere una strategia di sicurezza informatica coerente con gli obiettivi di business.<\/p>\n

Gestisco la conformit\u00e0 normativa, con particolare attenzione a direttive europee come NIS2 e DORA, e coordino la revisione di policy, procedure e controlli, anche in ambito contrattuale. Essendo un system integrator, Italtel si colloca in una posizione privilegiata tra tecnologia e mercato: da un lato dialoghiamo con i fornitori, dall\u2019altro supportiamo i clienti nella loro trasformazione digitale. Questo duplice ruolo rende la funzione del CISO ancora pi\u00f9 critica, anche in termini di comunicazione con la direzione, auditing e valutazione dei rischi esterni e interni.<\/p>\n\t\t\t<\/div>\n\t\n\t

\n\t\t\n\n

2) Come affronti la protezione dell\u2019infrastruttura della tua azienda dalle minacce informatiche?<\/h2>\n\t\t\t<\/div>\n\t\n\t
\n\t\t\n\n

Sembrer\u00e0 scontato (e non lo \u00e8), ma il primo passo \u00e8 avere piena visibilit\u00e0 degli asset in rete, verificarne periodicamente lo stato, alla ricerca di eventuali componenti non censite (shadow IT).<\/p>\n

La seconda attivit\u00e0 mira a verificare il perimetro dell’infrastruttura, includendo sia la parte interna che esterna (ad esempio leggi e cloud), al fine di comprendere la superficie esterna di esposizione.<\/p>\n

Il passo successivo consiste nell\u2019implementazione dei controlli specifici standard: firewalling, sistemi di rilevamento delle intrusioni (NDR), e segmentazione della rete sono passaggi essenziali, insieme al Vulnerability Management e alla conduzione di Penetration Test periodici. Spesso sottovalutata, una componente chiave \u00e8 l\u2019installazione di agent (sia XRD, EDR, client di SIEM o altro) su ogni server per abilitare e velocizzare tutte le analisi in caso di possibile o avvenuta compromissione.<\/p>\n

Tutto questo si integra con una solida gestione delle identit\u00e0 e degli accessi (aziendali e dei fornitori), secondo il principio del minimo privilegio, implementando meccanismi di MFA (Multi-Factor Authentication).<\/p>\n

A queste attivit\u00e0 progettuali deve essere affiancata un\u2019attivit\u00e0 costante di monitoraggio e analisi tramite piattaforme SIEM (Security Information and Event Management), che permettano di individuare anomalie e comportamenti sospetti in tempo reale. Questo presuppone che a livello aziendale siano stati strutturati processi di incident response, aggiornati e testati regolarmente.<\/p>\n

Infine, implementerei una soluzione di Threat Intelligence per migliorare la rilevazione degli incidenti e per comprendere la tipologia di minacce specifiche che potrebbero colpire l\u2019azienda.<\/p>\n\t\t\t<\/div>\n\t\n\t

\n\t\t\n\n

3) Quali strategie stai adottando per rafforzare la cultura della sicurezza e gestire i rischi nella supply chain?<\/h2>\n\t\t\t<\/div>\n\t\n\t
\n\t\t\n\n

La gestione della supply chain \u00e8 questione fondamentale e sul tavolo della sicurezza da diversi anni, ancora prima del recepimento delle direttive DORA o NIS2.<\/p>\n

Le normative rafforzano la priorit\u00e0 di questa gestione introducendo la responsabilit\u00e0 anche della propria catena di fornitura e, di conseguenza, alzando priorit\u00e0 e attenzione su questa gestione.<\/p>\n

Dal mio punto di vista, agisco secondo due paradigmi: di Governance (il primario) e Tecnologico.<\/p>\n

Dal punto di vista della Governance, ho la necessit\u00e0 di veicolare le nuove richieste di cybersecurity per via contrattuale, quindi operando a stretto contatto con il team Legal e Procurement. La revisione prevede la creazione di addendum specifici di sicurezza da applicare agli standard contrattuali attualmente in uso.<\/p>\n

Ma l\u2019attivit\u00e0 contrattuale non avrebbe un impatto efficace se non fosse affiancata da un\u2019attivit\u00e0 di auditing dei fornitori. Tanto pi\u00f9 questa verifica sar\u00e0 accurata, maggiore il risultato di attenzione alla sicurezza dei nostri partner.<\/p>\n

In ultimo, se non gi\u00e0 presente, occorre lavorare insieme al team del Procurementper definire e classificare l\u2019importanza dei propri fornitori per averne una scala gerarchica.<\/p>\n

Dal punto di vista tecnico, possiamo lavorare su due fronti:<\/p>\n

    \n
  • Interno: di accesso, controllo e verifica delle attivit\u00e0 dei fornitori sulla mia rete, attraverso le classiche attivit\u00e0 di segmentazione, least privilege access, MFA, etc\u2026. Questo per isolare ogni singolo fornitore al proprio ambito di competenza;<\/li>\n
  • Pubblico: attraverso l\u2019utilizzo della Cyber Threat Intelligence (CTI) per valutare lo stato di postura pubblica che ha il mio partner. Chiaramente, non \u00e8 un metro di valutazione della reale sicurezza del fornitore, ma un proxy per la valutazione dell\u2019attenzione alla sicurezza in generale.<\/li>\n<\/ul>\n

    L\u2019unione della classificazione per importanza dei fornitori con la scala di sicurezza ipotetica proveniente dalla CTI d\u00e0 luogo a una matrice complessiva del rischio che ci pu\u00f2 aiutare nella selezione dei fornitori da attenzionare in primis.<\/p>\n

    In un contesto in cui la sicurezza \u00e8 parte integrante della strategia aziendale, costruire una cultura solida, condivisa e verificabile \u00e8 il primo vero fattore abilitante per innovare in modo sostenibile.<\/p>\n\t\t\t<\/div>\n\t\n\n\t\t<\/div>\n\t\t\t\t\n