Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Partire dalle decisioni, non dai dati disponibili
NIST SP 800-55 Volume 1 propone di selezionare e prioritizzare le misure in base agli obiettivi informativi. Prima di costruire un cruscotto occorre quindi chiarire quali decisioni deve sostenere: ridurre l’esposizione, finanziare una remediation, accettare un rischio o verificare un servizio.
Le metriche operative restano necessarie, ma non tutte appartengono al report direzionale. Numero di alert, eventi e ticket va tradotto in copertura, rischio, tempo di risposta o capacità di recupero, conservando la possibilità di risalire al dato originario.
- Decisione supportata e destinatario
- Rischio o obiettivo collegato
- Definizione e formula non ambigue
- Fonte, frequenza e proprietario del dato
- Soglia, tendenza e azione prevista
Usare un portafoglio piccolo e bilanciato
Un insieme leggibile copre almeno prevenzione, rilevazione, risposta, ripristino e governance. Esempi concreti sono copertura MFA sugli account privilegiati, vulnerabilità critiche oltre soglia, tempo di presa in carico degli incidenti, esito dei restore test e azioni di rischio scadute.
CISA presenta i Cybersecurity Performance Goals come pratiche prioritarie e misurabili. Non sono una certificazione né un cruscotto universale: aiutano a scegliere risultati ad alto impatto, da adattare al contesto e alle priorità dell’organizzazione.
- Copertura dei controlli sui sistemi in perimetro
- Eccezioni e scadenze, non sola conformità media
- Tempi di rilevazione, contenimento e recupero
- Risultati di test ed esercitazioni
- Rischi aperti, accettati e in riduzione
Dichiarare qualità e limiti della misura
Ogni KPI dovrebbe riportare periodo, perimetro, esclusioni e qualità del dato. Un valore al 100% può nascondere asset non censiti; una riduzione degli incidenti può dipendere da minore visibilità. NIST SP 800-55 richiama documentazione, validazione, incertezza e revisione delle misure.
Il riesame verifica se il KPI continua a orientare decisioni e comportamenti corretti. Metriche diventate facili da soddisfare, costose da raccogliere o scollegate dal rischio vanno modificate o ritirate, registrando il cambiamento per non falsare le serie storiche.
- Perimetro e data di estrazione
- Copertura e affidabilità della fonte
- Confronto con soglia e periodi precedenti
- Commento sulle cause, non solo sul valore
- Decisione, responsabile e verifica successiva
Domande frequenti
Quanti KPI servono alla direzione?+
Non esiste un numero universale. Un cruscotto compatto con pochi indicatori collegati a rischi e decisioni è generalmente più utile di decine di misure operative senza priorità.
Il numero di attacchi bloccati è un buon KPI?+
Da solo raramente. Dipende da sensori, perimetro e classificazione e non descrive necessariamente il rischio residuo. Va contestualizzato con copertura, impatto e tendenza.
KPI e KRI sono la stessa cosa?+
No. I KPI descrivono prestazioni o risultati di attività; i KRI segnalano esposizione o variazioni del rischio. In pratica possono essere presentati insieme, purché definizioni e uso siano chiari.