Un report di sicurezza è utile soltanto se aiuta qualcuno a decidere o ad agire. Quando invece circola perché “va fatto”, rischia di diventare un allegato che nessuno legge: molti indicatori, poche priorità, nessuna conseguenza operativa.
Pianificare le comunicazioni del SGSI non significa aumentare il numero delle riunioni o produrre una dashboard per ogni funzione. Significa decidere prima quali informazioni servono, a chi, quando e per quale scelta concreta. È così che la sicurezza smette di essere un flusso di aggiornamenti tecnici e diventa una parte governabile del lavoro aziendale.
Partire dalle decisioni, non dai documenti disponibili
Un errore frequente è costruire il report con ciò che è già facilmente misurabile: numero di ticket, alert gestiti, aggiornamenti eseguiti, formazione completata. Sono dati potenzialmente utili, ma non bastano a guidare una decisione.
Conviene partire dall’altra parte. La direzione può dover scegliere se finanziare un intervento, accettare temporaneamente un rischio, rinviare un cambiamento, coinvolgere un fornitore o verificare la continuità di un servizio. Chi gestisce le attività operative può dover correggere una configurazione, completare un’azione di trattamento o segnalare un’anomalia. A ogni decisione devono corrispondere informazioni comprensibili e proporzionate.
Per esempio, non serve inviare alla direzione l’elenco completo delle vulnerabilità rilevate. Può essere più utile evidenziare quali riguardano servizi critici, quali hanno una scadenza operativa, quali richiedono risorse non previste e quale decisione è richiesta. Il dettaglio tecnico resta disponibile per chi deve lavorarci; la sintesi serve a chi deve orientare le priorità.
Distinguere destinatari, responsabilità e linguaggio
La stessa informazione non deve essere presentata nello stesso modo a tutti. Un responsabile IT ha bisogno di elementi per intervenire; un process owner deve capire l’impatto sul proprio servizio; CdA, amministratore unico o figure con effettive responsabilità direttive hanno bisogno di conoscere rischi, opzioni e decisioni da assumere.
Una matrice semplice può rendere espliciti quattro aspetti:
- destinatario della comunicazione;
- evento o frequenza che la attiva;
- contenuto essenziale e livello di dettaglio;
- azione attesa o decisione da registrare.
Questo aiuta anche a evitare formule vaghe come “informare il management”. Chi deve essere informato? Entro quando? Deve soltanto prendere atto, autorizzare una spesa, scegliere una priorità o riesaminare un rischio? Se queste risposte restano implicite, la comunicazione non è davvero pianificata.
Usare frequenze che seguono il lavoro reale
Una frequenza fissa non è sempre un segno di maturità. Un report mensile può essere adeguato per monitorare un piano di miglioramento, mentre un incidente, un’interruzione di servizio o una modifica rilevante richiedono una comunicazione più rapida e con destinatari diversi.
È utile distinguere almeno tre ritmi. Il primo è periodico: aggiornamenti su obiettivi, azioni aperte, indicatori e tendenze. Il secondo è legato a eventi: anomalie rilevanti, eccezioni, cambiamenti di fornitori o servizi, risultati di test e audit. Il terzo è decisionale: quando una scelta non può essere lasciata al livello operativo perché modifica priorità, risorse, rischio residuo o continuità.
Questa distinzione evita due estremi: silenzio fino al riesame annuale oppure notifiche continue che rendono invisibili le questioni importanti. Il criterio non è “quanto spesso inviare un report”, ma quando un’informazione deve cambiare un comportamento o una decisione.
Rendere leggibili priorità, stato e scelte richieste
Un buon report non prova a raccontare tutto. Distingue ciò che è sotto controllo da ciò che richiede attenzione e, soprattutto, rende visibile la scelta richiesta. Una struttura essenziale può prevedere: contesto, tema prioritario, impatto possibile, opzioni disponibili, responsabile proposto e data di riesame.
Se un’azione è in ritardo, ad esempio, non basta colorarla di rosso. Occorre chiarire se il ritardo aumenta l’esposizione, se dipende da una risorsa mancante, se è stata valutata un’alternativa e chi può decidere il passo successivo. In questo modo il report collega evidenza e governo, invece di limitarsi a registrare uno stato.
La chiarezza vale anche per le buone notizie. Dire che un test è stato completato è meno utile che indicare quale scenario è stato verificato, che cosa è emerso e quale azione di miglioramento è stata assegnata. Le evidenze diventano così una base per apprendere, non un archivio da consultare soltanto in audit.
Collegare comunicazioni, azioni e riesami
La comunicazione si chiude quando produce una traccia coerente: una decisione, un’azione assegnata, un’accettazione motivata o la conferma che non serve intervenire. Senza questo passaggio, riunioni e report possono creare l’illusione di presidio senza dimostrare che qualcosa sia stato effettivamente governato.
È utile conservare evidenze proporzionate: agenda o input della riunione, dati discussi, decisione assunta, responsabile, data prevista e verifica successiva. Non è necessario trasformare ogni scambio in verbale formale. È necessario poter ricostruire, per i temi rilevanti, come l’organizzazione sia passata dall’informazione alla scelta e dalla scelta al controllo dell’esito.
Nel riesame, le domande concrete sono più efficaci delle formule generiche: le comunicazioni arrivano a chi può decidere? Le azioni rimangono aperte senza escalation? I destinatari ricevono un dettaglio adeguato? Le eccezioni ricorrenti mostrano un problema di pianificazione? Le risposte consentono di aggiornare il flusso senza appesantirlo.
Evitare la dashboard che nessuno usa
Una dashboard diventa inutile quando è progettata per dimostrare completezza, non per facilitare il lavoro. Prima di aggiungere un nuovo indicatore, vale la pena chiedersi: chi lo leggerà? Quale decisione potrebbe cambiare? Che cosa accade se il valore supera una soglia? Se non esiste una risposta, quel dato forse non deve entrare nel report periodico.
Un approccio sostenibile parte da pochi flussi critici e li rende affidabili: incidenti ed escalation, stato delle azioni di miglioramento, cambiamenti rilevanti, rischi che richiedono decisioni e risultati di verifiche. Con il tempo, l’azienda può affinare contenuti e frequenze sulla base dell’esperienza.
Conclusione
Pianificare le comunicazioni del SGSI significa creare collegamenti chiari tra informazioni, persone e decisioni. Il risultato non è un numero maggiore di report, ma un sistema in cui chi deve agire riceve il contesto necessario e chi deve governare vede priorità, opzioni e conseguenze. È un passaggio concreto per rendere la ISO/IEC 27001:2022 parte del lavoro quotidiano, senza trasformarla in burocrazia documentale.