Competenze per i professionisti della sicurezza

La pianificazione e l’applicazione di processi e procedure in tutta l’organizzazione per la gestione del rischio relativo al successo o all’integrità dell’azienda, specialmente quelli derivanti dall’utilizzo dell’informatica, dalla riduzione o non disponibilità delle risorse energetiche o dallo smaltimento inappropriato di materiali, hardware o dati.

La selezione, la progettazione, la giustificazione, l’applicazione e l’utilizzo di controlli e strategie di gestione per mantenere la sicurezza, la riservatezza, l’integrità, la disponibilità, la responsabilità e la conformità rilevante dei sistemi informativi alla legislazione, alle normative e agli standard rilevanti.

La protezione di integrità, disponibilità, autenticità, assenza di ripudio e riservatezza delle informazioni e dei dati archiviati e in transito. La gestione dei rischi in maniera pragmatica ed economica per assicurare la fiducia degli interessati.

La governance complessiva di come tutti i tipi di informazioni, strutturate e non strutturate, prodotte internamente o esternamente, siano utilizzati a supporto del processo decisionale, dei processi aziendali e dei servizi digitali. Comprende sviluppo e promozione di strategia e politiche che coprono la progettazione di strutture informative e tassonomie, l’impostazione di politiche per l’approvvigionamento e la manutenzione del contenuto di dati e lo sviluppo di politiche, procedure, pratiche di lavoro e formazione per promuovere la conformità alla legislazione che regola tutti gli aspetti della conservazione, dell’utilizzo e della comunicazione dei dati.

La valutazione indipendente della conformità di qualsiasi attività, processo, risultato, prodotto o servizio ai criteri di standard specificati, migliori procedure o altri requisiti documentati. Può essere correlato, ad esempio, alla gestione dei beni, agli strumenti di sicurezza della rete, ai firewall e alla sicurezza su Internet, alla sostenibilità, ai sistemi in tempo reale, alla progettazione dell’applicazione e a certificazioni specifiche.

Raccolta, elaborazione, preservazione, analisi e presentazione di prove forensi in base alla totalità dei risultati, tra cui le prove relative ai computer a supporto della mitigazione delle vulnerabilità di sicurezza e/o di indagini penali, relative a frodi, controspionaggio o per l’applicazione della legge.

La valutazione delle vulnerabilità organizzative attraverso la progettazione e l’esecuzione di test di penetrazione che dimostrano come un avversario possa sovvertire gli obiettivi di sicurezza dell'organizzazione o raggiungere obiettivi specifici antagonistici. I test di penetrazione possono essere un’attività autonoma o un aspetto dei test di accettazione prima di un’approvazione al funzionamento. L’identificazione di informazioni più approfondite sui rischi aziendali di varie vulnerabilità.

La fornitura di servizi amministrativi e per la gestione della sicurezza operativa. Tipicamente include l’autorizzazione e il monitoraggio dell’accesso all’infrastruttura o alle strutture IT, l’indagine dell’accesso non autorizzato e la conformità alla legislazione rilevante.

Lo sviluppo e lo sfruttamento della competenza in qualsiasi area specifica dell’informatica o della tecnologia delle comunicazioni, del lavoro digitale, delle specificità in termini di tecniche, metodologie, prodotti o aree applicative, ai fini di fornire consulenza specialistica.

La fornitura di supporto e pianificazione per la continuità del servizio, nell’ambito della funzione che pianifica la continuità aziendale per l’intera organizzazione o in stretta collaborazione con la stessa. L’identificazione di sistemi informativi che supportano processi aziendali critici. La valutazione dei rischi per la disponibilità, l’integrità e la riservatezza dei sistemi critici. Il coordinamento di procedure di pianificazione, progettazione, test e manutenzione e di piani di emergenza per affrontare le esposizioni e mantenere i livelli concordati di continuità.

L’elaborazione e il coordinamento di risposte appropriate e tempestive ai rapporti degli eventi, comprese le richieste di canalizzazione per assistenza alle funzioni appropriate per la risoluzione, monitorando le attività di risoluzione e mantenendo i clienti a conoscenza dei progressi verso il ripristino del servizio.

La creazione sistematica di nuove conoscenze con la raccolta di dati, l’innovazione, la sperimentazione, la valutazione e la disseminazione. La determinazione degli obiettivi di ricerca e il metodo con cui la ricerca sarà svolta. La partecipazione attiva a una comunità di ricercatori; comunicare in modo formale e informale attraverso media digitali, conferenze, riviste, libri e seminari.

Lo sviluppo e il funzionamento di una capacità di misurazione per supportare le esigenze concordate di informazioni dell’organizzazione. La pianificazione, l’applicazione e il controllo di attività per misurare gli attributi di processi, prodotti e servizi al fine di valutare le prestazioni e il progresso e fornire indicazioni e informazioni sui problemi, sulle problematiche e sui rischi effettivi o potenziali. L’identificazione dei requisiti, la selezione delle misure e delle scale di misurazione, stabilendo metodi di raccolta e analisi dei dati, impostando valori target e soglie. La misurazione può essere applicata a organizzazioni, progetti, processi e prodotti di lavoro.

L’allineamento degli obiettivi di prestazioni dei fornitori di un’organizzazione e delle attività con strategie e piani di approvvigionamento, bilanciando i costi, le efficienze e la qualità del servizio. La stipula di relazioni di lavoro basate sulla collaborazione, sulla fiducia e sulla comunicazione aperta al fine di incoraggiare la co-innovazione e il miglioramento del servizio con i fornitori. Il coinvolgimento proattivo dei fornitori a vantaggio mutuo per risolvere incidenti operativi, problemi, prestazioni insoddisfacenti e altre sorgenti di conflitto. L’utilizzo di chiari percorsi di trasmissione ai livelli superiori per la discussione e la risoluzione delle problematiche. La gestione delle prestazioni e dei rischi tra più fornitori (interni ed esterni) utilizzando un insieme di misure concordate.

La gestione sistematica delle conoscenze vitali per creare valore per l’organizzazione catturando, condividendo, sviluppando e sfruttando le conoscenze collettive dell’organizzazione per migliorare le prestazioni, supportare il processo decisionale e mitigare i rischi. Lo sviluppo di una cultura supportiva e collaborativa di condivisione delle conoscenze per guidare la corretta adozione di soluzioni tecnologiche per la gestione delle conoscenze. Fornire accesso a conoscenze informali e tacite nonché a conoscenze formali, documentate, esplicite facilitando la collaborazione e le comunicazioni interne ed esterne.

Il trasferimento di abilità aziendali e/o tecniche e la conoscenza e promozione di attitudini professionali al fine di facilitare l’apprendimento e lo sviluppo. Utilizza una gamma di tecniche, risorse e supporti (che potrebbero includere eLearning, ambienti virtuali on-line, autovalutazione, apprendimento assistito da colleghi, simulazione e altri metodi attuali).

L’identificazione, l’analisi, la gestione, il monitoraggio e il miglioramento sistematici delle relazioni con gli interessati per puntare a risultati mutuamente benefici e migliorarli. Guadagna l’impegno all’azione attraverso la consulenza e la considerazione degli impatti. Progetta l’approccio di gestione delle relazioni da intraprendere, inclusi i ruoli e le responsabilità, la governance, le politiche, i processi, gli strumenti e i meccanismi di supporto. Combina creativamente i canali di comunicazione formali e informali al fine di ottenere il risultato desiderato.