📚 Chi è il CISO e perché enti e aziende dovrebbero averne uno

Immaginate di essere il dirigente di un ente o il manager di una grande azienda. Su di voi gravano tantissime responsabilità quotidiane, ogni minuscola scelta, ogni decisione viene sottoposta a voi. Sentite sulle spalle il peso dell'intera organizzazione. Un giorno arrivate in ufficio e scoprite che tutti i computer sono bloccati a causa di un ransomware. Il reparto IT cerca di dare una mano, ma non ci sono policy o procedure operative che stabiliscano cosa fare in concreto. Ne è come comportarsi anche solo per la notifica al CSIRT dell'incidente. Nel giro di poco tempo vi arriva la notizia di un'ispezione ordinata dalla CN per verificare che la vostra organizzazione fosse a posto con tutti gli obblighi previsti dalla NIS2 o dal DORA o da qualunque sia la normativa di cyber security che si applica al vostro settore. Avreste proprio bisogno di una vacanza. Ma meglio ancora, avreste proprio bisogno di un CISO. Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di una figura professionale che sta diventando sempre più cruciale nel panorama aziendale italiano: il CISO, acronimo che sta per Chief Information Security Officer. Esploreremo il suo ruolo, le sue responsabilità, le competenze necessarie e anche perché ogni azienda o ente, soprattutto alla luce delle nuove normative, dovrebbe considerare seriamente di nominarne uno. Partiamo dall'inizio: chi è il CISO? Il CISO, appunto Chief Information Security Officer, è il responsabile della sicurezza delle informazioni all'interno di un'organizzazione. Ma attenzione, non stiamo parlando del tecnico che risolve problemi con le password o installa gli antivirus. Il CISO è una figura manageriale di alto livello che si occupa di proteggere l'intero patrimonio delle informazioni dell'azienda. Il immaginiamolo come l'RSPP ma dedicato alla sicurezza informatica dell'organizzazione anziché alla sicurezza dei lavoratori. L'origine di questa figura risale agli anni '90, ovviamente con la nascita dei primi attacchi informatici. Le aziende in quel periodo iniziarono a riconoscere l'importanza di proteggere non solo i propri locali, i propri asset, i propri dispositivi, ma anche proprio le proprie informazioni digitali. Pensiamo a un'azienda come la Coca-Cola Company che capisce che la ricetta della Coca-Cola è in pericolo perché potrebbe essere rubata da un hacker. È chiaro che è un'informazione cruciale per cui occorre trovare qualcuno che si occupi di mantenere sicura tutta l'azienda proprio per proteggere le informazioni più rilevanti. All'inizio il ruolo del CISO era di natura per lo più tecnica, poi con l'evoluzione delle minacce informatiche e la crescente digitalizzazione delle organizzazioni si si è trasformato in una figura di natura per lo più strategica che coordina i vari reparti, decide cosa deve essere fatto, crea delle policy e delle procedure aziendali, eccetera eccetera. In Italia ancora questa figura non è tanto diffusa e direi che ne abbiamo bisogno più degli altri dal momento che siamo uno dei paesi più colpiti in assoluto dagli attacchi informatici. Eppure la realtà dei fatti è che noi come paese investiamo pochissimo nella sicurezza informatica. Le cose iniziano a cambiare un po' adesso con le nuove normative europee come la NIS2 e il DORA, oltre alla Legge 90/2024 che ha introdotto l'obbligo per molte amministrazioni pubbliche di nominare proprio un referente per la cyber sicurezza, che potrebbe essere individuato proprio nel CISO. Ma cosa fa concretamente un CISO? Le sue principali responsabilità si possono dividere in 3 grandi aree: 1. responsabilità strategiche. Il CISO definisce la strategia di sicurezza dell'organizzazione, Questo significa che il CISO avrà il compito di sviluppare dei piani pluriennali per migliorare progressivamente la sicurezza dell'azienda, allineare questa strategia di sicurezza agli obiettivi di business, perché non è che può semplicemente chiedere 10 milioni di euro per aumentare la sicurezza, deve chiaramente inserirsi un po' nella strategia globale di tutta l'azienda, deve valutare continuamente il panorama delle minacce e le nuove vulnerabilità, quindi tenendosi anche costantemente informato, e deve promuovere anche una cultura della sicurezza all'interno dell'organizzazione, facendo anche magari della formazione dipendenti su tutte le minacce, su quello che potrebbe succedere. 2. Attività operative e di governance. A livello operativo il CISO sviluppa e implementa procedure per gestire gli attacchi informatici nel caso in cui si verificassero, definisce le regole e gli standard per la gestione del rischio, determina il livello di sicurezza e propone delle soluzioni per migliorare la capacità di risposta alle minacce. Insomma, prende tutto quello che ha stabilito a livello strategico e lo porta a terra, lo concretizza. Questo vale soprattutto per la gestione degli incidenti di sicurezza. Se si verifica un attacco hacker, il CISO diventa proprio la figura chiave per coordinare la risposta fra tutti i reparti, per minimizzare i danni e tornare prima possibile alle normali operazioni. 3. Coordinamento dei vari settori. Uno degli aspetti più interessanti del ruolo del CISO è la sua natura trasversale. Il CISO non non lavora mai da solo, collabora invece con le diverse funzioni aziendali, ad esempio con l'ufficio risorse umane per gestire tutti gli account aziendali, stabilire ad esempio ogni quanto va cambiata la password, chi deve avere accesso a cosa in base al ruolo, poi per definire anche le policy ad esempio per lo smart working e ovviamente anche pianificare la formazione sulla sicurezza. Collabora chiaramente anche con il consiglio di amministrazione per stabilire gli obiettivi e il budget dedicati alla sicurezza informatica. Inutile dire che si coordina strettamente con il reparto IT, quindi proprio con il reparto informatico, e con il CIO, che è il Chief Information Officer, se nominato, per concretizzare le strategie decise anche dal punto di vista tecnico. Quindi decide ad esempio quale firewall implementare e poi si coordina col reparto tecnico che lo andrà materialmente a installare. E in generale collabora con tutti i reparti che usano una qualche forma di tecnologia. Per stabilire come si devono comportare e quali misure di sicurezza devono adottare. Una cosa che spesso non viene capita è che il CISO non è quello che si occupa di installare l'antivirus in azienda, quello lo può fare benissimo il reparto tecnico. Il CISO dà la strategia, lui non installa l'antimalware, lui o lei ovviamente controlla se c'è l'antimalware, se non c'è organizza il budget in modo da installarne uno valido stabilisce le policy su quando l'antimalware dovrà fare la scansione, su cosa deve succedere se rileva un virus su uno dei computer e così via. Poi l'installazione in sé la fa comunque il reparto IT, il CISO consiglia e coordina. Quali competenze dovrebbe avere un valido CISO? Questo è un tasto un po' dolente, io darò il mio punto di vista sulla base della mia esperienza che magari non è quello che possono pensare altre persone con esperienze diverse. Un buon CISO deve sicuramente avere delle competenze tecniche. Non posso prendere qualcuno che ha imparato ieri ad accendere il computer. Deve essere qualcuno che sa cos'è una segmentazione di rete, che sa come funziona un firewall, che caratteristiche dovrebbe avere un valido antimalware, se in base all'azienda è meglio un backup in cloud oppure in locale, e così via. D'altra parte, queste sono più o meno tutte cose che potrebbe sapere anche il reparto IT, per cui è evidente che il CISO dovrebbe avere anche qualche altro tipo di competenza. Sicuramente dovrebbe essere più verticalizzato sulla sicurezza informatica, quindi non solo sull'informatica in sé, ma proprio sulla parte di sicurezza. Deve avere anche delle ottime capacità comunicative, perché se deve spiegare a tutti i dipendenti che cos'è il phishing o come capire se un allegato a una mail non è sicuro e così via, deve essere in grado di prendere un argomento difficile, un argomento tecnico, e spiegarlo anche con delle metafore, portarlo all'attenzione di tutti, saper fare delle esercitazioni. Delle competenze in ambito legal poi sicuramente non guastano, dal momento che comunque è il soggetto che dovrebbe permetterci di evitare le sanzioni, deve saper leggere e interpretare una norma, capire cosa c'è da fare in concreto per essere a posto con le normative. D'altra parte ancora, e questo lo dico da avvocato, non basta essere un giurista, perché anche se io sono un avvocato con zero competenze tecniche, non sarò in grado di fare tutto il resto, quindi fare formazione, dare indicazioni su come comportarsi. Saprò leggere la norma ma non saprò fare quello che c'è da fare. Di fatto quello che ci vorrebbe è o qualcuno che ha fatto un percorso verticale sulla sicurezza informatica, che quindi sa fare tutte queste cose, o un team di persone con competenze diverse, così ciascuno fa il suo. Di certo ad oggi c'è un vuoto di mercato non indifferente. È una carriera che ha sicuramente senso intraprendere se una persona persona è appassionata di tecnologia informatica ma ha anche buone capacità comunicative, basterebbe già per iniziare almeno una certificazione di qualche tipo su questo tema e già si apre la strada a tantissimi sviluppi di carriera. Parliamo ora di un aspetto molto concreto e un po' più terra terra: quanto costa un CISO? È un investimento che vale la pena fare? Chiaramente dipende molto dal prezzo. Fare una stima diretta è impossibile, dipende tutto dalle competenze del CISO, dall'esperienza che ha, anche dalle dimensioni dell'azienda o dell'ente, quello che serve quindi e così via. Una valutazione che va fatta prima di tutto il resto è capire se assumere qualcuno come dipendente oppure stipulare un contratto con un consulente esterno. Una cosa che può valere la pena fare è prendere qualcuno del reparto IT che possa essere interessato al tema della sicurezza informatica e iscriverlo a dei percorsi ad hoc, soprattutto per le imprese medio-piccole. Per le aziende più grandi o gli enti conviene invece distinguere le due figure e avere quindi il tecnico da una parte e l'esperto di sicurezza informatica dall'altra, perché altrimenti il carico di lavoro diventa eccessivo per una persona sola. Sulla questione se sia meglio un CISO subordinato, quindi un dipendente, oppure un consulente, tutto dipende dalle esigenze concrete dell'organizzazione e dai fondi disponibili. Un consulente esterno, a livello di costi complessivi, può sicuramente costare meno, sarà anche però meno disponibile rispetto a un dipendente che è lì tutti i giorni, 8 ore al giorno. Diciamo che se io fossi un'azienda che opera nel settore dei servizi cloud, lo vorrei interno, deve essere sempre lì, i rischi sono troppo alti, meglio averlo a disposizione sempre in caso di necessità. Se fossi un comune da 20.000 abitanti prenderei magari un consulente esterno che viene al bisogno quando c'è da fare un audit, una formazione, se capita un incidente e così via. Ovvio che oltre al costo del CISO vanno considerati i costi per implementare le misure che il CISO consiglia. È ovvio anche che è meglio seguire i suoi consigli. Quindi se il CISO mi dice installa questo anti-malware, costa non so 100 euro l'anno, devo mettere in conto anche quel costo lì. E ovviamente meglio metterlo a budget e seguire il suo consiglio che ignorarlo. Diciamo che ogni azienda e ogni ente che si rispetti dovrebbe avere un budget dedicato alla sicurezza informatica. Oggi è molto più probabile che si verifichi un attacco hacker piuttosto che un incendio Eppure gli estintori li hanno tutti, l'antimalware non ce l'ha quasi nessuno. E dire che c'è un proverbio nel mondo della cyber security che dice: "Ci sono due tipi di aziende: quelle che sanno di essere state hackerate e quelle che non lo sanno." E su questa nota colorata di panico chiudo il video. Bene, come sempre spero che il video vi sia piaciuto, lasciate un like e un commento se volete che approfondisca qualche tema in particolare. Noi ci vediamo al prossimo video.