CISO: chi è e che ruolo ha in un’azienda

Il CISO è una figura professionale che all’interno di un’azienda o attività può portare grossi vantaggi a livello di sicurezza.

Vediamo nel dettaglio chi è e cosa fa.

Chi è il CISO

Lo Chief Information Security Officer, o CISO, è un professionista che in un’azienda coordina tutte le attività legate alla sicurezza, rispettando gli obiettivi del business e i programmi stabiliti.

Si occupa di proteggere l’intero sistema informatico di un’attività, accertandosi che non solo la rete ma anche i dispositivi siano sempre difesi a dovere.
Non ricopre un ruolo operativo, ma rappresenta un profilo consulenziale al quale rivolgersi per impostare le linee guida delle policy di sicurezza e accertarsi che vengano rispettate da tutti in maniera corretta.

Si può quindi definire come un direttore della sicurezza informatica, fondamentale per creare un ambiente di lavoro protetto da ogni minaccia e attento al rispetto di ogni norma legata al GDPR.

Cosa fa il CISO

La figura del CISO è estremamente versatile, perché in base all’azienda in cui si trova e al ruolo specifico che le viene affidato, può svolgere mansioni molto diverse tra loro.

Non si occupa, infatti, solo degli aspetti più tecnici riguardo alla sicurezza, ma si impegna anche in attività di gestione e comunicazione, rivelando spiccate doti di problem solving.

Nel concreto un Chief Information Security Officer si occupa di:

• Definire le policy: individua le regole e gli standard da seguire per la gestione della sicurezza.
  
• Valutare lo stato di sicurezza: determina il livello di sicurezza dell’azienda e definisce un piano strategico per migliorare la reazione alle cyber minacce.
  
• Definire le architetture: implementa le infrastrutture adeguate per garantire sicurezza.
  
• Analizzare i rischi: capisce quali sono i rischi reali e potenziali per l’azienda e decide quali sono le policy e gli strumenti più adeguati per contrastarli.
  
• Reagire agli incidenti: delinea dei piani di risposta per reagire in tempi brevi agli incidenti e limitarne gli effetti.
  
• Monitorare: tiene sotto controllo la rete e il traffico sviluppando un Security Operation Center – chiamato anche SOC – interno all’azienda o appoggiandosi a un provider esterno.
  
• Approfondire le indagini: in caso di attacco conduce delle indagini forensi, collaborando con risorse interne o specialisti esterni.

Tante attività complesse e diverse tra loro che combinate insieme permettono al CISO di creare un ambiente sicuro e improntato verso il raggiungimento degli obiettivi di business, senza temere rischi e minacce.

I tre principali obiettivi

Per svolgere la propria attività in maniera efficiente, un CISO è importante che lavori concentrandosi su tre obiettivi.

Il primo è la condivisione della strategia e delle informazioni con il resto dei dipendenti e del personale addetto. Se c’è un coinvolgimento generale, ognuno può fare la propria parte rispettando i protocolli di sicurezza e imparando i comportamenti da seguire in caso di attacco o gestione di un incidente.

Per questo è importante avere una vision ben chiara e una buona comunicazione tra i reparti, in modo da essere sempre coscienti dei rischi e delle possibili ripercussioni sul business.

Il secondo obiettivo è coordinare delle policy sempre aggiornate e adeguarsi ai cambiamenti e agli eventi interni all’azienda.
Allinearsi con il contesto in cui ci si trova è infatti il modo migliore per assicurare una protezione efficace e mostrarsi sempre al passo con la direzione che il business decide di prendere.

Infine un CISO dovrebbe adottare un framework configurato ad hoc per la sicurezza delle informazioni, che tenga conto del modello di business, della compliance e dell’infrastruttura IT presenti.

Quali competenze deve avere?

Per diventare un professionista di questo tipo, bisogna specializzarsi studiando tutto ciò che riguarda la sicurezza.
Un CISO deve infatti sapere definire i processi e le operazioni utili per limitare i rischi inerenti all’uso della rete e dei dispositivi digitali.

Per questo è necessario avere solide conoscenze tecnologiche e mantenersi aggiornati su ogni tipo di violazione o attacco informatico che potrebbe minacciare il sistema.

Un Chief Information Security Officer deve inoltre acquisire le competenze necessarie per delineare e implementare programmi di governance e controllo della sicurezza delle informazioni per la propria azienda.
Deve sapere identificare i processi operativi per riconoscere il livello di tolleranza al rischio, definire le attività da svolgere e scegliere a quali risorse assegnarle.

È importante avere buone capacità manageriali e comunicative per poter coordinare le attività e creare un ambiente di cooperazione.

Infine deve conoscere le leggi sulla privacy, le norme del GDPR e le varie regolamentazioni vigenti nei diversi Paesi e impegnarsi a farle rispettare all’azienda, ai dipendenti e ai collaboratori con cui il business entra in contatto.

Quanto guadagna un CISO

Il CISO è una figura che nel mondo è sempre più presente all’interno delle aziende, ma che in Italiasta ancora faticando a farsi spazio nel mondo del lavoro.

Le imprese che si affidano a un Chief Information Security Officer non sono ancora numerosissime – meno del 30% – ma Il margine di crescita per chi svolge questo lavoro è ancora molto ampio e si prevede che questa figura possa in breve tempo avere un vero e proprio boom.
Basta considerare, infatti, quanto siano in aumento gli attacchi informatici e quanto sia importante avere una persona con buone capacità organizzative e di gestione all’interno del proprio organico.

Si stima inoltre che le attività che sfruttano le competenze di professionisti di questo tipo siano più coscienti di quali sono realmente le minacce alla sicurezza e abbiano più fiducia nelle proprie capacità di difesa contro gli attacchi.

Alla luce di questi dati, quindi, quanto guadagna al momento un CISO?

Nel mondo i compensi si aggirano intorno ai 160.000 dollari, con picchi anche di 200.00 dollari, ma in Italia le cifre sono molto più basse e superano di poco i 60.000 euro annui.

Si deve però tenere conto che i salari variano in base alle dimensioni dell’azienda, al prestigio del business e al settore in cui opera.
In più hanno sempre un certo peso fattori come esperienza e anzianità.