Il CISO – acronimo di chief information security officer – è una figura professionale che all’interno di un’azienda può portare grossi vantaggi a livello di sicurezza. Una sicurezza che oggi deve essere un punto di riferimento se vuoi gestire un’impresa in modo virtuoso.
Le imprese che investono nella sicurezza del settore IT possono anticipare criticità e risolvere delle minacce che causano perdite economiche e danni sotto diversi punti di vista.
Per affrontare temi come il GDPR e la direttiva NIS 2 bisogna affidarsi a un direttore della sicurezza informatica capace di impostare una strategia di protezione per ridurre al minimo i possibili rischi informatici. E proporre delle soluzioni per affrontare eventuali minacce.
Indice dei contenuti
Chi è il CISO, una definizione chiara
Lo Chief Information Security Officer, noto anche come CISO, è un professionista con profilo senior che stabilisce e coordina tutte le attività legate alla sicurezza del settore IT, rispettando gli obiettivi del business e i programmi stabiliti. Le responsabilità del CISO:
- Studio del contesto.
- Sviluppo di una strategia di sicurezza.
- Implementazione dei passaggi.
- Monitoraggio e adeguamento.
- Reportistica delle attività.
Avere un CISO adeguato alle esigenze aziendali è fondamentale perché in questo modo si può mettere in sicurezza l’intero sistema informatico, accertandosi che non solo la rete ma anche i dispositivi utilizzati negli uffici siano sempre difesi da minacce esterne.
L’importanza di un CISO in azienda riguarda soprattutto la gestione del rischio informatico che deve essere quanto più ridotta possibile per abbassare i potenziali costi di un attacco.
“The global average cost of a data breach in 2023 was USD 4.45 million, a 15% increase over 3 years”.
IBM
Mettiamo da parte i numeri globali. Secondo la IBM, in Italia il costo medio di un cyberattacco è stato di 3,7 milioni di euro se consideriamo interruzione o rallentamento delle attività, furto di dati, danni d’immagine, costi di ripristino e spese legali. Per questo diventa fondamentale non solo avere dei professionisti in grado di rilevare e analizzare il malware: serve un approccio strutturato che può dare un Chief Information Security Officer.
Quali sono gli obiettivi di un CISO in azienda?
Per svolgere la propria attività, un CISO deve concentrarsi prima di tutto sulla condivisione della strategia e delle informazioni con il resto dei dipendenti. Se c’è un coinvolgimento generale, ognuno può fare la propria parte rispettando i protocolli di sicurezza e imparando i comportamenti da seguire in caso di attacco o gestione di un incidente.
Per questo è importante avere una vision chiara e una buona comunicazione tra i reparti, in modo da essere sempre coscienti dei rischi e delle possibili ripercussioni sul business.
Il secondo obiettivo è coordinare delle policy sempre aggiornate e adeguarsi ai cambiamenti e agli eventi interni all’azienda. Allinearsi con il contesto in cui ci si trova è il modo migliore per assicurare una protezione efficace e mostrarsi al passo con la direzione del business.
Infine un CISO dovrebbe adottare un framework ad hoc per la sicurezza delle informazioni, che tenga conto del modello di business, della compliance e dell’infrastruttura IT presenti.
Cosa fa un CISO: le mansioni in azienda
La figura del CISO è versatile perché, in base all’azienda in cui si trova e al compito specifico che le viene affidato, può svolgere mansioni molto diverse tra loro. Non è un ruolo esclusivamente operativo ma anche dirigenziale e di responsabilità strategica.
Il Chief Information Security Officer non si occupa solo degli aspetti tecnici ma si impegna in attività di gestione e comunicazione, rivelando doti di problem solving e rapidità operativa.
Le mansioni di questa figura includono lo sviluppo di una strategia per implementare la sicurezza delle informazioni, gestione del rischio informatico e la pianificazione della risposta da implementare. Nel concreto un Chief Information Security Officer si occupa di:
- Sviluppare e implementare processi per gestire attacchi informatici.
- Creare un Security Operation Center – SOC – interno all’azienda.
- Individuare le regole e gli standard per la gestione del rischio.
- Determinare il livello di sicurezza e migliorare la reazione alle minacce.
- Implementare le infrastrutture adeguate per garantire sicurezza.
- Giustifica gli investimenti proposti per la cyber security.
- Educare e gestire il rischio in collaborazione con i leader aziendali.
- Valutare continuamente il pericolo informatico da affrontare.
- Gestire il processo di cyber governance in ogni sua fase.
- Decidere quali sono le policy e gli strumenti più adeguati alla condizione.
Uno dei ruoli fondamentali del direttore della sicurezza informatica è la gestione degli incidenti. Anche se il suo compito è quello di fare in modo che non si verifichino, l’evento negativo può sempre esserci. In queste circostanze, il CISO deve rispondere con una strategia delineata in precedenza e caratterizzata da azioni specifiche e tempi brevi.
Dopo aver gestito la criticità, il CISO ha il compito di approfondire le analisi. In caso di attacco, conduce delle indagini forensi, collaborando con risorse interne o specialisti esterni.
Quali competenze deve avere un CISO?
Per diventare un professionista di questo tipo, e ambire a un ruolo di prestigio come Chief Information Security Officer, bisogna specializzarsi nel settore della sicurezza IT. Un CISO deve definire i processi e le operazioni per limitare i rischi inerenti all’uso della rete.
Per questo è necessario avere solide conoscenze tecnologiche e mantenersi aggiornati su ogni tipo di violazione o attacco informatico che potrebbe minacciare il sistema.
Un Chief Information Security Officer deve acquisire le competenze necessarie per definire e implementare programmi di governance e controllo della sicurezza delle informazioni per la propria azienda. Deve sapere identificare i processi operativi per riconoscere il livello di tolleranza al rischio, definire le attività da svolgere e scegliere a quali risorse assegnarle.
È importante avere buone capacità manageriali e comunicative per poter coordinare le attività e creare un ambiente di cooperazione. Infine deve conoscere le leggi sulla privacy, le norme del GDPR e le varie regolamentazioni vigenti nei diversi Paesi e impegnarsi a farle rispettare all’azienda, ai dipendenti e ai collaboratori con cui il business entra in contatto.
Differenza con il Chief Information Officer (CIO)
Sigle simili ma significati differenti, anche se non troppo. Il Chief Information Officer (CIO) è il dirigente IT senior che definisce la strategia complessiva, le principali iniziative IT, i progetti di trasformazione digitale pensati per rendere l’azienda pronta ai cambiamenti.
Il CISO, invece, conferma la sicurezza delle soluzioni proposte dal CIO ma superando quella che è la classica visione che vede il primo subordinato al secondo.
Questa struttura organizzativa è obsoleta: oggi le imprese tendono a considerare il CISO in grado di interagire con diverse figure chiave all’interno dell’organigramma:
- Chief technology officer
- IT Service Manager
- Chief operating officer
- Chief executive officer
- Responsabile IT
- Chief risk officer
- Chief security officer
In ogni caso, l’auspicio è quello di vedere sempre CIO e CISO in grado di collaborare e dialogare apertamente e senza tensioni, in modo fruttuoso e regolare. L’interazione tra queste figure può aiutare l’azienda a migliorare il proprio livello di sicurezza.
Quanto guadagna un CISO: stipendio medio
Gli stipendi sono consistenti anche perché sono richieste competenze e responsabilità. È importante avere una persona con buone capacità organizzative e di gestione all’interno del proprio organico. Senza dimenticare gli obblighi dal punto di vista legale per chi gestisce grandi quantità di dati personali. Ma quanto guadagna al momento un CISO?
Si deve però tenere conto che i salari variano in base alle dimensioni dell’azienda, al prestigio del business e al settore in cui opera. In più hanno sempre un certo peso fattori come esperienza e anzianità. In Italia, secondo il Corriere della Sera, lo stipendio di un Chief information security officer con 2 anni di esperienza è di 60.000 euro lordi l’anno, 75.000 per chi si trova tra 3 e 5 anni. Si toccano punte di 100.000 euro dopo un lustro.
Il futuro del Chief Information Security Officer?
Il ruolo del CISO è diventato sempre più importante nel corso dei decenni, di pari passo con il proliferare delle minacce alla sicurezza informatica. Allo stesso tempo, la regolamentazione sulla privacy e sulla sicurezza dei dati è sempre più restrittiva.
I CISO sono ora più propensi a interagire direttamente con il CEO e stanno assumendo un ambito più ampio e una responsabilità superiore, con un maggiore focus strategico.
Quella del direttore della sicurezza informatica sarà un ruolo sempre più importante anche in vista dell’integrazione con l’Intelligenza Artificiale. Le realtà che si affidano a un Chief Information Security Officer non sono ancora tante, ma il margine di crescita è ampio.
