CISO as a Service, un nuovo modo di intendere la sicurezza delle informazioni

Nell’ambito IT sta nascendo una nuova figura professionale che è quella del CISO as a Service, cioè quella del Chief Information Security Officer in grado di svolgere la propria attività in modalità “shared” o condivisa (CISO as a Service, per l’appunto) tra più aziende.

L’offerta CISO as a Service consente alle organizzazioni di rimanere concentrate sulla propria attività consentendo a terzi con comprovata esperienza di assumersi la responsabilità di proteggere la società, mantenendo al contempo un approccio flessibile ed economico.

Il CISO: chi è e cosa fa, anche alla luce del GDPR

È vero, infatti, che il continuo evolversi delle minacce informatiche e la crescita della complessità della sicurezza dovuta sia alla maggiore “competenza” e abilità dei cyber criminali sia all’ampliamento del perimetro di contenimento del rischio, rendono la governance della sicurezza un punto cruciale di ogni strategia aziendale.

Ancora troppe aziende sottovalutano questi rischi, anche se l’entrata in vigore del nuovo Regolamento europeo sulla protezione dei dati (Regolamento UE 2016/679) meglio noto come GDPR (General Data Protection Regulation) ha accesso un faro su questo tema. Le imprese stanno avviando processi per mettersi in regola e qualificare o introdurre figure manageriali in grado di gestire le problematiche di information security.

Uno di questi ruoli è proprio quello del Chief Information Security Officer (CISO).

Il CISO è il manager responsabile di definire una strategia di sicurezza informatica, di implementare programmi di protezione degli asset aziendali, di sviluppare e introdurre processi volti a mitigare i rischi informatici.

I compiti del Chief Information Security Officer possono variare a seconda del settore in cui opera. Si tratta di una figura estremamente poliedrica, dato che è in grado di comprendere gli aspetti tecnici relativi alla sicurezza ma possiede anche competenze manageriali e comunicative.

Gli obiettivi dell’attività del CISO devono comprendere i seguenti aspetti:

1. costruire una strategia di sicurezza delle informazioni all’interno dell’organizzazione;
2. identificare le minacce ed essere aggiornati sulle tipologie di minacce e di attacco;
3. identificare e gestire i rischi negli aspetti di sicurezza delle informazioni per comprendere le vulnerabilità e le minacce per l’azienda in modo da compiere scelte adeguate alla gestione del rischio cyber in termini di politiche e strumenti;
4. definire le architetture per la gestione della sicurezza e monitoraggio delle scelte strutturali;
5. classificare le informazioni e i dati trattati dall’organizzazione;
6. definire politiche e scrivere procedure di sicurezza;
7. definire ed implementare un piano di lavoro per il sistema di gestione per la sicurezza delle informazioni (SGSI);
8. gestire i problemi che coinvolgono leggi e regolamenti;
9. gestire la sicurezza delle informazioni anche in relazione al fattore umano;
10. supervisionare i processi di miglioramento della sicurezza delle informazioni;
11. promuovere la sicurezza delle informazioni presso i dipendenti dell’azienda;
12. comunicare con i professionisti IT impiegati dall’azienda allo scopo di colmare le lacune relative alla sicurezza (security by design);
13. fornire aggiornamenti sullo stato della sicurezza delle informazioni all’interno dell’organizzazione;
14. controllare il traffico sui diversi canali sviluppando eventualmente anche un Security Operation Center (SOC) interno all’azienda o collaborando con un provider esterno;
15. rispondere in tempi brevi in caso di data breach per limitarne gli effetti;
16. condurre indagini forensi in caso di incidente, collaborando con risorse interne o specialisti esterni.

Oltre alle competenze tecnologiche in ambito informatico e alla profonda conoscenza dell’attività di business, il CISO deve possedere numerose soft skills. Le principali caratteristiche di questa figura al centro della cyber security sono:

1. leadership: saper interagire con tutta l’organizzazione in modo da influenzarne le decisioni, al fine di crescere a livello di posizionamento organizzativo grazie ad una leadership forte;
2. pensiero strategico: generare e implementare idee innovative e in linea con gli obiettivi aziendali;
3. comunicazione: saper comunicare le scelte per la gestione del rischio e spiegare le soluzioni tecnologiche adottate;
4. team building: capacità di costruire un team di specialisti in cyber security e di stabilire relazioni con gli executive e i decision maker principali dell’azienda;
5. problem solving: prendere decisioni in tempi rapidi, valutando le possibili conseguenze nel lungo termine;
6. gestione delle crisi: gestire le situazioni critiche e la relativa comunicazione;
7. competenze tecnologiche: conoscenza di minacce, vulnerabilità, rischi e sistemi per la protezione della sicurezza;
8. comprensione del rischio: capacità di comprendere i potenziali rischi, legata alla capacità previsionale di scenari futuri;
9. approccio data-driven: gestire, analizzare e utilizzare i dati a supporto delle decisioni;
10. comprensione delle regolamentazioni: per raccogliere e trattare i dati online occorre conoscere le regolamentazioni in vigore nei diversi Paesi e le relative implicazioni in materia di sicurezza e protezione dei dati.

Rispetto al DPO (Data Protection Officer), figura introdotta dal GDPR per la protezione dei dati, il Chief Information Security Officer è molto meno diffuso in Italia: solo nel 47% delle grandi imprese questa figura è presente in maniera formalizzata. Nel 12% delle imprese si tratta solo di una figura informale, mentre nel 37% dei casi le mansioni proprie dell’Information Security Officer sono svolte dal CIO (Chief Information Officer) o da altre funzioni.

Questo “ritardo” del contesto italiano è particolarmente evidente per le piccole e medie aziende che costituiscono il principale tessuto economico dell’Italia. La ragione di tale situazione è da ricercarsi principalmente nel fatto che l’elevata professionalità e competenza necessaria per svolgere la funzione del CISO ha dei costi difficilmente compatibili con i budget limitati a disposizione delle aziende e nel fatto che l’attività non implica necessariamente un coinvolgimento ed un impegno continuativo.

Molte organizzazioni non sono infatti pronte ad assumere un Chief Information Security Officer (CISO) a tempo pieno, non hanno definito completamente le responsabilità del CISO all’interno della propria organizzazione o hanno un CISO che ha solo bisogno di più assistenza e guida da parte di un CISO esperto per aiutarlo a migliorare la sicurezza organizzativa complessiva o raggiungimento della conformità a standard e normative di sicurezza complessi.

Tuttavia, ciò non significa che le organizzazioni più piccole non necessitino dei servizi di un CISO; è solo che i termini di impegno e responsabilità sono nettamente diversi. Le aziende più piccole hanno bisogno di un CISO, ma non possono essere generalmente equiparate alle esigenze di una grande impresa. Mentre le grandi aziende sono sempre al centro di attacchi su larga scala, anche le PMI si trovano ad affrontare molte sfide da crimini organizzati. C’è sicuramente un po’ di riluttanza da parte delle piccole e medie imprese ad assumere un CISO a tempo pieno ma hanno i loro bisogni specifici di cui occuparsi.

Per le organizzazioni più piccole, è spesso difficile trovare i giusti talenti della cyber security con le competenze, l’esperienza e il background necessari per soddisfare i requisiti dell’organizzazione. È generalmente noto che uno su 5 professionisti della cyber sicurezza cambia lavoro entro un anno.

Il CISO as a Service: la soluzione giusta per le PMI

Da qui, come dicevamo all’inizio, la possibilità di ipotizzare l’attività di CISO in modalità “shared” o condivisa (CISO as a Service) tra più aziende. L’offerta CISO as a Service consente alle organizzazioni di rimanere concentrate sulla propria attività consentendo a terzi con comprovata esperienza di assumersi la responsabilità di proteggere la società, mantenendo al contempo un approccio flessibile ed economico.

L’offerta CISO as a Service può offrire la soluzione giusta per le esigenze aziendali e soddisfare i requisiti dell’organizzazione anche in termini di tempo dedicato (che può andare da 2 giorni al mese a 5 giorni alla settimana) e attività necessarie per quelle realtà che non possono assumere un Chief Information Security Officer (CISO) a tempo pieno, e non hanno definito completamente le responsabilità del CISO all’interno della propria organizzazione.

CISO as a Service è dunque un modo conveniente per colmare il divario tra i requisiti nascenti della sicurezza di una organizzazione e la sua necessità di un CISO a tempo pieno. L’idea chiave è quella di avere un ufficio CISO / CSO funzionante all’interno dell’organizzazione senza i relativi costi generali.

In questa situazione, che è un’alternativa al tradizionale aumento del personale, l’azienda può accedere ad una offerta di un pool di professionisti qualificati ed esperti CISO da inserire nella propria organizzazione.

È un modello “pay per use” basato sul consumo, proprio come qualsiasi altro servizio su richiesta (“on demand”). Comprende generalmente tutti i servizi che compongono il framework dei ruoli CISO e può essere la soluzione per piccole e medie imprese per l’accesso a consulenze e competenze di alto livello in modo conveniente.

Le attività del CISO As a Service possono quindi includere:

1. consulenza, revisione di documenti, GAP analysis, progettazione di politiche, organizzazione del sistema di gestione per la sicurezza delle informazioni (SGSI);
2. leadership e guida per la sicurezza delle informazioni;
3. direzione o partecipazione al comitato direttivo;
4. gestione della conformità della sicurezza rispetto a standard e framework globali come PCI DSS (servizi finanziari), ISO 27001, direttiva NIS;
5. sviluppo di politiche, processi e procedure di sicurezza;
6. gestione dei rischi, valutazione e accettazione dei rischi, revisione delle attività critiche, valutazione dei rischi di terze parti;
7. gestione del budget per la sicurezza delle informazioni;
8. test di sicurezza: test di penetrazione, valutazione della vulnerabilità, revisione della sicurezza perimetrale;
9. identificazione e gestione degli accessi;
10. monitoraggio delle minacce e adozione di misure preventive;
11. elaborazione di un piano di ripristino di emergenza e di un piano di continuità operativa (BCP);
12. risposta agli incidenti: rilevamento e analisi, attività post incidente, piano di gestione degli incidenti;
13. formazione e consapevolezza sulla sicurezza.

Il mercato CISO as a Service appare oggi frammentato e in continua evoluzione: vi è un gran numero di attori che lottano per una quota di mercato. Un’analisi ci fornisce le seguenti categorie di partecipanti al mercato:

1. fornitori IT globali;
2. società di consulenza globale;
3. provider di nicchia / Managed Security Services (MSSP);
4. fornitori specializzati di soluzioni di sicurezza informatica;
5. società di personale (specializzata in sicurezza informatica);
6. studi legali specializzati nel diritto delle nuove tecnologie.

I fornitori di servizi CISO as a Service dispongono di specialisti che possono essere offerti alle organizzazioni dei clienti su richiesta in breve tempo. Sono in genere risorse senior con esperienza compresa tra 12-20 e più anni con una o più specializzazioni.

Il processo inizia presso l’organizzazione del cliente con una valutazione del rischio, acquisendo una conoscenza approfondita dello scenario complessivo della sicurezza, della natura e dell’intensità delle potenziali minacce, della criticità e dell’ubicazione delle risorse fisiche e informatiche / digitali e della valutazione dell’attuale scenario di sicurezza. Questi servizi generalmente rientrano nell’ambito delle offerte di Advisory Services e Gap Analysis dei fornitori.

I vantaggi di un CISO as a Service

Assumere un CISO virtuale può essere decisamente conveniente: secondo Bank Info Security, è necessario tra il 35% e il 40% di quanto costa pagare il normale stipendio del settore a tempo pieno a un CISO qualificato ed esperto.

In definitiva, i vantaggi del CISO as a Service possono essere così sintetizzati:

1. fornisce una visione esterna, facilitando il funzionamento della gestione della sicurezza delle informazione in base alle esigenze del cliente;
2. può essere incaricato della responsabilità generale e della supervisione della funzione di sicurezza delle informazioni;
3. rappresenta un aiuto nel collegamento con altri dipartimenti;
4. è flessibile grazie all’accesso su richiesta;
5. può intervenire con breve preavviso, in particolare in caso di incidenti, violazioni e perdita di dati;
6. permette un accesso a un team di professionisti da una vasta gamma di background in una vasta gamma di discipline con un costo fisso. Può passare a ruoli permanenti se necessario;
7. può essere sostituito rapidamente in caso di prestazioni insufficienti.