Da quanto si evince dal Rapporto Clusit 2024 (presentato ufficialmente durante il Security Summit del 19 marzo 2024), gli attacchi nel 2023 sono aumentati dell’11% a livello globale, con un incremento, purtroppo, del 65% in Italia, dimostrando che le misure di difesa adottate dalle organizzazioni non sono state adeguatamente potenziate.
Pertanto, è quanto mai evidente che è fondamentale potenziare la governance della sicurezza e l’abilità nell’identificare, analizzare, valutare e affrontare i rischi informatici. Ovvero, diventa essenziale la capacità di comprendere, prevedere e gestire le evoluzioni delle minacce esterne e quelle relative al contesto interno dell’organizzazione.
Ne consegue che la cultura della cyber sicurezza non può essere limitata alle funzioni tecniche, ma deve essere presente in tutta l’organizzazione.
A tal proposito, la figura del CISO è destinata a evolvere e a ricoprire un ruolo sempre più strategico, riportando direttamente al CdA.
Indice degli argomenti
Rivoluzione CISO: l’importanza strategica del riporto diretto al CdA
Il ruolo dei CISO sta evolvendo e si sposta da un focus sulla sicurezza tecnica e l’analisi di rischio, a una posizione chiave nella decisione strategica aziendale, guidando le organizzazioni attraverso le complesse minacce del panorama di cyber security attuale.
Questa trasformazione risponde non solo all’aumento della complessità delle minacce informatiche, ma si configura anche come un approccio proattivo per anticipare e controllare i rischi cyber emergenti.
Il ruolo del CISO: un cambio di paradigma
Il ruolo del CISO moderno – sebbene possa differire significativamente in base alla struttura e alle necessità specifiche dell’organizzazione – si trova a operare in diverse aree chiave di responsabilità, tra cui:
- Gestione del rischio informatico: identificare, valutare e mitigare i rischi relativi alla sicurezza informatica.
- Conformità normativa: assicurare che l’organizzazione rispetti le leggi e i regolamenti vigenti in materia di sicurezza dei dati.
- Integrazione aziendale strategica: allineare le politiche di sicurezza informatica con gli obiettivi e le strategie aziendali generali.
- Gestione delle crisi e risposta agli incidenti: preparare e guidare l’organizzazione nella gestione e risoluzione di eventuali incidenti di sicurezza.
- Promozione di una cultura aziendale orientata alla “Security First”: diffondere all’interno dell’organizzazione la consapevolezza e l’importanza di adottare pratiche di sicurezza proattive.
I CISO moderni devono avere un approccio orientato al business, svolgere funzioni diverse e comunicare efficacemente sia con il CdA sia con dipendenti e gli stakeholder.
È essenziale che sappiano allineare le strategie di sicurezza agli obiettivi aziendali e sensibilizzare sull’importanza della sicurezza a tutti i livelli dell’organizzazione, per prevenire vulnerabilità e proteggere gli asset aziendali.
Ovvero, come si evince da una recente analisi della società di certificazione canadese PEBC dal titolo “The Future of CISO: From Technical Expert to Business Leaders”, sono necessari cambi di paradigma che convertano il CISO in BISO, i.e. Business Information Security Officer.
Il BISO, “incapsulando” sia competenze tecniche sia “senso degli affari”, per navigare nella complessa interazione tra cyber security e crescita aziendale, deve possedere le seguenti caratteristiche:
- Capacità di comunicazione. È cruciale che i CISO/BISO sappiano comunicare efficacemente con diversi team, per comprendere a fondo le esigenze dell’azienda e integrarle nelle decisioni di cyber security. Questa competenza nel dialogo assicura che le strategie di sicurezza siano tecnicamente solide e in piena sintonia con gli obiettivi aziendali, garantendo una protezione adeguata che supporta l’operatività e la crescita organizzativa. Comunicare efficacemente con i dipendenti implica ascoltare e comprendere le loro esigenze e le difficoltà incontrate nell’adottare le pratiche di sicurezza. Trovare soluzioni che facilitino l’adozione di tali pratiche è essenziale per integrare la sicurezza nella routine lavorativa senza che questa diventi un ostacolo.
- Collaborare con dipendenti e leader. È essenziale costruire relazioni significative con dipendenti e leader aziendali per enfatizzare l’importanza della cyber security, evitando che sia vista solo come un peso. Non è più accettabile avere una netta separazione tra il team di sicurezza e gli altri dipendenti; invece, è cruciale incoraggiare una cultura di collaborazione, facendo sentire ogni individuo parte attiva e responsabile della cyber security. Questo spirito di collaborazione è fondamentale per assicurare la sicurezza dell’intera organizzazione, rendendo la cyber security un obiettivo condiviso anziché un compito limitato agli specialisti.
Il ruolo del CISO nel CdA
La Securities and Exchange Commission (SEC) degli Stati Uniti ha recentemente sottolineato l’importanza di competenze specifiche in cyber security nei CdA, raccomandando, a marzo 2023, l’inclusione dei CISO direttamente nei CdA. Questo evidenzia la crescente preoccupazione per i rischi cyber come minacce alla continuità aziendale e l’esigenza di una maggiore competenza in materia tra i vertici aziendali.
Per rafforzare la consapevolezza sulla cyber security, è necessario un approccio che integra formazione, comunicazione adeguata e coinvolgimento diretto, mirando a rendere comprensibili le minacce cyber e le strategie di mitigazione.
Ne consegue che l’integrazione dei CISO nei CdA è in grado di assicurare che le questioni di sicurezza siano considerate nelle strategie aziendali fin dall’inizio.
La normativa NIS2 e l’attenzione delle agenzie di rating verso le competenze in cyber security nei CdA rafforzano ulteriormente l’importanza di questa tematica per la sicurezza e la continuità aziendale.
È cruciale, quindi, definire chiaramente il ruolo del CISO all’interno dell’organizzazione, superando la visione obsoleta che lo vede subordinato a figure come il CIO o il CTO. La cyber security, infatti, va oltre la mera protezione dei dati informatici, interessando tutti gli asset vitali per aziende, istituzioni e cittadini.
Pertanto, risulta fondamentale considerare la cyber security come un ambito autonomo, assicurando che il CISO abbia la possibilità di riportare direttamente al CdA, garantendogli l’autonomia e l’indipendenza decisionale necessarie per un’efficace gestione della cyber security.
E in Italia, a che punto siamo? La parola all’esperto
I CISO di diverse organizzazioni, in Italia, stanno cercando di promuovere una cultura della sicurezza a tutti i livelli.
Questo include l’assumere un ruolo più strategico, lavorare a stretto contatto con i CdA per delineare chiare linee guida sulla gestione del rischio cyber e implementare programmi di formazione e sensibilizzazione.
Inoltre, come già evidenziato, CISO devono allineare i propri obiettivi con quelli degli altri leader della CdA per assicurarsi di conoscere e risolvere le implicazioni di sicurezza di ogni decisione di business, oltre ad essere inclusi nelle decisioni strategiche, affinché sappiano sempre in che direzione sta andando l’azienda e quali sono le misure di sicurezza da implementare, condividendole col resto del CdA.
Come afferma Francesco Corrado, Head of Cybersecurity di Ferrero Italia, “La consapevolezza del Cda riguardo la cyber security non deve fermarsi alla sola comprensione di eventuali interruzioni operative come conseguenza di un potenziale attacco cyber”.
“È altrettanto cruciale”, continua Corrado, “riconoscere che eventuali violazioni di sicurezza possono compromettere gravemente il valore, la competitività, la compliance rispetto a requisiti Normativi esterni (e.g. GDPR, NIS, etc.) e conseguentemente la reputazione a lungo termine dell’Azienda”.
Secondo l’Head of Cybersecurity di Ferrero Italia, “per mantenere un dialogo efficace con il CdA e assicurare l’adozione di strategie di cybersecurity efficaci, i CISO devono essere in grado di tradurre misure e necessità tecnologiche – i.e.: argomenti molto lontani da un tavolo di Board – in concetti di rischio aziendale chiari. Ciò presuppone una profonda conoscenza dell’azienda, dei suoi obiettivi e delle strategie identificate per raggiungerli; informazioni queste indispensabili al CISO per sviluppare un linguaggio comune con il business, quantificare in termini di potenziali impatti economici gli scenari di rischio cyber (ad esempio come percentuale dei ricavi o dell’Ebitda) ma, soprattutto, definire e rappresentare efficacemente una strategia di sicurezza che sia percepita come motore abilitante al raggiungimento degli stessi obiettivi”.
Ovviamente, conclude Corrado, “la cyber security deve essere compresa come una responsabilità comune, su tutti i livelli aziendali e non solo da parte del Management. È necessario quindi, definire strategie di comunicazione ed awareness fattivi e targettizzati, non solo per il CdA, bensì per tutti gli interlocutori”.
Conclusione
I CISO, in un contesto segnato da un incessante aumento degli attacchi cyber, si trovano a navigare un equilibrio complesso tra elementi critici quali sicurezza vs. privacy, efficienza operativa vs. i tempi di ingresso sul mercato e bilanciamento tra costi e benefici.
Ne consegue che il ruolo dei CISO è destinato ad assumere una rilevanza sempre maggiore e strategica all’interno delle organizzazioni.
Inoltre, l’intensificarsi delle minacce informatiche ha spinto i CdA a dedicare crescente attenzione alla cyber security, esplorando piani strategici per salvaguardare i dati aziendali.
In questo scenario, i CISO sono chiamati a svolgere un ruolo di “traduzione”, trasformandoli in BISO, richiedendo loro una capacità unica di guidare l’organizzazione come un direttore d’orchestra, promuovendo una cultura di cyber security e coordinando le iniziative di formazione.
Ovvero, il CISO/BISO – in sinergia con le altre funzioni di sicurezza – guiderà l’orchestra organizzativa per suonare la “sinfonia della cyber resilience”, assicurando una difesa armoniosa ed efficace contro le minacce informatiche.
