Il CISO (Chief Information Security Officer) è una figura particolarmente importante nell’ambito delle misure di tipo gestionale e organizzativo che riguardano la sicurezza aziendale, tuttavia i suoi compiti e il suo rapporto con le altre strutture aziendali non è così ben definito, né nelle normative di settore e nemmeno negli standard e nelle buone pratiche.
Proviamo, dunque, ad analizzare alcuni aspetti di questa importante figura.
Il ruolo del CISO in Italia, tra competenze tecniche e normative: le sfide da affrontare
Indice degli argomenti
Il CISO e gli altri: i rapporti gerarchici
Per quanto attiene ai riporti gerarchici del CISO il rapporto Strengthening digital society against cyber shocks di PWC del 2018 prende in considerazione le seguenti figure:
- CEO (40%)
- CDA (27%)
- CIO (24%)
- Chief Security Office (17%)
- Chief Privacy Office (15%)
mentre il più recente rapporto Global Chief Information Security Officer (CISO) Survey del 2022 sui CISO[1], realizzato dalla Heidrick & Struggles, elenca le seguenti figure:
- CIO (38%)
- CTO or senior engineeing executive (15%)
- COO or CAO (9%)
- global CISO (8%)
- CEO (8%)
- CRO or senior regulatory executive (4%)
- general counsel (3%)
- altro (15%)
Al di là della differenza dei risultati, quello che si evidenzia è la variabilità della posizione gerarchica del CISO, che in effetti assume anche un livello di riporto che può essere molto variabile, a testimonianza di come nella pratica tale figura si possa collocare in funzione della struttura organizzativa propria dell’azienda di appartenenza.
Si passa da una visione del CISO come figura apicale che risponde direttamente ai vertici aziendali, ad una visione più prettamente operativa dello stesso.
Una buona indicazione sui possibili rapporti fra CISO e le altre figure aziendali può essere tratta dal COBIT, che nella mappatura dei vari processi ICT individua i ruoli e le responsabilità delle varie figure su un matrice RACI.
Evitare conflitti di interesse tra i C-level aziendali
Qualunque sia la posizione prescelta e i relativi rapporti gerarchici, l’aspetto più importante che un’organizzazione dovrebbe prendere in considerazione nell’individuare tale riporto gerarchico è che questo non dovrebbe comportare dei possibili conflitti di interesse.
Tale conflitto potrebbe accedere nel caso in cui le misure di sicurezza che il CISO richiede che siano implementate, possano interferire o siano in contrasto, ad esempio, con le esigenze del business.
Ad esempio, la richiesta dell’introduzione di misure di sicurezza di tipo tecnico e organizzativo che possano interferire con l’efficacia e l’efficienza dei processi aziendali, appesantendoli e rallentandoli.
È evidente che, nel caso in cui il CISO risponda gerarchicamente a chi presidia in qualche modo (direttamente o indirettamente) il business aziendale, si avrà quasi sempre un prevalere delle esigenze del secondo sul primo e quindi questo potrebbe comportare la mancata implementazione di alcune delle misure di sicurezza proposte dal CISO.
Quindi, una collocazione che non consente al CISO adeguati spazi di autonomia e indipendenza richiesti dal ruolo, possono vanificare notevolmente l’efficacia di tale figura.
L’azienda, pertanto, dovrebbe valutare attentamente questo aspetto, altrimenti rischia di vanificare gli stessi investimenti in ambito sicurezza che ha posto in essere.
Best practice per una corretta struttura gerarchica
Come accennato più sopra, purtroppo nessuna normativa o standard fornisce qualche specifica indicazione in merito a quella che potrebbe essere una corretta struttura gerarchica che possa evitare un conflitto di interessi.
Del resto, nemmeno l’esistenza di una specifica normativa che obbliga ad evitarli sembra, in un altro contesto che riguarda il CISO, avere un reale effetto sulle aziende.
Il CISO e gli altri: il rapporto con il DPO
Ne è un chiaro esempio il ruolo del DPO, che spesso e volentieri viene svolto da figure incompatibili con tale ruolo, CISO compreso.
Al riguardo, chiaramente si esprimono sia le “Linee-guida sui responsabili della protezione dei dati (RPD)” del WP29:
A grandi linee, possono sussistere situazioni di conflitto all’interno dell’organizzazione con riguardo a ruoli manageriali di vertice (amministratore delegato, responsabile operativo, responsabile finanziario, responsabile sanitario, direzione marketing, direzione risorse umane, responsabile IT), ma anche rispetto a posizioni gerarchicamente inferiori se queste ultime comportano la determinazione di finalità o mezzi del trattamento. Inoltre, può insorgere un conflitto di interessi se, per esempio, a un RPD esterno si chiede di rappresentare il titolare del trattamento o il responsabile del trattamento in un giudizio che tocchi problematiche di protezione dei dati.
sia il Position Paper del 30.9.2018 dell’EDPS:
Functions that would in principle be incompatible with the DPO function include high level positions within management, human resources, IT services, medical services, security services, internal audit, etc. A conflict of interests may typically also arise (even for lower level positions), when a part-time DPO who belongs to the IT service must assess processing operations that they have designed; or when a DPO who is also part of the compliance team must assess compliance checks and related data processing that they have designed.
Quindi, la posizione del CISO è, di norma, incompatibile con quella del DPO.
L’aspetto più interessante di questo caso è il fatto, che la figura preposta in azienda ad evidenziare tale incompatibilità, sia lo stesso DPO.
Nel caso in cui non lo faccia, se il titolare del trattamento venisse sanzionato per il mancato rispetto della normativa privacy proprio a causa dei conflitti di interesse nell’ambito dei ruoli svolti dal DPO, potrebbe rivalersi civilmente proprio nei confronti di quest’ultimo[2]che non ha svolto correttamente il proprio compito segnalando questa specifica fattispecie.
Essendo quello del DPO un ruolo fiduciario (troppo spesso confuso con un ruolo di controllo di secondo livello), il DPO potrebbe anche essere licenziato per non aver svolto correttamente il proprio lavoro, facendo venir meno il rapporto di fiducia che l’azienda aveva nei suoi confronti.
Conclusioni
Le aziende dovrebbero valutare molto più attentamente le conseguenze delle loro scelte nel determinare e collocare i ruoli aziendali, in particolare nei casi in cui, come per il DPO, tali ruoli siano specificatamente normati.
Molta attenzione deve essere inoltre dedicata alla governance, in quanto una errata impostazione dei livelli gerarchici può vanificare le misure di sicurezza in essere; inoltre, sebbene non esista una specifica normativa che vincoli la gerarchia dei ruoli aziendali, nel caso in cui, nel corso di una visita ispettiva in ambito privacy, fosse provato che una errata impostazione della governance ha comportato, ad esempio una agevolazione alla violazione di dati personali, potrebbero sussistere i presupposti per una violazione dell’art. 32 del GDPR (con relative sanzioni).
NOTE
Il report, in realtà, ha intervistato oltre 300 CISO o equivalenti. ↑
Si veda l’articolo; Il DPO e il rischio di conflitto di interessi: profili e allocazione delle responsabilità Il DPO e il rischio di conflitto di interessi: profili e allocazione delle responsabilità – Cyber Security 360 ↑
