CISO: Mi hanno dato il titolo. Nessuno mi ha dato il lavoro.

Storia vera.

Un professionista che ho formato questa primavera ricopriva da quattro anni il ruolo di Responsabile della Sicurezza IT in un'azienda logistica. Firewall, EDR, patching, ticket di incidente. Il suo territorio, gestito bene. Poi l'azienda è stata investita da NIS 2, le compagnie assicurative hanno iniziato a fare domande e il consiglio ha deciso che serviva un CISO. Si sono guardati intorno e hanno scelto la persona più ovvia. Lui.

Nuovo titolo. Stessa scrivania. Un calendario che si è riempito all'improvviso di cose che non avevano nulla a che fare con la tecnologia.

Al suo primo consiglio di amministrazione ha presentato quaranta slide di metriche sulle vulnerabilità. Copertura delle patch. Mean time to detect. Conteggi CVE. Ci aveva lavorato due settimane. Sei minuti dopo l'inizio, il CFO lo ha interrotto con una domanda sola: "Quindi siamo a posto o no?"

Non aveva una risposta. Non perché non conoscesse il suo ambiente. Lo conosceva meglio di chiunque altro. Perché la domanda non era tecnica. Era una domanda di rischio, espressa in termini di conseguenze, di pertinenza di chi era disposto a firmare sotto una decisione. E in quindici anni di carriera non gli era mai stato chiesto di farlo.

Mi ha detto che il cammino di ritorno alla sua scrivania dopo quella riunione è stato il più lungo della sua vita professionale.

Se avete mai portato un titolo di sicurezza in una sala piena di dirigenti e sentito il terreno mancarvi sotto i piedi, sapete esattamente di cosa sto parlando. I dettagli cambiano. La sensazione no.

La promozione è reale. La formazione non avviene mai.

Ecco la verità sul diventare CISO: quasi nessuno arriva dalla porta principale.

Eri il miglior security engineer, quindi ti hanno fatto manager. Eri il manager che non lasciava cadere nulla, e quando il regolatore, l'assicuratore o il questionario del cliente richiedevano un "responsabile della sicurezza designato", il tuo nome è finito nel campo. Un giorno configuri i controlli. Il giorno dopo ne sei responsabile, davanti al consiglio, a un auditor e, se le cose vanno davvero male, a un regolatore con il tuo nome nel fascicolo.

E tra questi due giorni non c'è formazione. Nessun passaggio di consegne. Nessuno ti siede accanto e ti dice: ecco come si costruisce un programma di sicurezza invece di un accumulo di strumenti. Ecco come si parla con persone che ragionano in euro e trimestri. Ecco cosa apre per primo un auditor. Ecco come si prende una decisione di rischio che si può difendere due anni dopo.

Le competenze che ti hanno dato il titolo non sono quelle che il lavoro richiede. Non è un insulto. È la struttura del percorso di carriera. La scala tecnica finisce dove inizia il ruolo dirigenziale, e il settore dà semplicemente per scontato che tu capisca la differenza improvvisando.

La maggior parte delle persone improvvisa. Per anni. Alcuni la passano liscia. Chi non ce la fa è chi ha il proprio nome nel rapporto d'incidente.

Cinque parti del lavoro che nessuno insegna

Ho formato molti responsabili della sicurezza e svolgo questo ruolo in prima persona. Le stesse cinque lacune emergono ogni volta, non perché queste persone non siano capaci, ma perché nessuno ha mai insegnato loro il livello esecutivo del ruolo.

Tradurre la sicurezza nel linguaggio del consiglio.

Al consiglio non interessano i CVE. Interessa sapere se l'azienda può acquisire un ordine, pagare gli stipendi e restare fuori dai giornali. "Abbiamo 3.400 vulnerabilità non patchate" non significa nulla per loro. "Se questo sistema cade, smettiamo di spedire per tre giorni e il costo è questo" vi porta un budget. Il divario tra queste due frasi è il motivo principale per cui i budget di sicurezza muoiono in comitato, e nessuna certificazione tecnica al mondo insegna a colmarlo.

Gestire un programma, non una collezione di strumenti.

La maggior parte delle funzioni di sicurezza assomiglia a un'archeologia: strati di strumenti e abitudini depositati da chi era in carica all'epoca. Un programma è diverso. Ha un perimetro, obiettivi, un metodo di rischio, controlli scelti per una ragione, misurazione e un ciclo che lo migliora. Un auditor percepisce la differenza in un'ora. Lo stesso vale per i regolatori. Se non riesci a disegnare il tuo programma su una sola pagina, non hai un programma. Hai un inventario.

Prendere decisioni di rischio con il proprio nome sopra.

"Accettiamo questo rischio" è la frase che separa il CISO dal security engineer. Qualcuno deve decidere quali rischi vengono trattati, quali vengono accettati, ed essere in grado di difendere quella decisione quando invecchia male. La maggior parte dei nuovi CISO o evita la decisione (tutto è "alto", nulla viene firmato) oppure la prende in modo informale, senza nulla di scritto. Entrambe le versioni finiscono allo stesso modo: male, davanti a qualcuno che prende appunti.

Guidare gli incidenti invece di lavorarci dentro.

Quando arriva l'incidente, il tuo lavoro non è più il terminale. È la sala. Decidere quando notificare il regolatore, perché NIS 2 e GDPR hanno scadenze, e sono più brevi di quanto si pensi. Decidere cosa dire ai clienti, e quando. Evitare che il CEO entri nel panico o, peggio, si faccia silenzioso. La risposta tecnica ha un runbook. La risposta di leadership è la parte che tutti improvvisano, ed è quella che finisce nel rapporto post-incidente.

Sopravvivere a uno scrutinio che non si ferma mai.

La stagione degli audit era una stagione. Ora è un clima: audit di certificazione, audit di sorveglianza, audit dei clienti, questionari delle assicurazioni, DORA, NIS 2, e un consiglio che legge di violazioni a colazione. Se le prove esistono solo nelle due settimane di panico prima di ogni audit, non si ha assurance. Si ha teatro. Il lavoro consiste nel costruire la macchina che produce prove tutto l'anno, in modo che lo scrutinio diventi noioso. Il buon tipo di noioso.

Nulla di tutto questo è esotico. È il lavoro vero. Semplicemente nessuno lo insegna, perché tutti danno per scontato che tu l'abbia imparato prima di ottenere il titolo. Non è così. Non lo era per me. Non lo è per nessuno.

Cosa danno davvero cinque giorni

Voglio essere diretto su cosa è questo corso e cosa non è.

Non uscirete con dieci anni di cicatrici esecutive. Quelle arrivano in un solo modo. Quello con cui uscirete è la struttura che mi ha richiesto anni di audit, incidenti e riunioni di consiglio per assemblare, presentata in ordine, così smettete di improvvisare il ruolo più importante della vostra carriera.

Saprete come appare un programma di sicurezza completo, dall'inizio alla fine, per vedere esattamente cosa manca alla vostra organizzazione. Avrete un approccio al rischio che potete difendere: davanti a un consiglio, a un auditor, a voi stessi alle 2 di notte. Saprete come compliance, architettura, controlli, incidenti e misurazione si collegano in un unico sistema invece di cinque ansie parallele. Saprete cosa cercano davvero le persone dall'altra parte del tavolo (auditor, regolatori, dirigenti), così potete prepararvi invece di recitare. E avrete una credenziale di livello esecutivo che certifica che nulla di questo è autodichiarato.

Questa è la differenza tra avere il titolo e fare il lavoro.

A questo servono i 5 giorni

Dal 10 al 14 agosto. Dal lunedì al venerdì. Live online, in inglese. Un gruppo limitato a sei persone, perché a sette la conversazione muore e gli aneddoti restano nel mio taccuino.

Ogni riga inizia con "come". Il "cosa" è in ogni documento di framework che avete mai sfogliato. Il "come" è ciò per cui pagate.

Chi insegna questo corso

Io. Christophe. CISO attivo, fondatore di Cyber Academy, PECB Gold Trainer.

Non insegno questo ruolo da un manuale, perché ci torno il lunedì. Quando spiego come presentare il rischio a un consiglio, è perché ho visto gli occhi del consiglio spegnersi davanti alle mie slide e ho dovuto imparare cosa funziona davvero. Quando spiego la leadership negli incidenti, è perché sono stato io a decidere se chiamare il regolatore quella sera o il mattino dopo. Quando qualcuno nel corso dice "il mio consiglio semplicemente non si interessa", non gli do la risposta da esame. Gli dico cosa direi nella sua prossima riunione di consiglio, perché l'ho dovuto dire nella mia.

Duecento audit. Cento implementazioni. Anni nella posizione da cui prende il nome questo corso. Il lavoro si impara da chi lo fa.

La garanzia

Completate il corso. Sostenete l'esame. Se non superate, rimborsiamo la quota di formazione.

Nessuna clausola nascosta oltre al completamento del programma e alla partecipazione all'esame. La chiamiamo Certified or Refunded, e lo intendiamo sul serio. La metodologia funziona, il tasso di superamento lo dimostra, e se investite una settimana del vostro tempo e il denaro della vostra azienda, meritate un fornitore che punti sullo stesso risultato che volete voi.

I dettagli

• Corso: PECB Chief Information Security Officer, Certified
• Date: 10 - 14 agosto 2026
• Formato: Live online. Interattivo. Non registrato.
• Lingua: Inglese
• Dimensione del gruppo: da 3 a 6 partecipanti
• Esame: Esame PECB di 3 ore il Giorno 5, spese incluse
• CPD: 31 crediti
• Ripetizione gratuita: Entro 12 mesi
• Prezzo: €2.499
• Garanzia: Certified or Refunded

La vostra mossa

Se avete appena ricevuto il titolo e state improvvisando il lavoro, è qui che l'improvvisazione finisce.

Se svolgete il lavoro da anni senza la credenziale, questa è la prova di livello esecutivo che non siete autodichiarati.

Se le riunioni del consiglio sembrano presentare in una lingua straniera, è qui che imparate la traduzione.

E se sapete che sta arrivando un incidente o un audit, e ne arriva sempre uno, è così che lo affrontate con un programma invece che con una preghiera.

Riservate il vostro posto nel gruppo di agosto.

Domande? Scrivetemi direttamente. Nessun team commerciale. Nessun chatbot. Solo io.