CISO Chief Information Security Officer.

Di cosa risponde davvero un CISO

Il CISO è il dirigente responsabile della strategia di sicurezza delle informazioni, e l'accento è sulla parola responsabile. Come dice la shortDefinition, il mestiere è governance, non implementazione. Un CISO non configura firewall né scrive regole di rilevamento; decide dove l'organizzazione spende il suo budget di sicurezza limitato, quali rischi tratta e quali accetta, e come risponde quando qualcosa va storto. I prodotti quotidiani del ruolo sono un registro dei rischi, una roadmap di programma, un piano di risposta agli incidenti e una serie di report destinati al consiglio di amministrazione, non un terminale.

Questa distinzione conta perché la leadership della sicurezza viene spesso fraintesa come un ruolo di ingegneria senior. Non lo è. Il CISO si colloca al confine tra i team tecnici che gestiscono i controlli e i dirigenti che li finanziano e ne portano le conseguenze. La parte più difficile del lavoro, come nota la shortDefinition, è la traduzione verso il consiglio: trasformare una realtà tecnica sterminata in un piccolo numero di decisioni che un consiglio possa davvero prendere. Un CISO che non sa spiegare il rischio residuo in termini di business non può svolgere questo lavoro, per quanto solida sia la sua formazione tecnica.

Responsabilità sotto NIS 2 e DORA

Per anni il ruolo di CISO ha comportato responsabilità operativa senza molta responsabilità formale verso l'alto. Questo è cambiato. La shortDefinition è esplicita: sotto NIS 2 e DORA la responsabilità verso l'alto è ora personale. NIS 2, la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, porta la supervisione della cybersicurezza fino all'organo di gestione delle entità rientranti nell'ambito e rende tale organo responsabile dell'approvazione e della supervisione delle misure di gestione del rischio di sicurezza.

DORA, il Digital Operational Resilience Act, fa l'equivalente per il settore finanziario dell'UE, collocando saldamente la responsabilità sulla resilienza operativa in capo all'organo di gestione. L'effetto pratico è che «la funzione sicurezza fa del suo meglio» non è più una postura difendibile; una leadership designata per nome deve assumersi per iscritto le decisioni sul rischio.

Ecco perché un CISO moderno dedica così tanto tempo alla documentazione e alla cadenza di reporting. Approvare il rischio residuo, informare il consiglio sul panorama delle minacce e dimostrare che le misure di gestione del rischio sono state approvate al livello giusto non sono più extra di buona pratica. È così che l'organizzazione dimostra di aver soddisfatto i propri obblighi legali. Il ruolo è passato da «guidare il team di sicurezza» a «rendere la governance difendibile».

In cosa il CISO differisce dai ruoli vicini

Il CISO viene spesso confuso con le persone e le funzioni che lo circondano. Un security manager o un proprietario di programma certificato CISM gestisce il programma di sicurezza e può riportare al CISO; il CISO definisce la strategia e ne porta la responsabilità esecutiva. Un responsabile SOC è proprietario delle operazioni di rilevamento e risposta; il CISO è proprietario della decisione su quanta capacità di rilevamento l'organizzazione finanzierà e su cosa farà quando il SOC escala un incidente maggiore. E dove l'organizzazione gestisce un SGSI ISO 27001, il CISO ne è tipicamente lo sponsor esecutivo piuttosto che l'operatore quotidiano.

Un abbinamento che vale la pena separare con chiarezza è quello tra CISO e Responsabile della protezione dei dati. Si sovrappongono sugli incidenti che coinvolgono dati personali, ma sono lavori diversi. Il DPO è un ruolo di conformità e supervisione con un'indipendenza protetta per legge; il CISO è un dirigente che è proprietario della strategia di sicurezza ed è misurato su di essa. In molte organizzazioni collaborano costantemente e riportano attraverso linee diverse, proprio perché il DPO deve poter contestare il business, inclusa la funzione sicurezza.

Per i professionisti in cammino verso questo ruolo, l'inquadramento onesto è che il ruolo di CISO premia il giudizio e la comunicazione più degli strumenti. Le fondamenta tecniche sono date per scontate; ciò che fa assumere le persone e le mantiene efficaci è la capacità di assumersi il rischio, informare un consiglio e rendere la responsabilità difendibile sotto quadri come NIS 2 e DORA.