CISO vs DPO vs RSSI: chi fa davvero cosa.

Due responsabilità, un solo perimetro

La confusione tra questi ruoli non riguarda i titoli professionali. Riguarda l'autorità a cui ciascuna persona risponde. Il CISO e il RSSI gestiscono un programma per conto dell'organo esecutivo: sono giudicati sul fatto che l'organizzazione sia abbastanza sicura da continuare a operare e sul fatto che il consiglio comprenda il rischio residuo che sta accettando. Il DPO risponde a un padrone del tutto diverso. Il ruolo esiste perché il GDPR ha collocato una funzione di conformità indipendente all'interno dell'organizzazione, e quella funzione riferisce al più alto livello dirigenziale pur restando fuori dalle decisioni operative che deve valutare. Una parte ottimizza per il business. L'altra deve poter dire al business che sta sbagliando.

In termini operativi, il CISO e il RSSI costruiscono e difendono; il DPO esamina e contesta. Quando un team di marketing vuole arricchire un database clienti con dati di terze parti, il CISO chiede se possa essere fatto in modo sicuro e il DPO chiede se debba essere fatto del tutto, alla luce dei criteri di liceità, minimizzazione e limitazione delle finalità. Entrambe le domande sono legittime. Non sono la stessa domanda, e nel momento in cui le si fa convergere in una sola persona si perde la seconda.

Il confronto che conta davvero

La maggior parte dei confronti pubblicati si ferma alle definizioni. La distinzione che decide le contese sull'organigramma è la linea di riporto e la fonte del mandato, perché è ciò che determina chi può prevalere su chi e chi porta la responsabilità quando qualcosa va storto.

La colonna delle certificazioni è il segnale pratico che un responsabile delle assunzioni legge. Un profilo di leader della sicurezza si costruisce su CISM per la credenziale di livello manageriale, sul PECB Certified CISO per l'inquadramento esecutivo e su Lead Cybersecurity Manager per la costruzione del programma. Un profilo di protezione dei dati si segnala attraverso la credenziale Certified Data Protection Officer e uno strato di privacy engineering come CDPSE. I due stack non sono intercambiabili, e un CV che li mescola senza un ruolo primario chiaro di solito segnala una persona che non ha fatto nessuno dei due in profondità.

Dove si sovrappongono davvero: Article 32 e incidenti

La sovrapposizione è reale, e fingere il contrario è il modo in cui le organizzazioni finiscono per avere lacune. L'Article 32 del GDPR richiede misure tecniche e organizzative adeguate per proteggere i dati personali: cifratura, resilienza, capacità di ripristinare la disponibilità e test regolari di tali misure. È lavoro di sicurezza. Il CISO è responsabile dei controlli che lo realizzano. Ma il DPO deve poter valutare se quelle misure siano adeguate al rischio per gli interessati, che è una lente diversa da adeguate al business.

Il modo corretto di gestirlo: il CISO è responsabile dell'implementazione e dell'operatività delle misure dell'Article 32, e il DPO è responsabile di formarsi un'opinione indipendente sulla loro adeguatezza. Il CISO costruisce lo standard di cifratura dei dati a riposo; il DPO registra nella DPIA che è sufficiente per il trattamento in ambito, oppure segnala che non lo è. Nessuno dei due approva i propri compiti.

ISO 27701 si colloca esattamente su questa cucitura. Estende un ISMS ISO 27001 in un sistema di gestione delle informazioni sulla privacy, dando al CISO e al DPO un framework di controllo condiviso anziché due vocabolari scollegati. Il corso ISO 27701 Lead Implementer è la singola qualificazione più utile per la persona che deve far dialogare il programma di sicurezza e il programma di privacy.

La risposta agli incidenti è la seconda sovrapposizione ed è quella che cede sotto pressione. Il CISO gestisce la risposta tecnica: contenere, eradicare, ripristinare. Il DPO gestisce l'orologio normativo: il GDPR concede 72 ore per notificare all'autorità di controllo una violazione di dati personali, e quella valutazione (è una violazione, è notificabile, gli interessati sono a rischio) è una decisione del DPO, non del CISO. Se queste due persone non sono nella stessa stanza entro la prima ora di un incidente grave, finirete per notificare in eccesso bruciando credibilità con l'autorità, oppure per notificare in difetto violando la scadenza.

Perché una sola persona non dovrebbe ricoprire CISO e DPO

La ragione è strutturale, non di carico di lavoro. Il GDPR richiede che il DPO sia libero da qualsiasi conflitto di interessi: il DPO non può ricoprire una posizione che comporti la determinazione delle finalità e dei mezzi del trattamento di dati personali. Un CISO fa esattamente questo. Il CISO decide quali log vengono conservati, per quanto tempo vivono i backup, quale monitoraggio ispeziona il traffico dei dipendenti, quali fornitori trattano i dati. Quelle sono decisioni di trattamento. Una sola persona che le prende e dovrebbe al contempo verificarle in modo indipendente non può svolgere il secondo compito, perché l'autorità di controllo non accetterà l'auto-revisione come supervisione indipendente.

Questa non è un'opinione di Cyber Academy. Le autorità di controllo europee hanno già sanzionato organizzazioni per aver nominato un DPO che ricopriva anche un ruolo operativo sui trattamenti che era incaricato di supervisionare. In una piccola organizzazione potreste davvero avere una persona capace in grado di fare entrambe le cose. La risposta in quel caso non è combinare i ruoli; è rendere quella persona il CISO e nominare il DPO esternamente, o viceversa. Un DPO esterno è una soluzione riconosciuta e spesso più pulita proprio perché l'indipendenza è integrata per costruzione.

La realtà nella sala di audit

Quando un auditor ISO 27001 o un'autorità di controllo esamina questo aspetto, sta verificando una cosa sola: siete in grado di dimostrare che le decisioni di sicurezza e le decisioni di privacy sono state prese da persone con la giusta autorità e la giusta indipendenza. Le prove che vogliono sono banali e specifiche.

1. Una RACI o equivalente che indichi chi è responsabile del registro dei rischi rispetto ai registri dei trattamenti, senza che nessuna persona ricopra sia il ruolo di gestione sia quello di supervisione per lo stesso controllo.
2. Registri degli incidenti che dimostrino che il DPO è stato coinvolto sulla notificabilità e il CISO sul contenimento, con marcature temporali che rientrano nella finestra delle 72 ore.
3. DPIA che riportino un'opinione indipendente del DPO sulle misure di sicurezza, non un'approvazione di sicurezza rietichettata come revisione di privacy.

Le competenze di audit e assurance che rendono tutto questo dimostrabile appartengono ancora una volta a un profilo distinto. CISA costruisce la disciplina dell'audit e delle prove, e CRISC costruisce il linguaggio di quantificazione del rischio che consente al CISO di presentare il rischio residuo al consiglio in termini su cui possa effettivamente decidere. Sono queste le credenziali che trasformano una struttura difendibile in una dimostrabile.

Errori comuni da evitare

• Trattare CISO e RSSI come due ruoli da coprire separatamente. Sono lo stesso ruolo; il titolo segue la lingua e il contesto normativo, non l'ambito.
• Lasciare che il DPO riferisca al CISO o alla funzione IT. Questo distrugge l'indipendenza che il GDPR richiede ed è un rilievo facile per qualsiasi autorità.
• Presumere che vinca la certificazione di rango più elevato. Chi possiede una CISM non è per ciò stesso qualificato come DPO, e una forte credenziale da DPO non rende qualcuno un leader della sicurezza. Abbinare la credenziale al mandato.
• Scrivere un report al consiglio che fonde il rischio di sicurezza e il rischio di privacy in un unico numero. Il consiglio deve vedere entrambi, perché le conseguenze e le autorità coinvolte sono diverse.

Le organizzazioni che gestiscono bene questo aspetto non hanno più organico di quelle che lo gestiscono male. Hanno una risposta chiara a una sola domanda: per qualsiasi decisione sui dati personali, chi la costruisce e chi la giudica in modo indipendente. Tenete queste due risposte in due persone diverse, date a ciascuna la credenziale che corrisponde al suo mandato, e l'organigramma smette di essere una fonte di rilievi di audit.