Professione CISO: cosa fa il Chief Information Security Officer

In passato, si usava il termine “Responsabile della sicurezza” o “Security Manager” per indicare il professionista responsabile della sicurezza informatica aziendale. Ma con l’aumento delle minacce legate alle tecnologie digitali, il settore della sicurezza informatica ha evoluto e ha dato vita a nuove figure specializzate. Una tra le professioni più richieste è “Chief Information Security Officer” (CISO).

Si tratta di una figura sempre più importante e consolidata. Il CISO si occupa della sicurezza informatica con competenze tecniche e relazionali approfondite che gli consentono di assumere ruoli di leadership.

Approfondiamo il ruolo del CISO: chi è, cosa fa e quali competenze sono necessarie per intraprendere questa carriera.

Chi è il CISO

Il CISO, o Chief Information Security Officer, è una figura di alto livello all’interno di un’azienda poiché è incaricato di proteggere le informazioni e i sistemi informatici di un’azienda, definendo le strategie adeguate per prevenire attacchi e minimizzare i rischi informatici. Tale figura è fondamentale nell’organigramma aziendale, soprattutto considerando le crescenti minacce informatiche e le normative come il GDPR e la direttiva NIS 2. Lo ribadisce anche il Blog di Osservatori.net.

Come diventare CISO

Diventare CISO richiede competenze specifiche e esperienza nel campo della sicurezza informatica.
Per diventare un CISO è necessario avere una solida formazione in informatica o ingegneria informatica, esperienza pratica nella gestione della sicurezza delle informazioni e una buona comprensione delle normative e degli standard di sicurezza.

Per diventare un Chief Information Security Officer (CISO), oltre alle competenze pratiche acquisite sul campo è possibile ottenere una certificazione specifica come quella offerta da EC-Council tramite il programma C|CISO (Certified CISO) che copre diverse aree applicative.

I compiti del Chief Information Security Officer

Il suo ruolo principale è definire una strategia globale per proteggere gli asset informativi e ridurre i rischi legati alle tecnologie digitali.

Ma le responsabilità del CISO possono variare a seconda dell’industria e della sua posizione nell’organigramma aziendale.
Questa figura deve possedere competenze tecniche, manageriali e comunicative. E poi, le responsabilità principali di un CISO includono lo sviluppo di politiche di sicurezza, la pianificazione di strategie per gestire i rischi informatici, il monitoraggio delle minacce alla sicurezza, la supervisione dei controlli di sicurezza e la gestione degli incidenti di sicurezza.
Collabora anche con altri dirigenti aziendali per garantire la conformità alle normative sulla privacy e sulla sicurezza dei dati. In particolare, tra i compiti principali del CISO ci sono:

• Valutare lo stato attuale della sicurezza aziendale e sviluppare strategie per migliorare la risposta alle minacce informatiche;
• Definire regole e standard per la gestione della sicurezza;
• Analizzare i rischi informatici e sviluppare politiche e strumenti per affrontarli;
• Progettare l’architettura di sicurezza e monitorare le scelte strutturali;
• Mantenersi aggiornato sulle minacce informatiche e identificare potenziali attacchi;
• Monitorare costantemente la sicurezza dei sistemi informatici, eventualmente tramite un Security Operation Center (SOC);
• Rispondere prontamente a incidenti di sicurezza per limitare i danni;
• Condurre indagini forensi in caso di violazioni dei dati, collaborando con team interni o esterni di specialisti.

Per diventare un Chief Information Security Officer (CISO), oltre alle competenze tecniche informatiche e alla conoscenza approfondita delle attività aziendali, sono necessarie molte soft skills. 

Altre caratteristiche del CISO sono:

• Leadership: capacità di influenzare le decisioni del consiglio di amministrazione e guidare l’organizzazione con una leadership forte;
• Pensiero strategico: capacità di generare idee innovative e implementarle in modo coerente con gli obiettivi aziendali;
• Comunicazione: abilità di comunicare in modo chiaro le strategie di gestione del rischio e spiegare le soluzioni tecnologiche adottate;
• Team building: capacità di creare e gestire un team di esperti di sicurezza informatica e di relazionarsi con i principali decisori aziendali;
• Risoluzione dei problemi: abilità di prendere decisioni rapide valutando le possibili implicazioni nel lungo termine;
• Gestione delle crisi: capacità di gestire situazioni critiche e comunicarle in modo efficace;
• Competenze tecnologiche: conoscenza approfondita delle minacce, delle vulnerabilità, dei rischi e dei sistemi di protezione della sicurezza;
• Comprensione del rischio: capacità di comprendere i potenziali rischi e prevedere scenari futuri;
• Approccio basato sui dati: abilità di gestire, analizzare e utilizzare i dati per supportare le decisioni;
• Comprensione delle normative: conoscenza delle regolamentazioni sulla protezione dei dati e delle implicazioni per la sicurezza informatica.

In un contesto in cui le imprese si affidano sempre più alla presenza online, il CISO deve avere competenze tecnologiche, organizzative e relazionali complete. Deve comprendere le sfide della cybersecurity all’interno dell’azienda e comunicare efficacemente i rischi alla dirigenza.

Considerando l’ampia diffusione delle tecnologie come mobile, virtualizzazione e cloud, il CISO deve essere aggiornato costantemente e capace di fornire soluzioni e contromisure contro le minacce informatiche emergenti. 

Collaborazione tra CISO e DPO

L’importanza del Chief Information Security Officer (CISO) per garantire la conformità al GDPR è evidente. Organizzativamente, il CISO dovrebbe essere parte integrante di un sistema di gestione della sicurezza e della privacy, insieme al Data Protection Officer (DPO), responsabile della protezione dei dati introdotto con il GDPR.

La stretta collaborazione tra il CISO e il DPO è altrettanto fondamentale per assicurare una corretta gestione della sicurezza informatica e dei dati aziendali, sempre più decisi nell’attuale panorama aziendale.

Stipendio CISO

Quanto al salario del CISO, questo dipende dalle realtà economiche delle singole aziende e dalla dinamicità del settore della sicurezza informatica. Le minacce online sono sempre più numerose e il furto di dati può avere conseguenze economiche significative, quindi è fondamentale valorizzare adeguatamente questa figura professionale. E questo le aziende lo sanno bene.

Diffusione della professione in Italia

In Italia, la diffusione del Chief Information Security Officer sta crescendo gradualmente, rispetto al Data Protection Officer (DPO), un altro ruolo legato alla sicurezza informatica. Nel 2022, la presenza di un CISO formalizzato è aumentata del 7% rispetto all’anno precedente, passando dal 46% al 53%.

In circa il 16% dei casi, il responsabile della sicurezza informatica non è parte della funzione IT, mentre nel restante 37% lo è. Si nota anche un cambiamento nella distribuzione delle responsabilità, con una diminuzione del coinvolgimento del Chief Information Officer (CIO) nella gestione della sicurezza informatica, che è passato dal 25% al 19%.
La quota di aziende che preferisce affidare la gestione della sicurezza al Chief Security Officer (CSO) o al Security Manager rimane stabile al 13%.

Ma la presenza del CISO da sola non è sufficiente per garantire una gestione efficace della cybersecurity. È importante coinvolgere il consiglio di amministrazione, soprattutto nelle grandi organizzazioni. Si osserva, infatti, un aumento della sensibilità dei vertici aziendali verso questo tema: nella maggior parte delle aziende analizzate, il Top Management prende decisioni riguardanti la sicurezza informatica e richiede regolarmente report a riguardo (55%).

In un ulteriore 32% dei casi, il Top Management ha una conoscenza del tema ma non partecipa attivamente alle decisioni. Solo l’1% delle aziende considera la cybersecurity un argomento poco rilevante, mentre il 12% sta gradualmente avvicinandosi al tema.