La gestione della sicurezza informatica aziendale sta affrontando una trasformazione radicale che ridefinisce i rapporti di forza all’interno dei vertici societari.
I dati emersi da un recente dibattito specialistico tenutosi a Boston di fronte a un pubblico dal vivo di addetti ai lavori hanno messo in luce una profonda frattura comunicativa e strutturale tra i responsabili della sicurezza e i quadri direttivi.
Durante questo confronto, che ha visto la partecipazione del conduttore radiofonico David Spark, dell’esperto di leadership Andy Ellis e di Dmitriy Sokolovskiy, Senior Vice President per la sicurezza informatica presso Semrush, sono emerse le criticità quotidiane di chi deve proteggere gli asset digitali coordinandosi con amministratori spesso privi delle competenze tecniche necessarie.
Al centro dell’analisi vi è la figura del CISO, un professionista oggi sospeso tra la necessità di tradurre minacce invisibili in metriche di business e l’obbligo di governare l’adozione accelerata dell’intelligenza artificiale.
Indice degli argomenti
La crisi di comunicazione tra il CISO e il consiglio di amministrazione
Una ricerca sul campo condotta su un campione di trentotto direttori e responsabili della sicurezza ha confermato una realtà complessa: la maggior parte dei consigli di amministrazione è semplicemente incapace di supervisionare il rischio informatico.
Secondo i dati raccolti, i board non esperti si limitano a porre quesiti di cui non comprendono la portata e a ricevere rendiconti che non possiedono gli strumenti per valutare.
Questa asimmetria informativa delega di fatto al CISO il compito di stabilire i parametri stessi della propria supervisione, eliminando un reale controllo bilaterale. Il problema strutturale trova conferma in un dato statistico preciso: solo il 15% dei board delle società pubbliche possiede competenze reali in materia di cyber security.
Dmitriy Sokolovskiy ha evidenziato che i membri del consiglio di amministrazione non necessitano obbligatoriamente di un bagaglio tecnico approfondito per la maggior parte delle questioni, ma devono focalizzarsi sul mantenimento della propria responsabilità fiduciaria attraverso la comprensione dei termini economici e finanziari.
Tuttavia, Sokolovskiy rileva che la dirigenza non offre ancora una guida sufficiente, limitandosi a domandare aggiornamenti generici senza indicare una direzione chiara.
La soluzione proposta dal manager di Semrush prevede un cambiamento nell’interazione aziendale: le società dovrebbero affiancare ai tecnici un consulente finanziario in grado di collaborare direttamente con la sicurezza per quantificare il rischio informatico in termini di valore aziendale.
Il teatro Kabuki delle riunioni formali
La tesi della quantificazione economica trova però la netta opposizione di Andy Ellis, preside di Duha e autore del volume “1% Leadership”. Ellis sostiene che tentare di calcolare matematicamente il rischio informatico rappresenti una strada errata, poiché i consigli di amministrazione faticano a interpretare le metriche avanzate di qualsiasi reparto non strettamente finanziario.
Ad esempio, se un Direttore Marketing introduce il concetto di una pipeline commerciale pari a quaranta volte il fatturato, il board sperimenta la medesima confusione.
La critica di Ellis si spinge oltre, descrivendo le dinamiche istituzionali con formule molto esplicite: «Le riunioni del board sono teatro Kabuki; quello che dite è già stato approvato dal CEO».
Per superare questo sbarramento formale, la strategia suggerita dal saggista prevede lo spostamento dei colloqui al di fuori delle sessioni ufficiali.
I migliori dirigenti della sicurezza scelgono di avviare confronti individuali uno-a-uno con i singoli membri del consiglio di amministrazione, creando un ambiente protetto dove gli amministratori non abbiano il timore di formulare domande basilari che potrebbero farli apparire inadeguati di fronte ai colleghi.
L’efficacia di questo metodo è supportata dalla pratica di consegnare ai nuovi membri del consiglio un resoconto dettagliato di diciassette pagine volto a illustrare le attività dell’azienda, i rischi dei prodotti e le relative mitigazioni, offrendo un linguaggio comune prima che i responsabili di prodotto forniscano informazioni parziali.
L’impatto dell’intelligenza artificiale e la ridefinizione del debito tecnico
L’introduzione delle tecnologie di automazione sta accelerando i tempi di reazione richiesti alle aziende, trasformando i problemi di bilancio in minacce alla sopravvivenza stessa del business.
David Spark ha richiamato l’analisi di Rob Joyce, veterano con trentacinque anni di esperienza ai vertici della National Security Agency (NSA), il quale descrive l’avvento dell’intelligenza artificiale non come un’evoluzione incrementale, bensì come una rottura strutturale insanabile.
Joyce ha quantificato l’impatto con un’affermazione perentoria: «Ogni repository di codice su cui fate affidamento è appena diventato una passività con un timer».
L’individuazione delle vulnerabilità tramite agenti automatizzati opera ormai su una scala talmente vasta da rendere le vecchie strategie di correzione e difesa del tutto inadeguate, un’azione paragonabile allo svuotare una nave che affonda utilizzando un bicchiere.
La vulnerabilità del codice e il ruolo degli ingegneri
Rispetto a tale scenario, Ellis ha analizzato la natura del debito tecnico, contestando l’uso improprio del termine e ricordando che nella contabilità tradizionale ogni passività è bilanciata da attività di valore.
Il vero nodo problematico risiede nella separazione dei ruoli operativi all’interno delle aziende.
I professionisti della sicurezza non effettuano la manutenzione diretta del software, eppure la struttura aziendale continua a ritenerli responsabili dell’applicazione delle patch correttive.
Ellis individua qui una distorsione storica fondamentale: «Il peccato originale è che i team di sicurezza sono stati ritenuti responsabili delle correzioni, mentre i team di ingegneria del software non se ne occupano».
La tesi centrale stabilisce che la responsabilità di correggere il software debba ricadere interamente sui team di ingegneria, preferibilmente prima del rilascio commerciale del prodotto.
Dmitriy Sokolovskiy ha confermato la gravità della situazione legata alla qualità dello sviluppo, evidenziando una responsabilità collettiva del settore: «Produciamo software scadente da 30 anni e continuiamo a farlo a una velocità sempre maggiore perché possiamo e nessuno ci ferma».
Per contrastare questa tendenza, Sokolovskiy suggerisce di mutare radicalmente la filosofia di progettazione dei sistemi, citando come modello l’infrastruttura effimera osservata in Fidelity dieci anni prima.
In quel caso, l’architettura di rete presentava un ciclo di vita talmente breve da non consentire alle minacce di consolidarsi o causare danni sensibili.
L’obiettivo diventa la costruzione di infrastrutture nativamente resilienti, capaci di sopravvivere agli attacchi automatizzati, sulle quali far girare successivamente i prodotti applicativi.
Strategie di sopravvivenza aziendale e gestione del rischio operativo
La velocità imposta dal mercato costringe il CISO a valutare scenari operativi contrapposti, dove l’eccesso di cautela può rivelarsi letale quanto la totale noncuranza.
Nel dilemma tra il puntare immediatamente sull’intelligenza artificiale per battere la concorrenza accettando rischi ignoti e il mantenere una postura fortemente avversa al rischio rallentando l’adozione per coinvolgere la sicurezza in ogni fase, gli esperti convergono verso una scelta netta.
La trappola dell’avversione al rischio nell’adozione dell’IA
Andy Ellis definisce lo scenario della massima cautela burocratica come una forma di paralisi organizzativa, un rallentamento che equivale a una morte per commissione.
In contesti competitivi accesi, l’attesa del sistema perfetto impedisce lo sviluppo di qualsiasi progresso reale.
Anche Sokolovskiy concorda sul fatto che il pericolo maggiore per un’impresa moderna risieda nel mancato spiegamento delle nuove tecnologie ovunque sia possibile.
L’automazione non deve concretizzarsi in semplici assistenti testuali o chatbot, ma in veri e propri agenti autonomi capaci di operare su scala macchina.
Strumenti avanzati di mercato, come le piattaforme sviluppate da Dropzone AI o Strike 48, dimostrano la possibilità di effettuare investigazioni complete e triagiare gli avvisi di sicurezza anche nelle ore notturne, interrogando direttamente gli strumenti aziendali e rendendo visibile ogni singolo passaggio logico della difesa.
Questa visibilità totale si scontra con il fenomeno noto come stanchezza da avvisi. Citando l’analisi del ricercatore Joshua Copelan, si evidenzia come l’affaticamento dei tecnici sia spesso una diagnosi errata: il vero problema risiede nella bassa tolleranza verso le responsabilità operative che la proliferazione dei log genera.
Ellis ha sottolineato come molti fornitori di tecnologie di sicurezza abbiano un preciso incentivo economico a configurare strumenti che generano segnalazioni per qualsiasi anomalia, in modo da potersi sollevare da ogni colpa in caso di violazione informatica, dimostrando che l’allarme era presente all’interno di una mole enorme di dati indistinti.
Il compito del CISO diventa la selezione accurata di tecnologie dotate di capacità reali di filtraggio e risoluzione autonoma.
Sindrome dell’impostore e nuove metriche culturali
Le difficoltà operative e le pressioni dei vertici alimentano frequentemente dinamiche psicologiche complesse nei leader della sicurezza.
Di fronte al problema della sindrome dell’impostore, comune tra i neo-nominati, Ellis suggerisce di considerarla uno stimolo per il miglioramento continuo, da gestire attraverso l’adozione pragmatica di un budget di fallimento o di un budget di scuse volto ad accettare l’inevitabilità dell’errore.
Sokolovskiy ribadisce che la paura del fallimento è una componente intrinseca del ruolo, affermando che la mancanza di tale sensibilità precluderebbe la possibilità di essere un buon professionista della sicurezza.
L’estensione dell’intelligenza artificiale a livello aziendale sta modificando la mappa antropologica delle organizzazioni. La diffusione di modelli di linguaggio esteso (LLM) ha trasformato l’intera forza lavoro, dai dipartimenti delle risorse umane a quelli del marketing, in potenziali sviluppatori di soluzioni tecnologiche improvvisate.
Questa decentralizzazione radicale priva la sicurezza dei vecchi punti di controllo centralizzati.
La sfida per il CISO del futuro supera la classica protezione del perimetro o del codice ufficiale, estendendosi alla governance di un’organizzazione in cui ogni singolo dipendente possiede la capacità di generare ombra tecnologica e vulnerabilità diffuse.
Andy Ellis ha sintetizzato questo cambiamento epocale con una riflessione sulle difficoltà di coordinamento interne: «E se prima gli sviluppatori non ci ascoltavano, ora è il 100% dell’azienda a non ascoltarci».
Partecipa alla community