La gestione della sicurezza informatica aziendale sta affrontando una profonda trasformazione strutturale, trainata da un disequilibrio crescente tra le responsabilità legali e l’effettiva autorità decisionale concessa ai dirigenti.
In un dettagliato dibattito tecnico guidato dall’host David Spark, Andy Ellis, principale esponente di Duha, e Megan Samford, vicepresidente della sicurezza dei prodotti e della catena di fornitura presso Schneider Electric, hanno tracciato una mappa accurata delle attuali dinamiche operative che caratterizzano la figura del CISO.
L’analisi dei dati e delle testimonianze raccolte offre una panoramica ravvicinata sul conflitto tra le esigenze di governance, le pressioni del mercato del lavoro e le necessità di protezione delle infrastrutture industriali.
Indice degli argomenti
Il mercato del lavoro dei leader della sicurezza: l’illusione dello sconto
L’evoluzione professionale di chi ricopre il ruolo di CISO mostra segni di forte logoramento interno.
Un’indagine condotta da IANS Research e Artico Security rivela un dato allarmante. Il 69% dei dirigenti della sicurezza si dichiara aperto a lasciare la propria posizione entro l’anno. Molti professionisti scelgono di abbandonare definitivamente l’assetto aziendale tradizionale. Essi preferiscono spostarsi verso funzioni di consulenza o di conformità normativa.
In questi ambiti, la responsabilità e l’autorità decisionale risultano finalmente allineate.
La stagnazione delle assunzioni e il blocco delle carriere
Questo desiderio di mobilità si scontra con un mercato del lavoro fortemente irrigidito. Samford ha evidenziato una statistica importante. Circa 1.500 CISO si trovano attualmente senza impiego.
Le organizzazioni non sembrano intenzionate a valorizzare economicamente l’esperienza consolidata. Al contrario, le imprese mostrano una netta preferenza per l’assunzione di profili alla prima esperienza nel ruolo. In questo modo, sfruttano la possibilità di ottenere un forte sconto sul pacchetto retributivo.
Questa dinamica genera una saturazione verso il basso. Di conseguenza, i passaggi di carriera più complessi rimangono bloccati. La consueta rotazione dei dirigenti viene definita dagli esperti come un «gioco delle sedie musicali».
Questo meccanismo risulta congelato da circa due o tre anni. In passato, lo spostamento di un dirigente in una grande azienda Fortune 500 innescava assunzioni e promozioni a catena.
Oggi l’ansia legata alla stabilità spinge i professionisti a mantenere le proprie posizioni.
Questo comportamento interrompe il flusso naturale del mercato. Samford descrive chiaramente questa situazione di stasi: «Ogni sei mesi sentiamo dire che il gioco inizierà a gennaio, il gioco inizierà a giugno, e il gioco semplicemente non è iniziato da due o tre anni».
Le disparità salariali e le richieste delle imprese
Le aziende tendono a cercare una figura che funga da unico responsabile formale in caso di crisi. Spesso, però, preferiscono non assegnare la denominazione ufficiale o l’adeguato budget economico.
Questa tendenza costringe i professionisti senior a virare verso ruoli di “Field CISO” o consulenza strategica. In questo modo evitano di dover ricostruire da zero la fiducia in strutture aziendali poco remunerative.
I dati salariali elaborati da Hitch Partners confermano questa enorme disparità. La variazione nei compensi può oscillare fino a quattro o cinque volte a seconda dell’organizzazione.
Modelli di governance aziendale: orologiaio contro giardiniere
Un secondo asse del dibattito riguarda la filosofia di gestione dei programmi di sicurezza. Phil Venables ha proposto una riflessione dividendo i leader in due approcci metodologici.
Da un lato troviamo l’orologiaio. L’orologiaio si concentra in modo ossessivo su ogni singolo controllo e documento di policy. Questo garantisce un sistema perfettamente pronto per gli audit esterni. Tuttavia, il modello rischia di diventare rigido quando le minacce informatiche evolvono rapidamente.
Dall’altro lato si posiziona il giardiniere. Il giardiniere si adopera per coltivare la cultura aziendale. Il suo obiettivo è distribuire la responsabilità della sicurezza tra i vari team.
Questo approccio promuove una resilienza organica. La sua efficacia risulta però complessa da descrivere chiaramente al consiglio d’amministrazione tramite una matrice di controllo lineare.
Il primato della cultura aziendale sulla policy
L’efficacia di questi modelli dipende dal rapporto gerarchico tra regolamenti e abitudini operative. Ellis sostiene l’importanza di dare priorità assoluta all’approccio del giardiniere.
La policy aziendale deve essere intesa esclusivamente come il riflesso della cultura interna. Non deve mai accadere il contrario. L’esperienza sul campo dimostra che i tentativi di modificare i comportamenti dei dipendenti tramite l’imposizione di regolamenti scritti falliscono.
Secondo Ellis, infatti: «Le persone che scrivono le policy pensano che si possa cambiare la cultura attraverso la policy. Non si può. Si cambia la cultura avendo strumenti che funzionano e poi si scrive la policy per farla combaciare con gli strumenti che funzionano».
La strategia delle tre linee di difesa
Per gestire questa transizione in grandi organizzazioni, Samford suggerisce l’applicazione di una strategia basata su tre linee di difesa.
La prima linea è situata direttamente dove il rischio si configura. Questo ambito include gli sviluppatori e le singole divisioni di business. I dipendenti devono essere dotati della capacità di interrompere la produzione. Questa facoltà si attiva se osservano comportamenti non in linea con i valori di sicurezza dell’azienda. Si tratta del concetto di “stop-the-line” tipico delle fabbriche degli anni Settanta.
Il CISO si colloca invece nella seconda linea di difesa. Il suo ruolo è quello di un supervisore del rischio o di un controllore del traffico aereo. Il suo compito principale è stabilire le strutture di governance.
Infine, la terza linea è riservata all’audit interno e alle certificazioni indipendenti di terze parti. Tra queste spicca lo standard internazionale 62443.
Il realismo industriale e la vulnerabilità dei sistemi operativi
Quando l’analisi si sposta sui sistemi di tecnologia operativa (OT), i paradigmi della sicurezza informatica tradizionale richiedono una profonda revisione. Muhammad Ali Khan di Toyota Tsusho Systems ha espresso osservazioni chiare su questo punto.
Negli stabilimenti industriali i fornitori esterni possiedono spesso un’autorità di sistema superiore rispetto ai team interni. Essi mantengono accessi remoti persistenti e credenziali condivise.
Questa prassi serve a garantire un funzionamento continuo delle macchine. In questo modo si evitano fermi di produzione multimilionari.
Di fronte a questa realtà, Samford introduce il concetto di realismo industriale.
Questo approccio impone di valutare l’efficacia dei controlli di sicurezza basandosi sui dati reali. Bisogna evitare la semplice trasposizione delle pratiche IT nell’ambiente di produzione.
Il mito delle patch e la centralità della rete
I dati dimostrano una realtà precisa. La stragrande maggioranza degli attacchi informatici nelle infrastrutture critiche non è causata dalla mancanza di patch sui singoli prodotti.
Il problema deriva principalmente dalla porosità intrinseca delle reti.
Un altro fattore critico è l’esposizione diretta dei dispositivi su internet. Questi sistemi sono facilmente visibili tramite motori di ricerca come Shodan o Censys. L’aggiornamento dei sistemi rimane un’attività importante.
Tuttavia, negli ambienti industriali i tempi di manutenzione sono limitati. I blocchi della produzione non vengono tollerati.
Samford ha descritto l’ecosistema con una metafora esplicita: «In molti casi, i prodotti OT, i relè, i sensori, cose che operano a livello uno, livello due, spuntando nel livello tre del modello OT tradizionale, non sono l’arma del delitto, gente. Sono il cadavere».
La priorità strategica deve quindi concentrarsi sulla segmentazione della rete. È fondamentale proteggere le interfacce uomo-macchina (HMI) e le workstation ingegneristiche. Questi elementi rappresentano i veri computer generici vulnerabili integrati nei sistemi OT.
Per superare i limiti delle finestre di manutenzione, i produttori stanno avviando collaborazioni con i fornitori di firewall. L’obiettivo è distribuire direttamente le firme protettive.
Questa misura salvaguarda i clienti anche prima dell’effettiva installazione della patch.
La gestione strategica del rischio e l’impatto economico dell’automazione
La corretta attribuzione della responsabilità rappresenta la principale fonte di pressione psicologica per il CISO.
Un principio fondamentale stabilisce che il dirigente della sicurezza non deve mai assumersi la proprietà esclusiva del rischio aziendale.
Il suo compito è operare come un supervisore esterno. I dirigenti dei vari rami di business hanno il dovere di esaminare le vulnerabilità segnalate. Essi devono firmare l’accettazione formale del rischio aziendale. Tale accettazione va inoltre vincolata a precisi limiti temporali.
Ellis ha chiarito questo punto con precisione: «L’unico e più grande fattore di stress nel mondo dei CISO è la convinzione di essere voi a decidere quali rischi debbano essere chiusi. E non è così. Questo è il lavoro dell’azienda».
Gestione degli incidenti e conformità normativa
In presenza di potenziali incidenti la strategia corretta prevede l’apertura immediata di un canale di gestione dedicato.
Un esempio tipico riguarda gli attacchi di phishing mirati sui dispositivi mobili aziendali. Bisogna comprendere subito la reale portata della minaccia. I team possono sfruttare la possibilità di de-escalare la gravità della segnalazione dopo gli accertamenti.
Questo metodo garantisce il rispetto delle normative globali sul trattamento dei dati, come la direttiva NIS 2 o il Cyber Resilience Act (CRA).
Le promesse e i limiti dell’intelligenza artificiale
Guardando alle prospettive future, l’attenzione si concentra sull’impatto economico delle nuove tecnologie di sviluppo.
Jen Easterly ha esaminato la questione in un saggio pubblicato sulla rivista Foreign Affairs. L’autrice ha ipotizzato che l’adozione diffusa dell’intelligenza artificiale possa portare a una svolta economica.
Lo strumento potrebbe rendere la scrittura di codice sicuro sostenibile su larga scala.
Questo traguardo si raggiungerebbe attraverso logiche di prevenzione e configurazioni sicure di default.
La tesi poggia su una consapevolezza diffusa. L’intera industria della sicurezza informatica attuale è nata per compensare le lacune strutturali di software che non avrebbero mai dovuto essere commercializzati.
Tuttavia, l’analisi tecnica invita alla massima cautela. I modelli linguistici di grandi dimensioni, gli LLM, sono stati addestrati su codici scritti storicamente da esseri umani.
Tali codici contengono un numero elevatissimo di vulnerabilità.
L’intelligenza artificiale ha di fatto imparato a scrivere codice insicuro. In assenza di driver economici chiari, lo scenario potrebbe mostrare forti criticità prima di generare benefici reali.
Inoltre, nell’ambito dei sistemi operativi industriali, l’integrazione dell’AI deve tassativamente rispettare il principio del controllo umano diretto(human-in-the-loop).
Questa regola esclude qualsiasi automazione che consenta all’algoritmo di inviare comandi diretti alle infrastrutture fisiche senza una previa verifica ingegneristica.
Partecipa alla community