I CISO sono più ottimisti, ma lanciano l’allarme: “il nostro lavoro sempre più complesso”

I responsabili della sicurezza si trovano ad affrontare nuove sfide, ma lo fanno partendo da fondamenta decisamente più solide rispetto al passato. I segnali emergono da una ricerca di Proofpoint intitolata Voice of the CISO 2026, che ha raccolto il punto di vista di 1.600 responsabili della sicurezza in 16 paesi.

Il quadro che emerge sfata alcuni degli assunti che per lungo tempo hanno caratterizzato il settore – a partire dalla tendenza delle organizzazioni a centellinare gli investimenti in security – e ne confermano altre, come la cronica scarsità di risorse specializzate.

Il tutto in una fase di prepotente cambiamento legata all’implementazione dell’AI, che apre a scenari inediti e nuove sfide. Anche in questo ambito, però, la lettura dei CISO permette di leggere il fenomeno attraverso una prospettiva che evidenzia aspetti spesso trascurati.

Maggiore ottimismo, ma senza esagerare

La lettura delle statistiche ripotate da Proofpoint per quanto riguarda la capacità di gestire gli attacchi informatici è omogenea e ispirata a una certa positività. Tutti gli indicatori legati a questo aspetto, infatti, tratteggiano un miglioramento a livello di aspettative.

Se nel 2025 ben il 76% dei CISO ritenevano che la loro azienda fosse a rischio di un attacco informatico rilevante in una finestra di 12 mesi, nel nuovo report questo valore scende al 61%. Allo stesso modo cala la percentuale (dal 36% al 29%) di chi ritiene che un attacco simile sia molto probabile.

Anche quando si guarda ai risultati concreti, le cose sembrano andare meglio. Solo il 53% segnala una perdita di informazioni sensibili negli ultimi 12 mesi, un valore che nel 2025 toccava il 66%.

Dalla ricerca emerge anche la conferma di come sia mutato lo scenario stesso della cyber security. La maggiore preoccupazione riguarda infatti l’ipotesi di attacchi mirati, con il 56% dei CISO che ritengono che l’azienda non sia preparata per affrontarli.

Un dato, questo, che è in sostanziale continuità (58%) con l’anno precedente e che conferma, ancora una volta, come l’adattamento alle nuove strategie dei cyber criminali sia ancora troppo lento, per lo meno nell’ottica di un Chief Information Security Officer.

Guardando al dato geografico, il fanalino di coda è rappresentato curiosamente dagli Stati Uniti. I CISO che operano in aziende statunitensi sembrano infatti molto più pessimisti dei loro colleghi: l’89% ritiene per esempio che sia probabile che la sua azienda subisca un attacco rilevante.

A ben vedere, però, non si tratta di semplice pessimismo. Gli Stati Uniti, stando alla ricerca, sono il paese in cui l’84% dei CISO ammettono che la loro organizzazione ha subito una rilevante perdita di dati sensibili nel corso dell’anno precedente.

AI e fattore umano: il rischio tempesta perfetta

Se si guarda alle minacce e agli ambiti di sviluppo che agitano i sonni dei CISO, le sorprese sono poche.

In picchiata la percentuale di intervistati che segnalano preoccupazione legata alla gestione dei malware (19% contro un 33% nel 2025) e anche per l’eterno spauracchio dei ransomware (23% contro 36%). Più o meno costante quella legata al takeover degli account cloud.

Fonte: Proofpoint Voice of the CISO 2026.

A livello di tecnologie e piattaforme, a sollevare i maggiori timori è l’intelligenza artificiale, soprattutto nella sua declinazione più avanzata di Agentic AI.

Approfondendo il tema, si scopre però che oltre a una (legittima) ansia legata alle capacità di gestire un’implementazione “sicura” dell’AI, i rischi individuati riguardano più le modalità di utilizzo che la tecnologia in sé. In altre parole, le vere tensioni riguardano non tanto l’potesi di bug o malfunzionamenti, quanto le modalità d’uso che vengono fatte dell’intelligenza artificiale da parte degli utenti.

Nel report si legge che “Quando ai CISO viene chiesto quali sistemi li preoccupino maggiormente in termini di rischi, il cambiamento diventa più chiaro. Le piattaforme di collaborazione si classificano al primo posto con il 34%. Gli assistenti di IA, i copiloti o gli agenti autonomi integrati nei flussi di lavoro e nelle applicazioni SaaS con integrazioni di terze parti seguono da vicino con il 33% ciascuno. Seguono gli strumenti di IA generativa pubblici con il 31%, le piattaforme di archiviazione cloud e condivisione di file con il 30% e le API e gli strumenti di automazione con il 29%”.

In sostanza, quello che sembra continuare a preoccupare più di tutto è il solito “anello debole” della catena: il fattore umano.

Non è un caso che il 79% dei CISO interpellati indichino il rischio umano come principale vulnerabilità informatica della loro azienda e che, nella classifica delle cause che hanno provocato la perdita di dati nelle aziende, quelle legate all’errore umano (o a un comportamento doloso di un impiegato) si aggiudichino tutte le prime posizioni. Clamoroso, infine, il dato per cui i collaboratori in uscita dall’azienda avrebbero avuto un ruolo nella perdita di dati nel 93% dei casi.

Fonte: Proofpoint Voice of the CISO 2026.

La security si è guadagnata un nuovo ruolo

Un capitolo specifico è dedicato alla percezione del ruolo del CISO all’interno dell’organizzazione, misurato adottando la prospettiva del livello di “allineamento con il consiglio d’amministrazione”.

Qui la tendenza è piuttosto netta: la percentuale dei CISO che afferma che il board condivide il loro punto di vista è in crescita: 85% contro il 64% del 2025. Un dato che, come sottolineano gli autori, ha avuto un andamento piuttosto altalenante negli ultimi anni ma che segna comunque una netta crescita rispetto allo sconsolante 51% registrato nel 2022.

Anche l’annosa questione legata a concessioni di budget insufficienti sembra essere stata superata. L’86% dei CISO interpellati affermano infatti che la loro organizzazione destina risorse adeguate – a livello di budget, personale e strumenti – per raggiungere gli obiettivi di sicurezza informatica.

L’anno scorso lo affermava solo il 67%. Allo stesso modo, l’82% afferma che l’azienda ha adottato le misure necessarie per tutelarli da eventuali responsabilità personali, garantendo la conformità alle normative.

Insomma: la cyber security non è più la “Cenerentola” dei dipartimenti. Merito probabilmente dell’impatto che gli attacchi informatici hanno avuto negli ultimi anni a livello di business continuity e, parallelamente, a normative finalmente orientate a obiettivi strategici rispetto ai semplici “adempimenti formali” che caratterizzavano le regolamentazioni passate.

L’altro lato della medaglia, riportano gli autori di Proofpoint, è la percezione che le aspettative nei confronti dei CISO stiano aumentando esponenzialmente, con fattori di complessità crescenti e un rischio burnout (57%) ancora piuttosto elevato.