Coinvolgere il CISO? Facile a dirsi, ma non è qualcosa che si esaurisce con qualche meet ricorrente impostato sul calendario, in cui, declinando il Nosferatu di Herzog, si finisce a sperimentare ogni giorno le stesse, futili cose.
Con tanto di déjà vu, in cui anziché il glitch del gatto nero si reiterano le stesse richieste, le medesime risposte, e intanto il debito tecnico si va ad accumulare. Perché i buoni propositi, per quanto narrati in modo reiterato, non risolvono i problemi di governance.
Vero però che tutto inizia con l’impegno della Direzione, ma certamente non può esaurirsi in una statuizione di principio. Bisogna parlare del come, stanziare risorse, delegare attività, predisporre controlli, e in tutto questo è il CISO che assolve in pieno il proprio ruolo strategico. Ruolo che però deve tenere conto del contesto organizzativo, nonché permeare sia sul piano operativo che nei tavoli in cui si assumono le decisioni. Altrimenti, per quanto questi possano predisporre report, analisi, o proposte strategiche, se manca il raccordo o con il vertice o con le altre funzioni, ecco che l’apporto strategico sarà destinato a disperdersi in modo quasi omeopatico.
Fra il dire e il fare
Infatti, molto spesso il CISO si trova nella difficoltà di comunicare efficacemente con il board, motivo per cui fra le soft skill necessarie per esercitare tale funzione devono rientrare le capacità comunicative, la leadership, e tutto quello che porta a sapersi far ascoltare. A tutto ciò non giova ovviamente quel gap culturale che porta a falsi dilemmi di sicurezza, come quello fra sistemi aperti e chiusi, che impegnano le organizzazioni ben oltre il sostenibile. Con la logica conseguenza che si finirà a parlar d’altro, anziché occuparsi della governance di sicurezza. Anche questo è un aspetto cui il CISO deve tenere conto, dovendo predisporre interventi per “accompagnare” l’organizzazione verso una maggiore maturità di sicurezza cyber.
Esercitare un ruolo di governance non significa limitarsi a “fare il compitino”, ma anche conoscere l’organizzazione, le sue dinamiche e saper operare strategicamente dall’interno.
Altrimenti andrà a finire che la C di CISO starà per Cassandra.
Partecipa alla community