Sababa Security S p A : Come un CISO può cambiare la visione del top management in materia di sicurezza informatica

La figura del Chief Information Security Officer (CISO) è fondamentale per garantire la sicurezza di qualsiasi grande azienda. Da quando è scoppiata la pandemia, la portata e la complessità delle mansioni del CISO sono cambiate radicalmente: i CISO infatti non sono più solo incaricati di gestire la sicurezza informatica, ma anche di proteggere molteplici dispositivi e applicazioni che si trovano al di fuori del perimetro dell'organizzazione.

Con la pandemia, interi team aziendali sono passati al lavoro da remoto da un giorno all'altro e successivamente la stragrande maggioranza delle aziende ha adottato policy di lavoro ibrido. I CISO si sono dunque ritrovati a dover proteggere in parallelo due infrastrutture: in primo luogo, i sistemi, i dispositivi e le reti per i dipendenti che lavorano dall'ufficio; in secondo luogo, un'ampia gamma di tecnologie mobili per i dipendenti che lavorano altrove.

Maggiore è la flessibilità, maggiore è la complessità

Se da un lato il lavoro ibrido offre maggiore flessibilità ai dipendenti e all'azienda, dall'altro questo comporta una maggiore complessità, che a sua volta implica una serie di nuovi rischi e minacce per le imprese. Questo scenario ha portato ad una notevole crescita del ruolo del CISO, sia in termini di portata che di scala, proprio perché la superficie di attacco è diventata esponenzialmente più ampia, il che significa che la sicurezza informatica deve essere più "elastica" ed onnicomprensiva.

Poiché questo ruolo è cambiato molto e si è evoluto negli ultimi anni, ci si è orientati nel tempo verso la protezione dei dati personali, piuttosto che dei sistemi e dei perimetri. I CISO hanno il compito di monitorare e gestire numerose minacce esterne - da gruppi di criminalità informatica ben finanziati, ad attori nation-state ed individui malintenzionati - così come occuparsi delle minacce interne - sia intenzionalmente malevoli che non. Inoltre, ad oggi, hanno anche responsabilità in materia di normative e compliance, nonché di formazione e sensibilizzazione degli utenti finali.

Se un tempo le mansioni dei responsabili IT erano orientate esclusivamente verso l'interno dell'azienda, oggi questi devono fornire anche servizi più orientati verso l'esterno, come il SOC (Security Operations Centre) as a service per stakeholder interni ed esterni. Allo stesso modo, queste figure vengono coinvolte in tutte le decisioni di acquisto della tecnologia e di sviluppo dei software, soprattutto dopo che la necessità di integrare la sicurezza fin dal principio ha dato origine alla tendenza DevSecOps.

Un mondo digitale

Inoltre, la rapida trasformazione digitale di imprese di ogni settore ha fatto sì che il ruolo del CISO si estendesse praticamente a tutte le aree dell'azienda. Ciò implica che i team di sicurezza possono trovarsi facilmente sovraccaricati e i SOC sommersi da richieste provenienti da tutta l'organizzazione e non solo. Inoltre, poiché la tecnologia si sta evolvendo ad un ritmo senza precedenti, i CISO vengono coinvolti in nuove aree in cui potrebbero avere poca esperienza, a prescindere dalla loro indiscutibile competenza, il che significa che anche loro avranno delle lacune conoscitive che dovranno essere colmate.

I cambiamenti nel panorama tecnologico e delle minacce vedono i team di sicurezza sovraccarichi di lavoro, il che aumenta la pressione sui CISO in un momento in cui trattenere gli attuali talenti e trovarne di nuovi con le giuste competenze è praticamente impossibile. Il fatto che l'acquisizione e lo sviluppo di talenti e competenze sia un'altra voce nell'elenco delle cose da fare di un CISO non fa che aggravare il problema.

Cambiare prospettiva

Ma la situazione non è così nera! Il lato positivo è che tutti questi fattori hanno fatto guadagnare al CISO un posto al tavolo del consiglio di amministrazione e dunque la possibilità di influire e far cambiare prospettiva a chi è a capo dell'azienda. I CISO di oggi sono i più importanti consulenti dell'organizzazione anche per quanto riguarda il rischio: dopo tutto, qualsiasi investimento in nuove soluzioni di cybersecurity deve portare un valore all'azienda e spetta al CISO mostrare al top management in che modo tali investimenti possano sostenere complessivamente gli obiettivi aziendali.

Questo non è sempre facile perché la percezione che la sicurezza sia un ostacolo alle operazioni aziendali è profondamente radicata. Pertanto, la sicurezza deve passare dall'avere una funzione prettamente tecnica o di compliance al ricoprire un ruolo strategico, che vede i security manager coinvolti nelle decisioni chiave fin dall'inizio. Le aziende più lungimiranti lo stanno già facendo e considerano i loro CISO come consulenti in materia di business risk, nonché membri essenziali del consiglio di amministrazione.

Portare a bordo le competenze necessarie

Non tutte le organizzazioni possono permettersi di avere un proprio CISO con un team di sicurezza al seguito, e anche quelle che possono, molto spesso non riescono a trovare professionisti con competenze adeguate. Ciò significa che le imprese devono saper comprendere e controllare i rischi in tutta l'azienda e organizzare la propria funzione di CISO in modo da supportarla nel modo più efficace possibile.

Per questo motivo, molte organizzazioni cercano di esternalizzare il ruolo ad esperti che abbiano le competenze e l'esperienza necessarie e che le offrano ad un costo nettamente inferiore di quello di un intero team dedicato alla cybersecurity.

Virtual CISO

Il portfolio di Sababa Security prevede la soluzione di Virtual CISO, tramite la quale viene temporaneamente assegnato al cliente un CISO con più di cinque anni di esperienza nel ruolo. Questa figura aiuta le aziende a costruire la propria strategia di sicurezza nel modo più efficace, supportandole nel raggiungimento dei propri obiettivi di business ed agendo nel loro pieno ed esclusivo interesse.

Tramite Sababa Virtual CISO le aziende possono ridurre la propria esposizione complessiva al rischio e migliorare gli investimenti presenti e futuri in materia di cybersecurity. Inoltre, questa figura aiuta i clienti ad adattarsi ai requisiti di business in continua evoluzione, in base al loro livello di maturità, e guida i team di sicurezza interni, promuovendo la sicurezza ai piani alti, tra i dirigenti e i membri del consiglio di amministrazione, ma anche tra i team non tecnici. Infine, aiuta i clienti a misurare e tenere traccia dei risultati ottenuti, risparmiando anche tempo e costi associati al reclutamento e al mantenimento di un esperto di cyber security dedicato.

Leggi il case study con Ansaldo Energia per scoprire in che modo Sababa Virtual Ciso ha supportato il colosso energetico nel suo percorso di trasformazione digitale.