Cyber Security Manager e CISO: quali competenze servono

Nel panorama della cybersecurity italiana – e, più in generale, in quello globale – la figura del Cyber Security Manager sta acquisendo una rilevanza sempre maggiore. Se fino a qualche anno fa l’acronimo CISO era sconosciuto ai più, oggi il suo peso all’interno degli organigrammi aziendali (indipendentemente dalle dimensioni dell’azienda) cresce in maniera esponenziale.  

La sicurezza informatica, infatti, costa. Ma ancor di più costa la cyber (in)sicurezza: nel caso un’azienda prenda sottogamba i cyber rischi e non adotti adeguate policy di sicurezza e di protezione delle infrastrutture informatiche, i costi da sostenere potrebbero essere molto elevati. È fondamentale, dunque, mettere in campo delle azioni che consentano di minimizzare i rischi di attacco (o quanto meno ridurli) e proteggere infrastruttura di rete e informazioni contenute al suo interno. 

Per questo, il Cyber Security Manager è una figura professionale che trova una crescente richiesta da parte di PMI e aziende di grandi dimensioni. Non solo: negli ultimi anni, a questa figura si è affiancata quella del CISO (acronimo di Chief Information Security Officer), professionista della sicurezza informatica, ma con una “vocazione” manageriale e gestionale. Come tale, deve possedere o acquisire competenze trasversali, sia in ambito tecnico, più strettamente legate alla security, sia in ambito manageriale.

Chi è il Cyber Security Manager  

Traducibile con “Specialista della sicurezza informatica”, il Cyber Security Manager si occupa di far rispettare le policy di sicurezza informatica aziendale. In base allo European e-Competence Framework, il documento che classifica le competenze richieste ai professionisti del mondo ICT, il Cyber Security Manager si occupa di: 

• Definire strategia e standard della sicurezza informatica aziendale; 
• Contribuire alla stesura delle policy di sicurezza; 
• Valutare rischi, minacce e possibili conseguenze; 
• Stabilire e gestire il piano di Incident Response.  

Si tratta, quindi, di un ruolo fortemente operativo, che implica la partecipazione in operazioni di difesa del perimetro informatico aziendale, di recupero di dati e infrastrutture in caso di attacco, di valutazione dei rischi e delle minacce informatiche che potrebbero colpire l’azienda. 

CISO, chi è e cosa fa 

Il CISO è la figura responsabile di gestire tutte le operazioni riguardanti la sicurezza informatica aziendale, sia da un punto di vista operativo sia da un punto di vista manageriale. In questa veste, si occupa di progettare e realizzare il piano di cybersecurity aziendale, per proteggere le infrastrutture e le properties informatiche aziendali e i dati contenuti al loro interno. 

Tra le mansioni del CISO, dunque, rientrano: 

1. Assessment dello stato della sicurezza aziendale, per individuare falle e vulnerabilità e avviare un processo di revisione delle policy basato su un approccio security by design 
2. Definizione delle policy e delle procedure che dovranno essere adottate per proteggere l’infrastruttura dell’azienda e i dati sensibili dei dipendenti e dei clienti 
3. Monitoraggio degli incidenti di sicurezza per valutare quali siano gli interventi più efficaci per fornire una risposta pronta a eventuali attacchi  

Le responsabilità di un cyber security manager e di un CISO

Nonostante le differenze tra i due ruoli, il primo più operativo e il secondo più manageriale, il cyber security manager e il CISO condividono, dunque, la responsabilità della sicurezza informatica aziendale e di quella che tecnicamente viene definita la security posture dell’organizzazione. Devono infatti:

• implementare e supervisionare il programma di cybersecurity dell’organizzazione, assicurandosi che l’azienda rispetti le normative e i regolamenti in materia;
• scegliere le soluzioni software e lo stack tecnologico più in linea con le esigenze di sicurezza dell’organizzazione;
• monitorare le attività di risposta agli incidenti, supervisionando il lavoro dei team di security;
• gestire la continuità operativa e adottare piani efficaci di disaster recovery, nel caso si verifichi un incidente di sicurezza; 
• allineare gli obiettivi di sicurezza a quelli di business, garantendo la sicurezza di ogni nuovo progetto ed evitando che le procedure di cybersecurity rallentino l’attività;
• fare reporting in materia di cyber security, tenendo informati vertici aziendali e consiglio di amministrazione sulle decisioni assunte in materia di sicurezza;
• promuovere tra i dipendenti una cultura della sicurezza informatica, prevedendo corsi di formazione e attività di awareness a ogni livello dell’organizzazione.

Qual è lo stipendio di un cyber security manager e di un CISO

Con la crescita continua di attacchi informatici, le aziende hanno iniziato a investire molte risorse nella protezione delle infrastrutture, delle reti e dei dati sensibili. Non è un caso, perciò, che la posizione del cyber security manager e quella del CISO siano diventate sempre più importanti e ben remunerate all’interno delle organizzazioni. Arrivare a ricoprire il ruolo di IT security manager o quello di Head of cyber security può infatti assicurare retribuzioni molto elevate, soprattutto dopo anni di esperienza a capo di team di security e veri e propri security operation center (SOC).

Secondo i dati forniti da Randstad, multinazionale specializzata nell’ambito delle risorse umane, un responsabile della sicurezza informatica che lavora in Italia nel 2023 può percepire uno stipendio medio che può andare dai 25.000 euro per una posizione entry level fino ad oltre 70.000 euro, per i profili più esperti e qualificati. Ovviamente, la retribuzione di un security manager può variare in relazione a diversi fattori, primi fra tutti il livello di esperienza, il grado di responsabilità e il campo di specializzazione, visto che sono sempre più richieste competenze settoriali, ad esempio, in materia di cloud security o network security.

Inoltre, bisogna tener conto del tipo di organizzazione che offre una posizione di ICT security manager o di responsabile della sicurezza informatica. Le aziende di grandi dimensioni sono sempre alla ricerca di bravi esperti di sicurezza e, per superare la concorrenza, sono disposte a offrire stipendi molto più alti di quelli che possono permettersi le PMI. Di regola, poi, le aziende private possono permettersi retribuzioni ben più alte di quelle offerte dalle pubbliche amministrazioni. 

Le competenze che servono per essere Security Manager e CISO

Il bagaglio di competenze che ogni Cyber Security Manager deve possedere è frutto di un mix tra hard skill e soft skill che lo rende adeguato sia a ricoprire un ruolo fortemente operativo, sia uno manageriale e organizzativo. Il responsabile della sicurezza informatica aziendale, nello specifico, dovrà essere in grado di assicurare: 

• Gestione delle risorse IT, per valutare quale sia lo stato dell’infrastruttura informatica aziendale e individuare falle e vulnerabilità; 
• Gestione del rischio, per valutare i cyber rischi che minacciano maggiormente l’azienda; 
• Gestione del processo di cyber response, per valutare quali siano le migliori azioni da intraprendere in caso di attacco per minimizzare danni “fisici” ed economici. 

Il Cyber Security Manager, dunque, ha una formazione estremamente tecnica, con laurea in informatica o ingegneria informatica e deve tenersi costantemente aggiornato, anche attraverso l’ottenimento di certificazioni, sulle più recenti e diffuse tecniche di attacco informatico, sulle infiltrazioni digitali e sulle minacce presenti online

E chi, invece, volesse diventare un CISO? Quella dello Chief Information Security Officer è una figura estremamente versatile, con compiti che spaziano dall’ambito della sicurezza informatica a quello della gestione aziendale. Fondamentale, dunque, avere una formazione altrettanto versatile: a solide basi in ambito IT (teoria delle reti, programmazione, cybersecurity) devono essere affiancate conoscenze e competenze in campo finanziario e amministrativo. Non bisogna mai dimenticare, infatti, che il CISO è un security manager e, in tale veste, verrà chiamato a scegliere come investire il budget che l’azienda gli mette a disposizione. 

Cyber Security Manager e CISO in Italia: i numeri 

Come emerge dall’ultimo report dell’Osservatorio Cybersecurity e Data protection del Politecnico di Milano “Cybersecurity verso un fronte comune”, pubblicato a febbraio del 2023, nel 53% delle imprese oggi è presente un Chief Information Security Officer (CISO) formalizzato, che si colloca principalmente all’interno della Direzione IT (37%). 

A questo panorama piuttosto dinamico si contrappone, però, una certa insoddisfazione sul fronte organizzativo. Al momento, il 40% delle imprese non ha ancora una figura che si occupi di sicurezza aziendale e le mansioni che dovrebbero essere svolte dal Cyber Security Manager o dal CISO vengono invece affidate al CIO o altri membri del team IT. Una lacuna, come visto, che le aziende intendono colmare nel minor tempo possibile.