CISO è l’acronimo di Chief Information Security Officer che, in italiano, corrisponde al direttore della sicurezza informatica: il suo ruolo è proteggere le informazioni, i sistemi e i servizi digitali dell’azienda, riducendo i rischi legati alle tecnologie che usa: attacchi informatici, perdita o furto di dati, vulnerabilità di software e reti.
Di che cosa si occupa il CISO?
Tra i compiti principali del CISO ci sono:
- definire e far rispettare le regole di sicurezza informatica dell’azienda, cioè policy, standard e procedure;
- valutare i rischi e individuare le debolezze di sistemi, reti e applicazioni prima che qualcuno le sfrutti;
- gestire accessi e identità, cioè decidere chi può vedere e modificare quali informazioni;
- reagire con prontezza agli incidenti di cybersicurezza e guidare il ripristino dei sistemi;
- valutare la sicurezza dei fornitori e dei servizi esterni che trattano dati aziendali;
- garantire la conformità alle norme sulla sicurezza, come il GDPR per i dati personali e, per le aziende che rientrano nel suo perimetro, la disciplina NIS2;
- formare l’organizzazione in materia di sicurezza informatica, perché molti attacchi, a partire dal phishing, passano dalle persone.
Per fare questo mestiere servono molta esperienza in sicurezza informatica e, spesso, certificazioni riconosciute a livello internazionale, come Certified Information Systems Auditor (CISA), Certified in Risk and Information Systems Control (CRISC) e Certified Information Security Manager (CISM). Le competenze tecniche però non bastano, il CISO infatti deve saper spiegare i rischi alla direzione in termini di impatto sull’attività e motivare gli investimenti in sicurezza, e deve anche lavorare con altre figure, come il responsabile dei sistemi informativi e chi si occupa di protezione dei dati.
Il CISO non va confuso con il CSO (Chief Security Officer), che risponde della sicurezza dell’azienda nel suo insieme, comprese persone, sedi e beni. La sicurezza informatica è una parte di questo perimetro (nelle aziende che hanno entrambe le figure, CISO e CSO lavorano insieme).
Quali rischi porta l’intelligenza artificiale al lavoro del CISO?
Accanto alle minacce di sempre, dal phishing al ransomware, l’intelligenza artificiale aggiunge al lavoro del CISO alcuni rischi specifici:
- la shadow AI, cioè l’uso di strumenti di IA non approvati dall’azienda, che porta dati aziendali fuori dai controlli;
- la prompt injection, un attacco che nasconde istruzioni in un documento, in un’email o in una pagina web per manipolare il sistema di IA che li elabora;
- l’AI agentica, cioè agenti che accedono ai sistemi aziendali e compiono azioni. Qui un errore o un’istruzione malevola può diventare un’operazione, e per questo i permessi vanno limitati al necessario.
Anche su questi rischi conta la formazione: il compito di formare l’organizzazione oggi comprende l’uso dell’IA, ovvero quali strumenti sono autorizzati, quali dati non inserire e come riconoscere i contenuti sospetti (è il terreno della formazione AI).