CSO è l’acronimo di Chief Security Officer che, in italiano, può essere tradotto come “responsabile della sicurezza”: è il manager che risponde della sicurezza complessiva di un’azienda, per questo deve comprendere i rischi che l’organizzazione affronta, da quelli che riguardano persone e sedi a quelli informatici, e sapere come affrontarli e ridurli.
Il CSO definisce la strategia di sicurezza e la traduce in regole, procedure e investimenti, ed è un ruolo trasversale: il CSO deve dialogare con la direzione e valutare i rischi in base al loro impatto sull’attività, ma deve anche coordinare funzioni diverse, dalle risorse umane all’ufficio legale, dagli acquisti all’informatica.
Di che cosa si occupa il CSO?
Gli ambiti cambiano da un’azienda all’altra, ma di solito comprendono:
- sicurezza fisica: accessi alle sedi, sorveglianza, protezione di impianti, magazzini e beni;
- tutela delle persone: protezione di dipendenti e collaboratori da minacce e aggressioni, anche durante le trasferte;
- continuità operativa e gestione delle crisi: i piani per mantenere attiva l’azienda durante un incidente, che si tratti di un incendio, di un attacco informatico o di un blocco dei fornitori;
- frodi e indagini interne, insieme all’ufficio legale e alle risorse umane;
- sicurezza delle informazioni, in coordinamento con il CISO, dove c’è;
- conformità normativa: seguire l’evoluzione delle norme sulla sicurezza e adeguare le procedure quando cambiano.
Per fare bene questo mestiere servono competenze di gestione del rischio, conoscenza delle norme e capacità di guidare l’organizzazione nelle emergenze, ma conta molto anche la cultura della sicurezza: le regole funzionano solo se le persone ne capiscono il senso. Una parte importante del lavoro del CSO è far crescere questa consapevolezza in tutta l’azienda, insieme alle risorse umane.
Che differenza c’è tra CSO e CISO?
Il CSO non va confuso con il CISO (Chief Information Security Officer), il direttore della sicurezza informatica: il CISO si occupa di dati, reti e sistemi, mentre il CSO della sicurezza dell’azienda nel suo insieme, di cui quella informatica è una parte. Nelle aziende che hanno entrambe le figure, i due ruoli lavorano insieme mentre nelle realtà più piccole possono coincidere, o essere affidati ad altre figure.
Che cosa cambia con l’intelligenza artificiale per il CSO?
Tra le sfide più recenti per il CSO c’è l’intelligenza artificiale, che porta rischi nuovi su due fronti:
- la shadow AI, cioè l’uso sul lavoro di strumenti di AI non approvati dall’azienda, che può far uscire informazioni riservate;
- nuovi tipi di attacco, come la prompt injection, che inserisce istruzioni nascoste nei contenuti elaborati da un sistema di AI per modificarne il comportamento.
Per gestire questi rischi, il CSO contribuisce, insieme alla direzione e a chi segue informatica e protezione dei dati, alla policy AI aziendale, che stabilisce quali strumenti usare e con quali dati; fa poi leva sulla stessa cultura della sicurezza che coltiva per gli altri rischi: la formazione AI serve a far sapere alle persone come usare questi strumenti senza esporre l’azienda.