Quando il gruppo tedesco Deutsche Post DHL — uno dei maggiori operatori di corriere al mondo — ha creato appositamente per David Thornewill, presso l’ marzo 2020, una posizione dedicata alla sicurezza informatica a livello globale, ciò è stato ben più di una semplice dimostrazione di fiducia nel suo talento. Si trattava, afferma Thornewill, del riconoscimento che la multinazionale, con numerose divisioni operanti in centinaia di paesi, necessitava di un approccio unificato per contrastare gli attacchi informatici.
«Man mano che la sicurezza informatica ha iniziato a occupare una parte sempre più importante delle nostre preoccupazioni e delle nostre risorse finanziarie, ci siamo resi conto che era necessario un miglior coordinamento», afferma Thornewill. «Perché le persone non prendono di mira le divisioni, ma i marchi.»
Attualmente, Thornewill ricopre il ruolo di responsabile della sicurezza informatica (CISO) del gruppo per il colosso della logistica e prevede di lasciare il suo precedente incarico di CIO per le operazioni della sede centrale il prossimo anno. (L’azienda è nata dalla privatizzazione delle poste tedesche e nel 2020 ha registrato un fatturato di 77 miliardi di dollari
.) Date le sue dimensioni e le sue reti di distribuzione, i responsabili della sicurezza informatica dell’azienda svolgono un ruolo fondamentale. Ogni divisione, tra cui DHL Express, DHL Supply Chain e DHL Global Forwarding, dispone di un CIO e di un CISO, così come ogni unità aziendale. Il ruolo di Thornewill consiste nel coordinare le varie iniziative in materia di sicurezza informatica tra tutti loro.
Non tutte le organizzazioni hanno esigenze della stessa portata di quelle della Deutsche Post. Tuttavia, il nuovo incarico di Thornewill evidenzia chiaramente la crescente importanza dei CISO qualificati di fronte all’attuale crisi globale della sicurezza informatica, e tale maggiore prestigio si riflette nella loro retribuzione.
Secondo un’indagine “ ” condotta dalla società di selezione del personale Heidrick & Struggles, la retribuzione totale mediana dei CISO negli Stati Uniti è aumentata del 19% quest’anno, passando da 784.000 nel 2020 a 936.000 . La retribuzione complessiva ha registrato un aumento medio del 12%, con i pacchetti retributivi più generosi riscontrati presso le aziende della costa occidentale. In quella regione, la retribuzione annua complessiva ammonta in media a oltre 1 milione di dollari nelle società quotate in borsa e a 731.000 dollari in quelle private, secondo uno studio intitolato “ ” condotto da Hitch Partners.
Le sfide legate al reclutamento
Man mano che le aziende escono dalla pandemia, riportano le proprie attività ai livelli pre-pandemici, proseguono il proprio percorso di trasformazione digitale e cercano di proteggere le proprie reti, stanno riscontrando difficoltà nel reperire responsabili della sicurezza informatica (CISO).
Una ricerca sempre più selettiva: i professionisti della sicurezza stanno affrontando un fenomeno di esaurimento professionale ( ) dovuto allo stress legato al proprio ruolo, mentre i candidati si stanno dimostrando sempre più esigenti riguardo allo stipendio o alla struttura gerarchica che sono disposti ad accettare.
Di conseguenza, professionisti come Bryan Kissinger, vicepresidente e CISO presso Trace3, una società di consulenza nel settore tecnologico e informatico, dedicano sempre più tempo a fornire servizi di consulenza in materia di sicurezza informatica (CISO) alle organizzazioni che non possono permettersi di assumerli a tempo indeterminato. Sebbene Kissinger affermi che uno squilibrio tra l’offerta e la domanda di talenti sia vantaggioso dal punto di vista commerciale, esiste anche un rovescio della medaglia. «Lavoro con ex CISO e mi trovo ad affrontare la sfida quotidiana di trattenerli e di retribuirli in modo adeguato per mantenere vivo il loro interesse», afferma.
[Legga anche: Che cos’è un punteggio di rischio informatico e perché è importante?]
Deutsche Post affronta questa sfida puntando sul potenziamento delle competenze dei dipendenti che possiedono già competenze nei settori della sicurezza delle applicazioni, del DevOps, della gestione dei rischi o della ricerca delle minacce, aiutandoli a ottenere le certificazioni necessarie e offrendo loro un percorso di orientamento professionale. «Preferisco assumere una persona appassionata piuttosto che una persona istruita», afferma Thornewill. «Posso sempre formare una persona appassionata», afferma.
I CISO devono essere flessibili e dotati di prontezza di spirito; è inoltre utile che siano bilingui, ovvero in grado di esprimersi sia in termini tecnici che in termini di risultati aziendali , rivolgendosi a un pubblico di dirigenti. Secondo l’indagine condotta da Heidrick, circa il 90% dei CISO presenta i propri risultati ai consigli di amministrazione delle aziende e tre quarti di essi lo fa con cadenza trimestrale. «I consigli di amministrazione pongono più domande che mai in materia di tecnologia», afferma Martha Heller, CEO di Heller Search Associates, società specializzata nella selezione di CIO, CTO e CISO aziendali. «La capacità del CISO di sapersi rivolgere all’ CEOe, al CFO e al consiglio di amministrazione è la competenza principale che cerchiamo.»
Chi fa capo a chi?
Per i CISO, la figura a cui fanno riferimento sta diventando un fattore chiave nella valutazione delle offerte di lavoro. In molti settori aziendali, i CISO hanno tradizionalmente fatto capo ai CIO. Ciò ha spesso suscitato accuse di conflitto di interessi da parte dei CISO, i quali lamentano che le loro priorità in materia di sicurezza siano subordinate agli obiettivi operativi e aziendali del CIO.
«La capacità del CISO di sapersi rivolgere al CEO, al CFO e al consiglio di amministrazione è la competenza principale che cerchiamo.»”Martha Heller, CEO, Heller Search Associates
Ancora oggi è piuttosto comune che i CISO facciano capo a un CIO, secondo l’indagine condotta da Heidrick, nella quale il 38% degli intervistati ha indicato tale struttura organizzativa, il 16% faceva capo a un CTO o a un responsabile tecnico, il 12% a un COO o a un dirigente amministrativo, il 11% all’ CEO e il resto a una serie di altre figure, tra cui il CISO globale e il chief risk officer.
Secondo Thornewill, il rischio di conflitti nelle linee gerarchiche è reale. Ad esempio, un CISO potrebbe desiderare che i clienti utilizzino un’autenticazione a più fattori , mentre il CIO preferirebbe dare priorità alla praticità. I CISO non possono aspettarsi di avere la meglio in ogni caso, poiché accettare un certo grado di rischio fa parte della realtà aziendale. Ma desiderano che le loro preoccupazioni vengano prese sul serio, afferma Thornewill.
All’interno della propria struttura aziendale, Thornewill fa capo direttamente all’ CEO di Deutsche Post. Egli afferma che i CISO delle principali divisioni del gruppo svolgono la maggior parte del lavoro necessario a garantire la sicurezza dell’organizzazione e dispongono di una struttura gerarchica più tradizionale. «I CISO di divisione fanno capo al CIO locale; non sono sicuro che questa sia la struttura ottimale, ma è così che operiamo», afferma Thornewill.
Cerca di offrire ai CISO delle divisioni “un’alternativa” qualora non venissero ascoltati. Rivalutare a chi debba fare riferimento il CISO — magari al COO, se non all’ CEO — è «una questione che merita una riflessione approfondita», afferma Thornewill.
La struttura ideale varia probabilmente in base al grado di maturità del programma di sicurezza informatica, afferma Kissinger. Se un’organizzazione dispone di un programma ben strutturato, potrebbe risultare utile che il CISO goda di maggiore autonomia. D’altra parte, per un CISO aziendale che sta cercando di potenziare e sviluppare un protocollo di sicurezza informatica, «far parte del team IT può rivelarsi estremamente prezioso», afferma.
Il ruolo in continua evoluzione del CISO
Sebbene la richiesta di CISO sia in aumento, i loro ruoli e le loro responsabilità sono in continua evoluzione.
Tradizionalmente, questa figura professionale richiede competenze tecniche nel settore IT, nonché una conoscenza approfondita della sicurezza delle reti e delle applicazioni, dei test di penetrazione, dell’ e e delle contromisure difensive. Con l’aumentare della necessità di strumenti e processi di sicurezza sempre più sofisticati e costosi, i CISO devono fornire una visione strategica e mettere a disposizione la propria esperienza in altri ambiti aziendali, quali la finanza e la conformità.
Il CISO deve inoltre essere sia un abile comunicatore sia un esperto in materia di governance, normative, gestione dei rischi e revisione contabile.
[Legga anche: Che cos’è il “threat hunting” e perché è importante?]
Thornewill possiede un MBA, il che gli consente di utilizzare il linguaggio del mondo degli affari e della finanza quando dialoga con l’ CEO e e il CFO. Nei suoi 20 anni di carriera in azienda, ha ricoperto incarichi in diversi settori dell’impresa, compresa la logistica. Egli afferma che alcuni dei suoi colleghi CISO possiedono competenze tecniche più approfondite, mentre altri hanno un background nel settore finanziario e della conformità. Soprattutto, afferma Thornewill, i CISO devono essere curiosi e impegnarsi in un processo di apprendimento costante.
Inserimento
Considerato che il valore dei CISO risiede sempre più nella loro formazione sul campo, i datori di lavoro si stanno dimostrando sempre più disposti a prendere in considerazione candidati che possiedono solo alcune delle qualità presenti nella loro lista dei requisiti e che dimostrano un potenziale di crescita.
«Lavoriamo prevalentemente con candidati che non sono ancora un prodotto finito», afferma Michael Piacente, socio amministratore e cofondatore di Hitch Partners, società che recluta talenti nel campo della sicurezza informatica per aziende tecnologiche specializzate nel cloud. Egli afferma che i candidati possono possedere un particolare “superpotere” in materia di sicurezza delle reti, sicurezza delle applicazioni o governance, rischio e conformità, ma necessitano di formazione in altre competenze, come la capacità di comunicare con il consiglio di amministrazione senza ricorrere a termini tecnici.
Una strategia per attirare un CISO di talento consiste nel soddisfare le sue ambizioni, ad esempio offrendogli un posto nel consiglio di amministrazione dell’azienda. Nel sondaggio condotto da Heidrick, sebbene solo il 4% dei CISO abbia dichiarato di far parte di un consiglio di amministrazione, la metà ha affermato di voler diventare membro di un consiglio di amministrazione. Heidrick sostiene che tale obiettivo possa essere realizzabile, dato che molti CISO fanno già parte di comitati consultivi, «e che la sicurezza informatica continuerà ad acquisire sempre maggiore importanza man mano che un numero crescente di aspetti operativi passerà interamente al digitale».
[Leggi anche: Non è possibile affrontare le minacce di domani con la mentalità di ieri]
Una delle principali difficoltà nel reclutamento è rappresentata dal bacino tradizionale di talenti per i CISO. Nel sondaggio condotto da Heidrick tra i CISO, oltre il 80% degli intervistati era di razza bianca e oltre il 80% era di sesso maschile. La situazione potrebbe cambiare nel prossimo futuro. Quest’anno, afferma il responsabile delle assunzioni, si sta “assistendo a una maggiore diversità tra le persone che ricoprono il ruolo di CISO e a una maggiore attenzione da parte delle aziende nell’assumere CISO provenienti da contesti diversi”.
Heidrick afferma di prevedere che le aziende si rivolgano sempre più spesso al di fuori del proprio settore tradizionale «per individuare i migliori dirigenti per il ruolo, comprese persone che presentino una diversità in termini di genere, razza o etnia, nonché di esperienza settoriale e competenze funzionali».
