Inserendo 12 anni come responsabile della sicurezza delle informazioni per il Commonwealth della Pennsylvania, Erik Avakian non solo è riuscito a sopravvivere a tre governatori successivi, ma ha anche superato di gran lunga la durata media di altri CISOs—18 -26 mesi.
Non è che Avakian non avesse stress o si sentisse esausto come i suoi colleghi del settore. Occasionalmente lo faceva. Ma si considerava un combattente e amava la sfida di respingere gli hacker, cioè fino allo scorso autunno, quando ha deciso che era finalmente il momento di fare qualcos'altro.
“In realtà mi sento meglio mentalmente e fisicamente ora”, ammette Avakian, ora nel settore privato come consulente tecnico per Info-Tech Research. “Il mio viso è più luminoso e sono più sano in generale.”
Avakian non è il solo a volere un cambiamento. In effetti, un sondaggio di 2022 BlackFog ha rilevato che quasi un terzo (32%) dei CISO statunitensi e britannici sta valutando la possibilità di lasciare le loro attuali organizzazioni.
Nel frattempo, un altro recente studio del reclutatore esecutivo Heidrick & Struggles ha rilevato che il 60% dei CISO è affetto da stress e il 53% soffre di burnout.
È una situazione che sta andando fuori controllo da un po 'di tempo. Ma i professionisti della sicurezza dicono di credere che possa essere invertito se affrontano attivamente le cause alla radice dei problemi.
Il cuore della questione
Un problema è sentirsi bloccati in un lavoro ingrato. La maggior parte dei CISO riferisce ai Chief Information Officer (CIO). Come i loro capi, ci si aspetta che promuovano l'efficienza operativa. Raramente ricevono una pacca sulla schiena. Sentono la leadership solo quando le cose vanno male e passano più tempo a dire alle persone di no che a chiedere come possono aiutare i loro colleghi a promuovere l’innovazione. Anche i CISO sono considerati centri di costo piuttosto che fonti di reddito.
Niente di tutto questo li rende popolari.
“Molte persone pensano che la sicurezza significhi rallentare le cose quando cercano di portare a termine gli affari”.Chris Prewitt, CTO/CISO, Inversion6
“Molte persone pensano che la sicurezza sia una questione di rallentare le cose quando cercano di portare a termine le attività”, afferma Chris Prewitt, CTO/CISO per Inversion6, un fornitore di gestione dei rischi di cybersecurity. “Stai spingendo contro l’inerzia del business, o almeno questa è la percezione comune.”
Inoltre, poiché i CISO siedono a diversi livelli gerarchici rispetto alla C-suite e fanno rapporto al consiglio solo poche volte all’anno, soffrono di essere fuori dalla vista e fuori dalla mente. Lo sviluppo delle metriche di successo spesso passa attraverso più livelli di revisione, in cui le aspettative possono essere state annacquate così tanto da non riflettere più la realtà.
Un CISO di un importante produttore di alimenti e snack afferma che un CIO della sua precedente azienda ha persino modificato il suo report sulla conformità dello stabilimento per mostrare risultati migliori durante una presentazione del consiglio di amministrazione.
“Questo è il tipo di cosa che aggiunge stress”, dice il CISO, che ha voluto rimanere anonimo. “Non so se fosse necessariamente dannoso, ma l’ho visto come una violazione della mia integrità, e quindi l’ho espresso un po ‘. In definitiva, come CISO che riporta al consiglio, mi ha davvero detto che potrebbe essere il momento di uscire da lì. "
[6 domande sulla sicurezza informatica che dico sempre alle bacheche di porre]
Una difficoltà correlata: responsabilità senza autorità. La maggior parte dei CISO è di guardia 24 ore al giorno, perché le violazioni possono verificarsi in qualsiasi momento. Infatti, il 60% degli intervistati “ si disconnette raramente”. La maggior parte lavora 16,5 ore estenuanti a settimana in più di quanto sia contratto. Ma se si verifica un attacco informatico e non riescono a raggiungere qualcuno per autorizzare una risposta rapida, è probabile che la colpa cada direttamente sulle spalle del CISO.
“Molti CISO lottano per essere accettati come parte della confraternita C-suite, ma ci si aspetta che tutti si comportino come un C-suite exec quando si adatta ai nostri signori e padroni”, afferma Paul Watts, ex CISO di Kantar, una società di consulenza di analisi dei dati, nonché di Domino’s Pizza. Attualmente ricopre il ruolo di analista per l’Information Security Forum (ISF).
Lavorare con la leadership senior
Naturalmente, se i CISO fossero in grado di stringere forti relazioni con i leader senior e i membri del consiglio di amministrazione, la colpa ingiustificata potrebbe essere evitata. Ma molti sono tecnologi tattici che non hanno le competenze trasversali per gestire. In quanto tali, non hanno la possibilità di avere sponsor senior che si guardano le spalle mentre lottano per ottenere il supporto esecutivo per le esigenze critiche di budgeting e personale.
"Essere un CISO non significa più saper leggere l'acquisizione di un pacchetto, ma comunicare ai dirigenti aziendali come ciò che è contenuto in quell'acquisizione di pacchetti influisce sull'organizzazione", afferma Avakian. “Purtroppo, si vedono molti giovani CISO che hanno ancora bisogno di sviluppare le loro capacità di comunicazione aziendale. A volte hanno difficoltà a comunicare con la leadership, non ottengono il consenso per i loro programmi e finiscono per andarsene.
Molti CISO hanno anche difficoltà con la crescente complessità, sofisticazione e portata degli attacchi informatici che si stanno facendo strada, affermano i professionisti della sicurezza. Gli strumenti di hacking automatizzati, che utilizzano l’intelligenza artificiale (AI) e l’apprendimento automatico (ML) per cercare buchi nelle reti e penetrarle su larga scala, potrebbero presto dare un vantaggio agli hacker. Anche con le proprie contromisure di IA e ML, i team di sicurezza IT sono spesso troppo a corto di personale o inesperti per tenere a bada lo sciame di hacker armati di IA.
Steve Zalewski, ex CISO di Levi Strauss, dice che il suo team spesso ha superato il suo peso perché aveva solo così tanto budget e capacità per combattere hacker sempre più capaci.
“Mi sono reso conto che avevamo usato tutti i trucchi del libro e ci affidavamo sempre più spesso alla fortuna”, afferma Zalewski, che ha lasciato la professione per avviare S3 Consulting, un servizio di consulenza sulla sicurezza informatica. “È allora che la frustrazione cresce, perché vuoi fare molto di più.”
Quindi, come salire sopra la mischia?
Superare l’esasperazione e il morale basso non è facile. Ma i CISO possono migliorare il loro benessere ed estendere la loro carriera seguendo queste quattro raccomandazioni:
1. Negoziare un accordo migliore
Nel ruolo di CISO, è importante, per ragioni di sanità mentale, negoziare i termini di impiego. Una discussione dovrebbe avvenire idealmente prima di accettare una posizione. Ma se sei già stato assunto, una conversazione sincera sui problemi con il CIO o il responsabile del reparto dovrebbe avvenire prima di alzare le mani e uscire dalla porta.
“I giovani CISO… a volte hanno difficoltà a comunicare con la leadership, non ottengono il consenso per i loro programmi e finiscono per andarsene”.Erik Avakian, ex CISO, Commonwealth of Pennsylvania
Parte di questa conversazione dovrebbe includere il raggiungimento di una comprensione in anticipo su cosa aspettarsi in termini di budget e personale. Se un’organizzazione sta limitando o riducendo gli investimenti in sicurezza informatica, non può aspettarsi che i CISO a corto di risorse forniscano gli stessi risultati che avevano prima dei tagli.
“Ho visto diverse situazioni in cui i CISO sono stati mantenuti, ma il loro budget e il loro personale sono stati drasticamente ridotti, e non sono stati in grado di svolgere il loro lavoro in modo efficace”, afferma Zalewski. “Se il tuo budget viene tagliato, hai l’obbligo di rinegoziare le aspettative contrattuali con la tua leadership. Se insinuate semplicemente che farete di più con meno, vergognatevi, perché questo è ciò che il team esecutivo spera che facciate”.
Il CISO dell’azienda alimentare e degli snack raccomanda inoltre di superare il dilemma della responsabilità senza autorità, assicurandosi il diritto di agire se si è già verificato un grave attacco informatico, un segno distintivo del quadro zero-trust. I CISO dovrebbero anche assicurarsi che i loro datori di lavoro offrano loro la stessa protezione informatica attraverso l' assicurazione di responsabilità civile di direttori e funzionari (D&O) che ricevono i membri del C-suite e del consiglio di amministrazione, afferma. L'assicurazione li protegge se vengono citati in giudizio, o addirittura affrontano accuse penali, a seguito di un attacco, come il capo della sicurezza di Uber Joseph Sullivan ha sperimentato dopo essere stato condannato per un crimine per aver nascosto una violazione.
[Leggi anche: il cyber whistleblowing sta mettendo i capi della sicurezza al posto caldo]
"Se si presentasse un qualche tipo di procedimento civile o penale e non si avesse la protezione D&O, allora si dovrebbe avere una propria politica", dice il CISO. “Questa è una cosa fondamentale di cui i CISO dovrebbero discutere quando prendono in considerazione un lavoro”.
2. Apprendere e mettere in pratica le soft skills
I CISO del futuro non possono avere successo affidandosi solo alle loro abilità tecniche. Poiché i problemi di sicurezza informatica hanno un impatto crescente sui profitti, i leader senior si rivolgeranno al personale di sicurezza IT per spiegare in che modo stanno proteggendo i dati e le risorse critiche dell’organizzazione, consentendole di condurre il business e guidare l’innovazione più facilmente. La conservazione del lavoro, quindi, richiede ai CISO di imparare a parlare in termini aziendali piuttosto che tecnici.
[Leggi anche: come i CISO possono parlare di rischio informatico in modo che i CEO ascoltino]
Alcuni CISO acquisiscono queste competenze trasversali nel tempo. Ma con il panorama delle minacce in costante espansione e intensificazione, non è abbastanza veloce. Avakian consiglia di iscriversi a un programma di formazione sulla comunicazione aziendale per accelerare l'apprendimento. Alcuni programmi di certificazione di sicurezza informatica offrono anche corsi di comunicazione esecutiva come parte del loro curriculum, osserva.
3. Svolgi un lavoro che ti sta a cuore
Michael P. Leiter, psicologo delle organizzazioni e coautore di The Burnout Challenge, afferma che i CISO possono anche minimizzare le irritazioni annotando quali elementi del loro lavoro li motivano, quindi spostando lentamente i loro programmi e carichi di lavoro in quelle direzioni.
"Poche persone hanno un lavoro che amano ogni singolo minuto della giornata", dice Leiter, ex professore di psicologia organizzativa alla Deakin University in Australia. “L’obiettivo dovrebbe essere quello di ottenere un migliore equilibrio tra le cose che ti piace davvero fare e le cose che non ti piacciono.”
4. Dare priorità a mente e corpo
Il lavoro di sicurezza informatica può far impazzire i CISO o farli perdere la serenità. Per questo motivo, alcuni professionisti della sicurezza consigliano di investire tempo in terapia o altre attività di salute mentale.
“Se il tuo budget viene tagliato [e] implichi solo che farai di più con meno, vergognati.”Steve Zalewski, ex CISO, Levi Strauss
“Penso che ogni CISO debba concentrarsi sul proprio benessere generale”, afferma Avakian. “Hai bisogno di molta forza mentale in questo lavoro. Dovrai impegnarti a rimanere in salute, sia fisicamente che mentalmente, in modo da poter essere un leader efficace e un buon amministratore per il tuo team.
È anche importante che il CISO controlli regolarmente con le persone del team di sicurezza per vedere come stanno, aggiunge.
I CISO hanno anche bisogno di forza fisica e resistenza, motivo per cui il 80% dei 250 leader tecnologici a livello globale ha dichiarato a OneLogin di utilizzare l’esercizio fisico per compensare le pressioni sul lavoro.
“Quello che sappiamo è che lo stato attuale del corpo influenza comportamenti, sentimenti e pensieri”, ha detto Robin Massey, psicologo industriale-organizzativo. “Pertanto, è importante capire come i fattori fisiologici sono interconnessi con quelli relazionali e psicologici”.
Questo è un consiglio mente-corpo duramente conquistato. Ma è utile per chiunque sieda nel sedile caldo della sicurezza informatica.
