Con i suoi 12 anni di servizio in qualità di responsabile della sicurezza informatica del Commonwealth della Pennsylvania, Erik Avakian non solo è riuscito a superare in durata tre governatori consecutivi, ma ha anche superato di gran lunga la durata media del mandato , compresa tra CISOs—18 e 26 mesi, indicata dall’.
Non è che Avakian non avesse stress o non si sentisse esausto come i suoi colleghi del settore. Lo faceva di tanto in tanto. Ma si considerava un combattente e amava la sfida di respingere gli hacker — almeno fino allo scorso autunno, quando decise che era finalmente giunto il momento di dedicarsi a qualcos’altro.
«In effetti ora mi sento meglio sia dal punto di vista mentale che fisico», ammette Avakian, che ora lavora nel settore privato come consulente tecnico per Info-Tech Research. «Il mio viso appare più luminoso e, nel complesso, mi sento più in salute.»
Avakian non è l’unico a desiderare un cambiamento. Infatti, un sondaggio condotto da BlackFog ( 2022 ) ha rivelato che quasi un terzo (32%) dei CISO statunitensi e britannici sta valutando la possibilità di lasciare le proprie attuali organizzazioni.
Nel frattempo, un altro studio recente di , condotto dalla società di selezione del personale Heidrick & Struggles, ha rilevato che il 60% dei CISO è affetto da stress e il 53% soffre di burnout lavorativo.
Si tratta di una situazione che ormai da un po’ di tempo sta sfuggendo al controllo. Tuttavia, gli esperti di sicurezza ritengono che la situazione possa essere risolta se si affrontino attivamente le cause alla radice dei problemi.
Il nocciolo della questione
Uno dei problemi è sentirsi bloccati in un lavoro ingrato. La maggior parte dei CISO fa capo ai responsabili delle tecnologie dell'informazione (CIO). Come i loro superiori, ci si aspetta che promuovano l’efficienza operativa. Raramente ricevono una pacca sulla spalla. I dirigenti si rivolgono a loro solo quando le cose vanno male e dedicano più tempo a dire “no” alle persone che a chiedere in che modo possano aiutare i propri colleghi a promuovere l’innovazione. I CISO sono inoltre considerati centri di costo anziché fonti di ricavo.
Nulla di tutto ciò li rende popolari.
«Molte persone pensano che la sicurezza serva solo a rallentare il lavoro quando cercano di portare a termine le proprie attività.»Chris Prewitt, Direttore tecnico (CTO) e Responsabile della sicurezza informatica (CISO), Inversion6
«Molte persone pensano che la sicurezza serva solo a rallentare i processi quando cercano di portare a termine il proprio lavoro», afferma Chris Prewitt, CTO/CISO di Inversion6, un’azienda specializzata nella gestione dei rischi legati alla sicurezza informatica. «State cercando di contrastare l’inerzia dell’azienda — o almeno questa è l’impressione generale.»
Inoltre, poiché i CISO si trovano diversi livelli gerarchici al di sotto dei vertici aziendali e riferiscono al consiglio di amministrazione solo poche volte all’anno, rischiano di passare inosservati e di essere dimenticati. Lo sviluppo dei loro indicatori di successo passa spesso attraverso diverse fasi di revisione, al termine delle quali le aspettative potrebbero essere state talmente ridimensionate da non riflettere più la realtà.
Un CISO di un’importante azienda produttrice di alimenti e snack afferma che un CIO della sua precedente azienda una volta ha addirittura modificato il rapporto di conformità dello stabilimento per far apparire risultati migliori durante una presentazione al consiglio di amministrazione.
«È proprio questo genere di cose che aumenta lo stress», afferma il CISO, che ha preferito mantenere l’anonimato. «Non so se si trattasse necessariamente di un atto doloso, ma l’ho considerato una violazione della mia integrità e quindi ho espresso in parte la mia opinione al riguardo.» In definitiva, in qualità di CISO che riferisce direttamente al consiglio di amministrazione, ciò mi ha fatto capire che forse era giunto il momento di andarmene da lì.”
[6 domande sulla sicurezza informatica che consiglio sempre ai consigli di amministrazione di porre]
Una difficoltà correlata: la responsabilità senza autorità. La maggior parte dei CISO è reperibile 24 ore al giorno, poiché le violazioni possono verificarsi in qualsiasi momento. Infatti, secondo , il 60% degli intervistati su “si disconnette raramente”. La maggior parte dei lavoratori lavora 16,5 ore estenuanti alla settimana in più rispetto a quanto previsto dal contratto. Tuttavia, qualora si verificasse un attacco informatico e non fosse possibile contattare qualcuno che autorizzi una risposta rapida, la responsabilità ricadrebbe probabilmente interamente sulle spalle del CISO.
«Molti CISO faticano a essere accettati come membri a pieno titolo della cerchia dei dirigenti di alto livello, ma ci si aspetta che tutti si comportino come dirigenti di alto livello quando ciò fa comodo ai nostri signori e padroni», afferma Paul Watts, ex CISO presso Kantar, una società di consulenza nel campo dell’analisi dei dati, nonché presso Domino’s Pizza. Attualmente ricopre il ruolo di analista di spicco presso l’Information Security Forum (ISF).
Collaborazione con i vertici aziendali
Naturalmente, se i CISO fossero in grado di instaurare rapporti solidi con i vertici aziendali e i membri del consiglio di amministrazione, si potrebbero evitare accuse ingiustificate. Tuttavia, molti di loro sono tecnologi con un approccio tattico che non dispongono delle competenze trasversali necessarie per gestire i propri superiori. Di conseguenza, non possono contare sul sostegno di figure dirigenziali di alto livello mentre faticano a ottenere il sostegno dei vertici aziendali per esigenze fondamentali in materia di bilancio e di personale.
«Essere un CISO non significa più solo saper leggere una cattura di pacchetti; significa piuttosto comunicare in modo ai dirigenti aziendali in che modo il contenuto di quella cattura di pacchetti influisca sull’organizzazione», afferma Avakian. «Purtroppo, si vedono molti giovani CISO che devono ancora sviluppare le proprie capacità di comunicazione aziendale. «A volte hanno difficoltà a comunicare con i vertici aziendali, non riescono a ottenere il sostegno necessario per i propri programmi e finiscono per andarsene».
Secondo gli esperti di sicurezza, molti CISO si trovano inoltre a dover affrontare la crescente complessità, sofisticazione e portata degli attacchi informatici a cui sono esposti. Gli strumenti di hacking automatizzati, che utilizzano l’intelligenza artificiale (IA) e il machine learning (ML) per individuare vulnerabilità nelle reti e penetrarvi su larga scala, potrebbero presto fornire agli hacker un vantaggio competitivo. Nonostante dispongano di proprie contromisure basate sull’intelligenza artificiale (IA) e sull’apprendimento automatico (ML), i team di sicurezza informatica sono spesso troppo a corto di personale o privi dell’esperienza necessaria per tenere a bada la marea di hacker dotati di IA.
Steve Zalewski, ex CISO di Levi Strauss, afferma che il suo team ha spesso ottenuto risultati superiori alle proprie possibilità, poiché disponeva di risorse finanziarie e capacità limitate per contrastare hacker sempre più abili.
«Mi sono reso conto che avevamo sfruttato ogni stratagemma possibile e che facevamo sempre più affidamento sulla fortuna», afferma Zalewski, che ha lasciato la professione per fondare S3 Consulting, un servizio di consulenza in materia di sicurezza informatica. «È in quel momento che la frustrazione cresce, perché si vorrebbe fare molto di più.»
Come fare, quindi, per distinguersi dalla massa?
Superare l’esasperazione e il calo di morale non è facile. Tuttavia, i CISO possono migliorare il proprio benessere e prolungare la propria carriera seguendo queste quattro raccomandazioni:
1. Negoziare condizioni migliori
Nel ruolo di CISO, è importante — per il proprio benessere mentale — negoziare le condizioni di impiego. Idealmente, sarebbe opportuno tenere un colloquio prima di accettare un incarico. Tuttavia, se è già stato assunto, dovrebbe cercare di avere una conversazione sincera sui problemi con il CIO o il responsabile del reparto prima di alzare le mani e andarsene.
«I giovani CISO… a volte hanno difficoltà a comunicare con i vertici aziendali, non ottengono il sostegno necessario per i propri programmi e finiscono per andarsene.»Erik Avakian, ex responsabile della sicurezza informatica (CISO) del Commonwealth della Pennsylvania
Parte di questa conversazione dovrebbe consistere nel raggiungere fin dall’inizio un accordo su cosa aspettarsi in termini di budget e organico. Se un’organizzazione limita o riduce gli investimenti nella sicurezza informatica, non può aspettarsi che i CISO, con risorse limitate, ottengano gli stessi risultati di prima dei tagli.
«Ho assistito a numerose situazioni in cui i CISO sono stati confermati nel loro incarico, ma il loro budget e il loro organico sono stati drasticamente ridotti, impedendo loro di svolgere efficacemente il proprio lavoro», afferma Zalewski. «Se il vostro budget subisce dei tagli, avete l’obbligo di rinegoziare le condizioni contrattuali con la vostra dirigenza. «Se si limita a lasciare intendere che farà di più con meno risorse, dovrebbe vergognarsi, perché è proprio quello che il team esecutivo si aspetta da lei.»
Il CISO dell’azienda produttrice di alimenti e snack raccomanda inoltre di affrontare il dilemma della “responsabilità senza autorità” assicurandosi il diritto di agire qualora si sia già verificato un grave attacco informatico, una caratteristica distintiva del modello “zero-trust” dell’ . I CISO dovrebbero inoltre assicurarsi che i propri datori di lavoro offrano loro la stessa protezione informatica tramite un’assicurazione di responsabilità civile per amministratori e dirigenti (D&O) di cui beneficiano i membri del C-suite e del consiglio di amministrazione, afferma. L’assicurazione li tutela nel caso in cui vengano citati in giudizio, o addirittura debbano affrontare accuse penali, a seguito di un attacco, come è accaduto al responsabile della sicurezza di Uber, Joseph Sullivan, dopo che è stato condannato per un reato grave per aver nascosto una violazione dei dati.
«Se dovesse presentarsi una causa civile o penale e Lei non disponesse di una copertura D&O, dovrebbe stipulare una polizza a titolo personale», afferma il CISO. «Questo è un aspetto fondamentale di cui i CISO dovrebbero discutere quando valutano un’offerta di lavoro.»
2. Acquisire e mettere in pratica le competenze trasversali
I CISO del futuro non potranno avere successo affidandosi esclusivamente alle proprie competenze tecniche. Poiché le questioni relative alla sicurezza informatica hanno un impatto sempre maggiore sui risultati economici, i vertici aziendali si rivolgeranno al personale addetto alla sicurezza informatica affinché spieghi in che modo sta proteggendo i dati critici e le risorse dell’organizzazione, consentendole al contempo di svolgere la propria attività e promuovere l’innovazione con maggiore facilità. Per mantenere il proprio posto di lavoro, pertanto, i CISO devono imparare a esprimersi in termini aziendali anziché tecnici.
Alcuni CISO acquisiscono queste competenze trasversali nel corso del tempo. Tuttavia, dato che il panorama delle minacce è in costante espansione e si sta intensificando, ciò non è abbastanza rapido. Avakian raccomanda di iscriversi a un corso di formazione sulla comunicazione aziendale per accelerare il processo di apprendimento. Egli sottolinea inoltre che alcuni programmi di certificazione in materia di sicurezza informatica offrono anche corsi di comunicazione per dirigenti nell’ambito del proprio piano di studi.
3. Svolga un lavoro che Le sta a cuore
Michael P. Leiter, psicologo organizzativo e coautore di * * , **, *The Burnout Challenge*, e , afferma che i CISO possono inoltre ridurre al minimo le fonti di irritazione annotando quali aspetti del proprio lavoro li motivano, per poi orientare gradualmente i propri programmi e carichi di lavoro in quella direzione.
«Sono poche le persone che svolgono un lavoro che amano in ogni singolo minuto della giornata», afferma Leiter, ex professore di psicologia organizzativa presso la Deakin University in Australia. «L’obiettivo dovrebbe essere quello di raggiungere un migliore equilibrio tra le cose che vi piace davvero fare e quelle che invece non vi piacciono.»
4. Date priorità alla mente e al corpo
Il lavoro nel campo della sicurezza informatica può rischiare di far impazzire i CISO o di privarli della tranquillità. Per questo motivo, alcuni esperti di sicurezza raccomandano di dedicare del tempo alla terapia o ad altre attività legate alla salute mentale.
“Se il vostro budget viene ridotto [e] vi limitate a lasciare intendere che farete di più con meno risorse, dovreste vergognarvi.”Steve Zalewski, ex responsabile della sicurezza informatica (CISO) di Levi Strauss
«Ritengo che ogni CISO debba prestare attenzione al proprio benessere generale», afferma Avakian. «In questo lavoro occorre una grande forza mentale. “Dovrete impegnarvi a mantenervi in buona salute, sia fisicamente che mentalmente, in modo da poter essere un leader efficace e un buon punto di riferimento per il vostro team.”
È inoltre importante che il CISO si tenga regolarmente in contatto con i membri del team di sicurezza per verificare come stanno procedendo, aggiunge.
I CISO devono inoltre disporre di forza fisica e resistenza; ecco perché il 80% dei 250 leader del settore tecnologico a livello globale ha dichiarato a OneLogin di ricorrere all’attività fisica per compensare lo stress lavorativo.
«Quello che sappiamo è che lo stato attuale del corpo influenza i comportamenti, le emozioni e il pensiero», ha affermato Robin Massey, psicologa del lavoro e delle organizzazioni, in una dichiarazione. «Pertanto, è importante comprendere in che modo i fattori fisiologici siano interconnessi con quelli relazionali e psicologici.»
Si tratta di consigli su mente e corpo conquistati a fatica. Ma è utile per chiunque si trovi a ricoprire un ruolo di primo piano nel campo della sicurezza informatica.
