A marzo, Troy Stairwalt si è dimesso da CISO per lo stato del Wisconsin quando la richiesta di budget biennale per la cybersecurity dello stato non ha ricevuto il supporto necessario per la revisione legislativa, e i finanziamenti federali sono stati tagliati per diversi programmi di cybersecurity.
A fine maggio, nessuno era stato assunto per sostituire il responsabile della sicurezza delle informazioni, sebbene il Dipartimento dell'Amministrazione statale speri di coprire la posizione a breve, secondo un portavoce.
Questo tipo di vuoto nella leadership della cybersecurity, anche per un breve periodo di tempo, è probabilmente più comune di quanto si pensi — soprattutto considerando che la permanenza media di un CISO è stimata in soli 18–26 mesi, secondo un 2023rapporto, molto meno della media di 4,9 anni per altri ruoli della C-suite.
In che modo la durata di tale incarico sia stata influenzata dai nuovi mandati normativi e dagli oneri di conformità, cresciuti esponenzialmente negli ultimi due anni, rimane poco chiaro. Una cosa, tuttavia, è certa: la partenza di un CISO potrebbe avvenire in qualsiasi momento, lasciando l'azienda senza guida in termini di sicurezza e più vulnerabile a una serie di minacce, rendendo in definitiva un piano di successione del CISO essenziale per qualsiasi organizzazione.
La società di ricerca di dirigenti Heidrick & Struggles, nel suo 2024 Global Chief Information Security Officer Organization and Compensation Survey, ha rilevato che dei 416 CISO intervistati in tutto il mondo nell'estate 2024, poco meno della metà (47%) non disponeva di un adeguato successore interno nel caso in cui il CISO se ne andasse inaspettatamente – il che potrebbe essere piuttosto costoso considerando il mercato competitivo per i migliori talenti della cybersecurity.
"Non farti cogliere impreparato," afferma Paul Perry, responsabile della consulenza sui rischi presso Warren Averett, un fornitore di tecnologia, contabilità e altri servizi aziendali. "E se vincessero alla lotteria e non si presentassero al lavoro il giorno dopo?"
Il tuo piano di successione per il CISO: la risposta alla crescente conformità e alle nuove normative
A parte una vincita alla lotteria, diversi fattori possono contribuire alla partenza di un CISO – come l'ampliamento dell'ambito lavorativo e la moltitudine di fattori di stress correlati.
"Non farsi cogliere impreparati."Paul Perry, responsabile della pratica di consulenza sul rischio, Warren Averett
Molti responsabili della cybersecurity stanno ora assumendo nuove responsabilità come la gestione del rischio legato all'intelligenza artificiale, la governance dei dati, e la pianificazione strategica per i team di sicurezza, dovendo al contempo tenersi aggiornati su un numero crescente di normative sulla privacy dei dati e requisiti di conformità. Le nuove norme standardizzate della SEC sulla divulgazione informatica, ad esempio.
Approvate in 2023 e con effetto dalla fine di 2023 fino alla fine di 2024, queste norme richiedono la divulgazione di incidenti di cybersecurity rilevanti entro quattro giorni lavorativi dalla determinazione che un incidente di cybersecurity è rilevante; e la divulgazione annuale della gestione del rischio, della strategia e della governance della cybersecurity. Ciò significa che i CISO devono garantire che le comunicazioni appropriate vengano effettuate nei tempi previsti e che le valutazioni necessarie vengano eseguite per mantenere le loro organizzazioni in conformità. È un onere aggiuntivo in un momento in cui stanno cercando di incorporare nuove forme di IA e automazione nei loro meccanismi di sicurezza complessivi.
[Leggi anche: Storia di successo di un CISO – evolversi dalle violazioni alla strategia aziendale]
Allo stesso tempo, ci si aspetta sempre più che i CISO riferiscano e si confrontino con i consigli di amministrazione aziendali. Sebbene ciò possa offrire vantaggi come una maggiore consapevolezza delle minacce e finanziamenti per i programmi di sicurezza, può anche presentare sfide comunicative se il consiglio di amministrazione non dispone di conoscenze tecniche.
Punti di pressione: perché un piano di successione del CISO può alleviare lo stress (almeno per i consigli di amministrazione)
Il maggiore carico di lavoro per i CISO, combinato con la crescente pressione per garantire la sicurezza delle aziende, può portare al burnout e alle dimissioni.
"La pressione costante per difendersi dalle minacce informatiche in continua evoluzione contribuisce a stress significativo e burnout tra i CISO," afferma Anthony Nyberg, direttore del Center for Executive Succession presso la Darla Moore School of Business dell'Università del South Carolina.
"Tutti i ruoli del C-suite sono estremamente stressanti, ma potrebbero esserci sfide più dirette per i CISO con un dolore in tempo reale sostanzialmente maggiore quando qualcosa va storto," afferma Nyberg. "Il numero di telefonate di emergenza a mezzanotte può essere maggiore per i CISO che per la maggior parte degli altri ruoli."
I CISO si trovano nella difficile posizione di dover difendersi proattivamente dalle minacce, essere incolpati quando le cose vanno male e ricevere pochi o nessun elogio quando le cose vanno bene, afferma Nyberg. "È difficile mostrare alle persone ciò che hai fatto bene quando il tuo ruolo è impedire che accadano cose brutte," afferma.
[Leggi anche: 4 priorità di leadership critiche per i CISO nell'era dell'IA]
Con tutto questo, è facile capire perché un CISO potrebbe lasciare il posto per una delle enormi opportunità di mercato disponibili per i professionisti della cybersecurity. Quindi le aziende devono essere preparate a questo. Per garantire una transizione fluida quando un CISO se ne va, le organizzazioni dovrebbero considerare le seguenti best practice:
1. Sviluppare un piano di successione formale
Avere un piano di successione formale che identifichi i potenziali sostituti dell'attuale CISO e una proposta su come gestire al meglio la transizione è fondamentale. Un piano ben strutturato favorisce la continuità della leadership e riduce al minimo le interruzioni delle operazioni di sicurezza, afferma Nyberg.
"Se il piano di successione è costantemente in atto, i leader possono identificare quale formazione aggiuntiva i potenziali CISO dovranno acquisire per essere eventualmente efficaci."Anthony Nyberg, direttore del Center for Executive Succession presso la Darla Moore School of Business dell'Università della Carolina del Sud
"Molte aziende non dispongono di piani di successione formali per molti dei loro ruoli C-suite, in particolare poco dopo che una persona inizia il ruolo," afferma Nyberg. "Se i CISO rimangono nel ruolo per meno tempo rispetto ad altre posizioni, la probabilità di avere un solido piano di successione in atto in tempo è inferiore."
2. Identificare e formare candidati interni
Può essere difficile trovare tempestivamente successori qualificati per il ruolo di CISO, afferma Nyberg. "Lo vediamo con molti ruoli della C-suite; c'è semplicemente una mancanza di talenti necessari, e questo è probabilmente ancora più vero in un settore – la cybersecurity – che sta cambiando così drasticamente e così rapidamente," afferma.
Investire nello sviluppo dei talenti interni crea un bacino di potenziali successori familiari con la cultura e i sistemi dell'organizzazione, afferma Nyberg. "Questo è un elemento chiave nella pianificazione della successione e aiuta a ridurre parte del rischio legato alla partenza del CISO," afferma. "Se il piano di successione è costantemente in atto, i leader possono identificare quale formazione aggiuntiva richiederanno i potenziali CISO per essere eventualmente efficaci."
Anche i dipendenti esistenti dovrebbero essere coinvolti nel piano: la direzione può informarli affinché comprendano le competenze necessarie per diventare CISO e siano incoraggiati a sviluppare tali competenze per diventare futuri candidati al ruolo di CISO.
3. Nominare un vice CISO
"Cercate di trovare un senior leader della cybersecurity che voglia davvero avanzare di carriera e, dopo una discussione con il CISO, nominatelo vice CISO e includetelo nelle riunioni esecutive [così] potrà acquisire esperienza," afferma Doug Saylors, responsabile della practice di cybersecurity presso la società globale di ricerca e consulenza tecnologica ISG.
"Cerca di trovare un responsabile senior della cybersecurity che voglia davvero fare carriera e, dopo una discussione con il CISO…, includilo nelle riunioni esecutive [così] potrà acquisire esperienza."Doug Saylors, responsabile della practice di cybersecurity, ISG
"Questo permette al dipendente e al team di leadership di conoscersi reciprocamente e consente al dipendente di stabilire se voglia davvero assumere un ruolo da CISO," afferma Saylors. "Soprattutto, se non hai un ruolo disponibile quando il vice è pronto per diventare effettivamente un CISO, aiutalo a trovarne uno al di fuori dell'azienda. Questo crea fedeltà, così potrebbe tornare quando necessario."
Nel caso in cui non vi siano candidati interni qualificati per il ruolo di CISO, le aziende possono cercare di assumere un CISO dall'esterno, magari su base part-time come consulente. Possono anche assumere un CISO virtuale, un esperto di cybersecurity che fornisce una leadership di livello CISO su base flessibile, da remoto e spesso contrattuale.
4. Coinvolgi il consiglio di amministrazione e la leadership esecutiva
Coinvolgere la leadership di vertice nella pianificazione della successione sottolinea l'importanza strategica della cybersecurity e garantisce l'allineamento con gli obiettivi organizzativi, afferma Nyberg.
"Sappiamo che è fondamentale che i ruoli C-suite siano coinvolti strategicamente, e questo significa anche che quando i CEO scelgono un CISO devono pensare strategicamente a quali potrebbero essere le sfide future," afferma Nyberg.
5. Avere una comprensione dell'attuale postura di sicurezza
Le organizzazioni devono garantire che i dirigenti senior e il consiglio di amministrazione comprendano l'attuale postura di cybersecurity dell'azienda e le eventuali lacune esistenti, afferma Saylors.
"Troppo spesso, le lacune vengono ignorate perché il CISO riesce a mantenere le cose 'sicure' adottando costantemente misure straordinarie che generalmente non sono ben documentate o comprese," afferma Saylors. "In questo caso, la partenza di un CISO lascia l'organizzazione inutilmente esposta. Riunioni mensili con il CISO per discutere questi argomenti in modo comprensivo garantiscono che i membri del team rimanenti e i dirigenti sappiano cosa fare se il CISO dovesse partire inaspettatamente."
In sintesi: il CISO medio rimarrà in carica solo per circa due anni, forse meno, secondo le statistiche recenti. Ma le aziende non dovrebbero trovarsi in difficoltà: seguendo queste best practice, un'organizzazione può avere un nuovo CISO già pronto per una transizione fluida ogni volta che il vecchio responsabile della cybersecurity se ne va.
