A marzo, Troy Stairwalt si è dimesso da CISO per lo stato del Wisconsin quando la richiesta di bilancio biennale della sicurezza informatica dello stato non ha ricevuto il supporto necessario per la revisione legislativa e i finanziamenti federali sono stati tagliati per diversi programmi di sicurezza informatica.
A partire dalla fine di maggio, nessuno era stato assunto per sostituire il responsabile della sicurezza delle informazioni, anche se il Dipartimento di Amministrazione dello stato spera di riempire la posizione presto, secondo un portavoce.
Questo tipo di vuoto nella leadership della sicurezza informatica, anche per un breve periodo di tempo, è probabilmente più comune di quanto si possa pensare, soprattutto perché il mandato medio di un CISO è stimato in soli 18–26 mesi, secondo un rapporto 2023 , molto meno della media di 4,9 anni per altri ruoli dirigenziali.
Non è chiaro come questo ruolo sia stato influenzato dai nuovi mandati normativi e dagli oneri di conformità, che sono cresciuti in modo esponenziale negli ultimi due anni. Una cosa, tuttavia, è certa: una partenza del CISO potrebbe accadere in qualsiasi momento, lasciando l’azienda senza timone in termini di sicurezza e più vulnerabile a una serie di minacce, e rendendo, in ultima analisi, essenziale un piano di successione del CISO per qualsiasi organizzazione.
La società di ricerca esecutiva Heidrick & Struggles, nel suo sondaggio 2024 Global Chief Information Security Officer Organization and Compensation Survey, ha rilevato che dei 416 CISO intervistati in tutto il mondo nell’estate 2024, poco meno della metà (47%) non ha un successore interno adeguato nel caso in cui il CISO se ne sia andato inaspettatamente, il che potrebbe essere piuttosto costoso considerando il mercato competitivo per i migliori talenti della sicurezza informatica.
"Non farti prendere alla sprovvista", afferma Paul Perry, responsabile della pratica di consulenza sui rischi presso Warren Averett, fornitore di tecnologia, contabilità e altri servizi aziendali. “E se vincessero la lotteria e non si presentassero al lavoro il giorno dopo?”
Il tuo piano di successione CISO: la risposta alla crescente conformità e ai nuovi regolamenti
A parte una vincita alla lotteria, diversi fattori possono contribuire alla partenza di un CISO, come l’ampliamento della portata del lavoro e la relativa moltitudine di fattori di stress.
“Non farti prendere alla sprovvista”.Paul Perry, responsabile della pratica di consulenza sui rischi, Warren Averett
Molti responsabili della sicurezza informatica si stanno ora assumendo nuove responsabilità come la gestione dei rischi legati all’intelligenza artificiale, la governance dei dati e la pianificazione strategica per i team di sicurezza, ma devono anche rimanere al passo con un numero crescente di normative sulla privacy dei dati e requisiti di conformità. Le nuove regole standardizzate di divulgazione informatica della SEC, ad esempio.
Approvate nel 2023 e in vigore dalla fine del 2023 alla fine del 2024, queste regole richiedono la divulgazione di incidenti di sicurezza informatica rilevanti entro quattro giorni lavorativi dalla determinazione che un incidente di sicurezza informatica è materiale; e la divulgazione annuale della gestione, della strategia e della governance del rischio di sicurezza informatica. Ciò significa che i CISO devono garantire che le pratiche corrette siano effettuate in tempo e che siano eseguite le valutazioni necessarie per mantenere la conformità delle loro organizzazioni. Si tratta di un onere aggiuntivo in un momento in cui stanno cercando di incorporare nuove forme di IA e automazione nei loro meccanismi di sicurezza generali.
[Leggi anche: Storia di successo del CISO – evoluzione dalle violazioni alla strategia aziendale]
Allo stesso tempo, i CISO sono sempre più tenuti a riferire e interagire con i loro consigli di amministrazione. Anche se questo può offrire vantaggi come una maggiore consapevolezza delle minacce e finanziamenti per i programmi di sicurezza, può anche presentare problemi di comunicazione se il consiglio di amministrazione manca di conoscenze tecniche.
Punti di pressione: perché un piano di successione CISO può alleviare lo stress (per i consigli di amministrazione, almeno)
L’aumento del carico di lavoro per i CISO, combinato con la crescente pressione per garantire la sicurezza delle imprese, può portare a burnout e dimissioni.
“La costante pressione per difendersi dall’evoluzione delle minacce informatiche contribuisce a creare stress e burnout significativi tra i CISO”, afferma Anthony Nyberg, direttore del Center for Executive Succession presso la Darla Moore School of Business dell’Università della Carolina del Sud.
“Tutti i ruoli dirigenziali sono estremamente stressanti, ma potrebbero esserci sfide più dirette per i CISO con un dolore sostanzialmente maggiore in tempo reale quando qualcosa va storto”, afferma Nyberg. “Il numero di telefonate di emergenza a mezzanotte potrebbe essere maggiore per i CISO rispetto alla maggior parte degli altri ruoli”.
I CISO sono nella difficile posizione di dover difendersi in modo proattivo dalle minacce, essere incolpati quando le cose vanno male e ricevere poco o nessun elogio quando le cose vanno bene, afferma Nyberg. "È difficile mostrare alle persone ciò che hai fatto bene quando il tuo ruolo è impedire che accadano cose brutte", dice.
[Leggi anche: 4 priorità di leadership critiche per i CISO nell’era dell’IA]
Con tutto questo, è facile capire perché un CISO potrebbe partire per una delle enormi opportunità di mercato là fuori per i professionisti informatici. Le imprese devono essere preparate per questo. Per garantire una transizione senza problemi quando un CISO lascia l’azienda, le organizzazioni dovrebbero prendere in considerazione le seguenti best practice:
1. Sviluppare un piano di successione formale
È fondamentale disporre di un piano di successione formale che identifichi i potenziali sostituti per l’attuale CISO e una proposta su come effettuare la transizione nel modo migliore. Un piano ben strutturato aiuta a garantire continuità nella leadership e riduce al minimo le interruzioni delle operazioni di sicurezza, afferma Nyberg.
“Se il piano di successione è perennemente in atto, i leader possono identificare ciò di cui i potenziali CISO avranno bisogno per essere efficaci”.Anthony Nyberg, direttore del Center for Executive Succession presso la Darla Moore School of Business dell’Università della Carolina del Sud
“Molte aziende non hanno piani di successione formali per molti dei loro ruoli dirigenziali, in particolare subito dopo che una persona ha iniziato il ruolo”, afferma Nyberg. “Se i CISO ricoprono il ruolo per un tempo inferiore rispetto ad altre posizioni, la probabilità di avere un solido piano di successione in tempo è inferiore”.
2. Identificare e formare i candidati interni
Può essere difficile trovare rapidamente successori CISO qualificati, afferma Nyberg. “Lo vediamo con molti ruoli dirigenziali; c’è semplicemente una mancanza di talenti necessari, e questo è probabile che sia ancora più vero in un’area – la sicurezza informatica – che sta cambiando così rapidamente”, afferma.
Investire nello sviluppo di talenti interni crea una pipeline di potenziali successori che hanno familiarità con la cultura e i sistemi dell’organizzazione, afferma Nyberg. “Si tratta di un elemento chiave nella pianificazione della successione e contribuisce a ridurre parte del rischio di dimissioni del CISO”, afferma. “Se il piano di successione è costantemente in atto, i leader possono identificare ciò di cui i potenziali CISO avranno bisogno per essere efficaci”.
Anche i dipendenti esistenti dovrebbero essere coinvolti nel piano: la direzione può informarli in modo che comprendano le competenze necessarie per diventare un CISO e sono incoraggiati a costruire quelle competenze per diventare un futuro candidato CISO.
3. Nominare un vice CISO
“Cerca di trovare un leader senior della sicurezza informatica che voglia davvero salire di livello e, dopo averne discusso con il CISO, assegnagli il ruolo di vice CISO e lo includa nelle riunioni esecutive [in modo che] possa acquisire esperienza”, afferma Doug Saylors, responsabile delle pratiche di sicurezza informatica presso la società di ricerca e consulenza tecnologica globale ISG.
“Cerca di trovare un leader senior della sicurezza informatica che voglia davvero salire di livello e, dopo averne discusso con il CISO…, lo includa nelle riunioni esecutive [in modo che] possa acquisire esperienza.”Doug Saylors, responsabile delle pratiche di sicurezza informatica, ISG
“Ciò consente al dipendente e al team di leadership di conoscersi e consente al dipendente di determinare se desidera davvero passare a un ruolo di CISO”, afferma Saylors. “Ancora più importante, se non hai un ruolo disponibile quando il vice è pronto per essere effettivamente un CISO, aiutalo a trovarne uno al di fuori dell’azienda. Questo crea lealtà, in modo che possano tornare quando è necessario.”
Nel caso in cui non ci siano candidati interni qualificati per il ruolo di CISO, le aziende possono provare ad assumere un CISO dall’esterno, magari su una base di consulenti part-time. Possono anche coinvolgere un CISO virtuale, un esperto di sicurezza informatica che fornisce una leadership a livello di CISO su base flessibile, remota e spesso contrattuale.
4. Coinvolgere il consiglio di amministrazione e la leadership esecutiva
Il coinvolgimento della leadership nella pianificazione della successione sottolinea l’importanza strategica della sicurezza informatica e garantisce l’allineamento con gli obiettivi organizzativi, afferma Nyberg.
“Sappiamo che è fondamentale che i ruoli di C-suite siano coinvolti strategicamente, e questo significa anche che quando i CEO scelgono un CISO devono pensare strategicamente a quali potrebbero essere le sfide future”, afferma Nyberg.
5. Comprendere l’attuale livello di sicurezza
Le organizzazioni devono assicurarsi che i dirigenti senior e il consiglio di amministrazione comprendano l’attuale posizione di sicurezza informatica dell’azienda e le eventuali lacune esistenti, afferma Saylors.
“Troppo spesso, le lacune vengono ignorate perché il CISO può mantenere le cose ‘al sicuro’ adottando costantemente misure straordinarie che generalmente non sono ben documentate o comprese”, afferma Saylors. “In questo caso, una partenza dal CISO lascia l’organizzazione inutilmente esposta. Le riunioni mensili con il CISO per discutere questi argomenti in modo comprensivo assicurano che i restanti membri del team e i dirigenti sappiano cosa fare se il CISO si allontana inaspettatamente”.
In conclusione: il CISO medio rimarrà al lavoro solo per circa due anni, forse meno, secondo le statistiche recenti. Ma le aziende non dovrebbero essere lasciate a fare i conti: seguendo queste best practice, un’organizzazione può avere un nuovo CISO in cantiere per una transizione graduale ogni volta che il vecchio cyber-boss lascia.
