Sebbene le principali cause del burnout dei CISO siano ampiamente trattate nelle conferenze e dai media — questioni quali le più recenti minacce alla sicurezza informatica, i tagli al bilancio o la crescente pressione da parte del consiglio di amministrazione per garantire la sicurezza della propria organizzazione — un fattore di stress di lunga data e in aumento rimane spesso in secondo piano: la perdita di gran parte del proprio personale a causa del turnover naturale.
Sostituire il personale qualificato può rivelarsi già di per sé una sfida non da poco per i responsabili della sicurezza informatica (CISO) di , soprattutto alla luce della crescente carenza di personale in questo settore caratterizzato da un elevato livello di stress. Tuttavia, il turnover del personale può comportare altri problemi, forse meno evidenti, per i responsabili della sicurezza, i dirigenti aziendali, i membri del consiglio di amministrazione e tutti gli altri soggetti incaricati di supervisionare la sicurezza informatica.
«Non si tratta semplicemente di sostituire un dipendente, ma di ricostruire la fiducia, le competenze e la consapevolezza della situazione che se ne vanno insieme a lui», afferma Pablo Riboldi, CISO presso BairesDev, un’azienda di sviluppo software nearshore.
«Poiché il panorama delle minacce evolve rapidamente, la perdita di dipendenti qualificati può compromettere la stabilità della sicurezza e le prospettive di crescita di un’azienda», afferma. «In alcuni casi, il ricambio del personale può addirittura aumentare il rischio di sistemi configurati in modo errato, vulnerabilità trascurate o ritardi nell’individuazione delle minacce.»
E non è solo la perdita di personale in prima linea, come quello della squadra di intelligence sulle minacce di , , a mettere a rischio la sicurezza informatica. L’instabilità deriva anche dal ricambio ai vertici aziendali: dirigenti di alto livello quali il direttore finanziario, il direttore informatico, il direttore tecnico o persino i responsabili delle linee di business, che potrebbero svolgere un ruolo fondamentale nel garantire la sicurezza delle organizzazioni.
I CISO potrebbero avere margini limitati di manovra per mantenere l’impegno degli altri dirigenti di alto livello, ma possono adottare iniziative volte a prepararsi all’eventuale ricambio del proprio team di sicurezza. E, come indicano le statistiche del settore, non sembra che i tassi di turnover siano destinati a migliorare nell’immediato futuro.
Perché è giunto il momento di prestare attenzione al turnover del personale addetto alla sicurezza
I dati relativi al personale sono allarmanti: circa il 60% degli oltre 500 professionisti della sicurezza informatica intervistati negli Stati Uniti e in Canada ha dichiarato di stare valutando la possibilità di cambiare lavoro, secondo il “ 2025 Cybersecurity Staff Compensation Benchmark Report”, pubblicato a febbraio dalla società di ricerca IANS Research e dalla società di selezione del personale Artico.
«Non si tratta semplicemente di sostituire un dipendente: si tratta di ricostruire la fiducia, la competenza e la consapevolezza della situazione che se ne vanno insieme a lui.»Pablo Riboldi, CISO, BairesDev
Solo un terzo degli intervistati ha dichiarato che consiglierebbe il proprio datore di lavoro, e meno del 40% si è detto soddisfatto delle proprie opportunità di avanzamento. Sebbene la retribuzione continui a essere un fattore determinante nella scelta di mantenere il proprio posto di lavoro attuale, la possibilità di sviluppare nuove competenze e di fare carriera all’interno dell’organizzazione ha un impatto maggiore sulla fidelizzazione, come sottolinea il rapporto.
E i CISO non possono certo permettersi di perdere nemmeno uno dei talenti di cui dispongono. Nel proprio studio “ 2024 Cybersecurity Workforce Study”, l’associazione professionale ISC2 specializzata in sicurezza informatica ha rilevato che il numero dei professionisti attivi a livello globale era cresciuto solo del 0,1% rispetto all’anno precedente. Il divario in termini di forza lavoro ammontava a 4,8 milioni a livello mondiale, con un aumento del 19% rispetto all’anno precedente. E la forza lavoro complessiva necessaria per soddisfare la domanda ammontava a 10,2 milioni, con un aumento del 8,1%.
«I frequenti avvicendamenti del personale chiave possono causare lacune nelle conoscenze istituzionali, rallentare i tempi di risposta agli incidenti e ritardare l’attuazione delle iniziative strategiche», afferma Riboldi.
Qui su Focal Point, abbiamo approfondito i vari modi per garantire il regolare funzionamento dei dipartimenti di sicurezza, da come gestire il ricambio dei CISO alle strategie specifiche adottate dai responsabili della sicurezza presentati nella nostra serie “: CISO Success Story”. Abbiamo condotto un sondaggio tra i CISO e altri esperti per raccogliere suggerimenti su come affrontare il crescente problema del turnover all’interno dei team di sicurezza. Di seguito sono riportate sei buone pratiche da tenere in considerazione.
1. Creare un processo strutturato di gestione delle conoscenze
A volte il problema più grave non è tanto il fatto che le persone lascino l’azienda, quanto piuttosto il sapere che si porta via con sé.
«. I CISO dovrebbero mappare in modo proattivo le funzioni critiche di sicurezza… e garantire la copertura attraverso la formazione incrociata interna o tramite un bacino di talenti esterni immediatamente disponibili.»Casey Marquette, CEO, Covenant Technologies
La documentazione delle procedure di sicurezza, delle configurazioni di sistema e delle linee guida per la risposta agli incidenti garantisce che le conoscenze fondamentali non vadano perse con la partenza di una persona, afferma Riboldi.
«Una base di conoscenze centralizzata e aggiornata regolarmente consente transizioni senza intoppi e permette ai membri del team rimasti di subentrare con sicurezza quando necessario», afferma. «È importante documentare ogni cosa; se qualcosa è già accaduto una volta, potrebbe benissimo ripetersi.»
La creazione di una mappa delle competenze può aiutare le aziende a gestire il turnover del personale, suggerisce Casey Marquette, responsabile del reparto " CEO " presso Covenant Technologies, un fornitore di servizi di selezione e reclutamento di personale nel settore IT e della sicurezza informatica. «I CISO dovrebbero mappare in modo proattivo le funzioni critiche di sicurezza — [ad esempio] la risposta agli incidenti, la gestione delle identità e la sicurezza del cloud — e garantire la copertura necessaria attraverso la formazione incrociata interna o il ricorso a riserve di talenti esterni pronte all’uso.» Le organizzazioni che non dispongono di un piano in tal senso perdono tempo prezioso — «e spesso anche visibilità», afferma — quando figure chiave lasciano l’azienda in modo imprevisto.
2. Investite nella formazione trasversale e nella ridondanza dei ruoli
Riboldi concorda sul fatto che le organizzazioni debbano garantire che i membri del team di sicurezza ricevano una formazione trasversale che consenta loro di sostituirsi a vicenda nelle rispettive mansioni. «Ciò non solo aumenta la flessibilità del team, ma riduce anche le interruzioni operative quando qualcuno lascia l’azienda», afferma.
«Incoraggiare i membri del team a comprendere i diversi ruoli all’interno della funzione di sicurezza garantisce la continuità operativa.»Anthony Nyberg, direttore del Center for Executive Succession presso la Darla Moore School of Business dell'Università della Carolina del Sud
La ridondanza dei ruoli contribuisce inoltre a preservare le competenze chiave, anche in caso di transizioni improvvise.
«Incoraggiare i membri del team a comprendere i diversi ruoli all’interno della funzione di sicurezza garantisce la continuità operativa», afferma Anthony Nyberg, direttore del Center for Executive Succession presso la Darla Moore School of Business dell’Università della Carolina del Sud.
3. Stabilire canali di comunicazione chiari
Una comunicazione trasparente crea fiducia e facilita transizioni più agevoli, aggiunge Nyberg.
«Se i piani di sicurezza vengono costantemente valutati e adeguati, e se tale processo è compreso da diverse figure professionali sia a livello dirigenziale che nell’ambito della funzione del CISO, l’organizzazione nel suo complesso potrà essere meglio preparata ad affrontare le minacce in continua evoluzione e i cambiamenti nell’organico.»
Proprio come i CISO devono comunicare chiaramente le proprie esigenze agli amministratori delegati e al consiglio di amministrazione, devono anche spiegare al proprio personale il motivo per cui viene loro richiesto di compiere determinate azioni e quali sono i risultati auspicati. I dipendenti devono avere la sensazione di svolgere un’attività significativa per contribuire a rafforzare la sicurezza all’interno delle loro organizzazioni e, come indicato su , di far parte di una squadra. I membri del personale che si sostituiscono a vicenda acquisiscono, in definitiva, nuove competenze che possono rivelarsi utili ai fini della loro crescita professionale, sia lineare che non lineare.
Comunicare significa anche ascoltare. I CISO devono confrontarsi con i propri collaboratori per ottenere un riscontro sull’andamento del flusso di lavoro e su come sia possibile migliorare le procedure.
4. Attuare rigorosi protocolli di uscita dall’azienda
Le organizzazioni devono predisporre liste di controllo complete per la gestione delle dimissioni, che includano il recupero delle informazioni e delle procedure aziendali, la revoca delle credenziali di accesso, la verifica degli account con privilegi e l’analisi dei registri di accesso, afferma Riboldi. «Ciò è fondamentale per prevenire la fuga di dati o accessi non autorizzati dopo la cessazione del rapporto di lavoro.»
Il personale addetto alla sicurezza dispone spesso di privilegi di accesso avanzati, afferma Marquette. «La procedura di uscita dal servizio deve prevedere la revoca delle credenziali su tutti i sistemi.»
5. Sfruttare le partnership esterne
Le aziende possono prendere in considerazione l’outsourcing per potenziare le proprie funzioni che richiedono competenze più specializzate, affidando al contempo le attività di routine a un’organizzazione che eccelle in quel tipo di lavoro, afferma Doug Saylors, responsabile del settore della sicurezza informatica presso ISG, società globale di ricerca e consulenza tecnologica.
«I fornitori di servizi sono abili nel far ruotare i talenti e mettono a disposizione… un ampio bacino di risorse — e di idee — quando necessario.»Doug Saylors, responsabile della practice di cybersecurity, ISG
«I fornitori di servizi sono abili nel ruotare il personale e offrono [un] meccanismo contrattuale a garanzia della qualità del servizio», afferma Saylors. “Ciò consente al vostro team interno di concentrarsi sulle attività di maggior valore e di attingere a un ampio bacino di risorse — e di idee — quando necessario.
6. Valutare l’accesso dei dirigenti di alto livello ai dati sensibili
E se dovesse lasciare l’azienda l’ CEO , oppure il CFO, il CIO, il CMO, il CHRO o qualche altro membro della dirigenza? Si tratta di persone che spesso dispongono di un accesso privilegiato ai dati più sensibili dell’azienda, compresi quelli relativi alla sicurezza informatica.
I CISO devono assicurarsi che nessuno di quei dati venga portato via da questi dirigenti quando lasciano l’azienda. Si tratta di un aspetto fondamentale della gestione dell’identità e degli accessi (IAM) , nonché di garantire che i CISO siano a conoscenza di quali dirigenti dispongano di quali livelli di accesso e su quali progetti stiano lavorando. Acquisire tali conoscenze mentre il dirigente è ancora in servizio significa che i responsabili della sicurezza non si troveranno a dover recuperare il ritardo in un secondo momento, quando tale persona lascerà l’azienda.
Ciò comporta un onere aggiuntivo che ricade interamente sulle spalle del CISO: egli deve comunicare all’ CEO e o al consiglio di amministrazione la necessità che i responsabili della sicurezza siano informati dei cambiamenti imminenti a livello dirigenziale, in modo che possano essere meglio preparati al momento dell’uscita di scena e adottare misure adeguate, quali protocolli di offboarding rigorosi.
