Ep. 15: Essere un CISO è più difficile che mai – ed è ora di ammetterlo

Un recente sondaggio condotto su piccole e medie imprese ha rilevato che 94% dei CISO soffriva di stress correlato al lavoro e che questo stava influenzando il loro rendimento lavorativo. In mezzo alle mutevoli aspettative sul ruolo del CISO, parliamo con Steve Zalewski di S3 Consulting di come questi professionisti della sicurezza possano prolungare la loro carriera e preservare la loro salute mentale.

Conduttrice: Melissa Bischoping, direttrice della ricerca sulla sicurezza degli endpoint, Tanium
Ospite: Steve Zalewski, ex CISO; fondatore, S3 Consulting

Note dello show

Per ulteriori informazioni sia per i CISO – inclusi i modi migliori per affrontare il burnout, la comunicazione efficace con il consiglio di amministrazione, i nuovi strumenti di IA, oltre a consigli pratici e prospettive dai CISO attuali nella nostra popolare serie "CISO Success Stories" – sia per quei leader aziendali che desiderano comprendere e supportare meglio il ruolo, consultate questi articoli su Focal Point, la pluripremiata rivista online di notizie sulla sicurezza informatica di Tanium.

• 4 Priorità di leadership critiche per i CISO nell'era dell'IA | Tanium
• Come i CISO possono combattere il burnout e prolungare la loro carriera | Tanium
• CISO Success Story: Un vero "supereroe" Marvel contro il crimine informatico con l'IA | Tanium
• CISO Success Story: Prevedere il rischio informatico (con precisione) è più facile con la formula di questo esperto | Tanium
• CISO Success Story: Come la contea di LA forma (e riforma) i lavoratori per combattere il phishing | Tanium
• La guida del CISO ai primi 90 giorni | Tanium
• La guida alla sopravvivenza M&A del CISO | Tanium

Trascrizione

La seguente intervista è stata modificata per maggiore chiarezza.

"Ho subito il burnout più volte. Non era una buona cosa. Scherzavo sul fatto che le persone mi mandavano messaggi alle 2 di mattina e io rispondevo, e loro dicevano: "Cosa ci fai sveglio?" Rispondevo, beh, la sicurezza non dorme mai; è un lavoro 24/7. Perché anche se voglio dormire, accade un incidente. Devi andare avanti."

Steve Zalewski, ex CISO; fondatore, S3 Consulting

Melissa Bischoping: I Chief Information Security Officer, o CISO, sono sotto pressione in questi giorni, specialmente con le nuove regole della Securities and Exchange Commission. Le nuove regole della SEC sulla trasparenza informatica sono entrate in vigore alla fine del 2023, e la causa contro la società SolarWinds e il suo CISO, Timothy Brown – che è stata la prima volta in cui avevano preso di mira un CISO specifico – ha lasciato molti dirigenti sbalorditi e stressati come mai prima d'ora.

Ciao, sono Melissa Bischoping, direttrice della ricerca sulla sicurezza degli endpoint presso Tanium, e oggi su Let's Converge parliamo di CISO e burnout – e di come questi professionisti della sicurezza fondamentali possano prolungare le loro carriere e preservare la loro salute mentale.

Un recente sondaggio condotto su piccole e medie imprese ha rilevato che 94% dei CISO soffriva di stress correlato al lavoro e che questo stava influenzando il loro rendimento lavorativo. Un altro sondaggio ha rilevato che solo uno su tre CISO riceve un'assicurazione D&O, che è un tipo specifico di assicurazione che protegge i direttori e i funzionari di un'azienda. Questi non sono buoni numeri, e stanno portando sempre più CISO a scegliere di abbandonare la professione.

Si unisce a me per discutere di cosa possono fare i CISO Steve Zalewski, ex CISO e architetto della sicurezza, e più recentemente fondatore di S3 Consulting, che fornisce consulenza esperta in materia di sicurezza informatica per aziende di sicurezza, società di venture capital e altre imprese. Benvenuto nel podcast, Steve.

Steve Zalewski: Grazie, Melissa. Apprezzo che tu mi abbia invitato.

Bischoping: Prima di entrare nel vivo, diciamo subito che il ruolo di CISO è sempre stato carico di stress, e ci sono molte cose che vanno con il territorio e che aumentano il potenziale di burnout. Ma negli ultimi anni, sembra essere in una tendenza significativamente crescente. Qual è secondo te la ragione dietro a questo?

Zalewski: Le aspettative che cambiano. Storicamente, il CISO ha lavorato per il CIO – è un ruolo tecnico, e il compito di un CISO è quello di implementare strumenti tecnici per essere in grado di proteggere l'azienda. Quindi dico scherzosamente che il mio [precedente] lavoro era quello di introdurre attrito in un processo aziendale perfetto per renderlo inefficiente, ma al fine di bloccare gli attacchi. E questo è andato bene per un po'. Ma sempre più linee di business stanno semplicemente dicendo: voglio negoziare la quantità di attrito che la sicurezza sta introducendo nel mio processo aziendale. E ora questo significa che, come professionista della sicurezza, passo dall'essere un tecnologo che cerca di proteggere l'azienda a un gestore del rischio che è qui per tutelare il business. Ed è lì che sono andate molte delle conversazioni. Ora è questo il nostro compito: abilitare il business.

Da Levi's, ero solito dire che il mio lavoro non era proteggere l'azienda né tutelare il business. Era vendere più jeans. Quindi come faccio ad avere una conversazione sul rischio aziendale con il team di leadership, e non una conversazione sul rischio informatico? Di conseguenza, per quanto riguarda il tuo punto sulla SEC, siamo ora ritenuti responsabili da una prospettiva di rischio esecutivo, mentre molti di noi sono semplicemente tecnici nel profondo.

Bischoping: Quindi permettimi di fare un passo indietro: nello specifico, quando eri CISO – la pressione lavorativa a cui eri sottoposto in quel ruolo, dover affrontare tutte queste diverse sfide – hai sentito che si accumulava gradualmente, o c'è stato un momento di rottura specifico per quel livello di burnout e stress?

Zalewski: Cresce. Direi che è simile – ma forse non è l'analogia giusta – ad avere un figlio. E ci sono i terribili due anni, poi diventano adolescenti ed entrano nel tunnel. E poi escono dal tunnel, e va bene. Ebbene, costruire un programma di sicurezza e gestirlo è molto simile a questo, oggi. Perché quando entro in gioco, esistono determinate aspettative su cosa sia quel programma. Ma le aspettative del bambino – che è l'azienda stessa, il team esecutivo, il consiglio di amministrazione se è quotata in borsa – stanno maturando. Stanno capendo, voglio una misurazione tecnica, o voglio una misurazione del rischio? Voglio metriche di business? E i CISO entrano in gioco principalmente come tecnologi o forse provengono dal settore bancario dove si occupano maggiormente di registri dei rischi – c'è questa maturazione su entrambi i fronti, il che significa che ciò che andava bene due anni fa non andrà bene oggi. Ma non è un percorso di maturazione fisso.

Stiamo cercando di capirlo. Ecco perché si vede così tanto stress. Perché non è ovvio, come esserlo un CPA o un avvocato. Stiamo cercando di capire come essere un CISO. E molte persone non vedono necessariamente quei punti di transizione, e quindi o si esauriscono e se ne vanno perché il modo in cui operavano non è più sostenibile. Oppure le aspettative del team di leadership cambiano e dicono semplicemente: "Ti apprezzo, ma ho bisogno di avere un tipo di conversazione diverso con te."

Bischoping: Guardando al tuo background, hai lavorato per Pacific Gas & Electric, hai lavorato per Levi Strauss, quindi hai lavorato nel settore retail. Vedi questi settori affrontare gli stessi punti critici o punti diversi mentre lottano per raggiungere quei diversi livelli di maturità e maturare i loro processi insieme al settore?

Zalewski: A livello di controllo tecnico, sono tutti gli stessi controlli tecnici – gestione delle identità e degli accessi, protezione della rete, protezione degli endpoint. Ma se guardo a quali tipi di aggressori mi stanno attaccando e qual è il mio obbligo di proteggere i dati aziendali ma anche i dati dei consumatori, è molto diverso. E poi guardo i controlli che vengono implementati, come i controlli SOX o HIPAA e come li sto gestendo. E poi guardo le aziende giovani, le piccole e medie imprese basate su SaaS, che non hanno una regolamentazione pesante o non hanno grandi team di sicurezza perché non hanno i fondi. [Questi sono] i fiocchi di neve, questa è la realtà mentre la stai comprendendo. E quindi i singoli professionisti della sicurezza mentre si muovono in quei settori verticali o in quelle aree – molto diversi.

Quindi direi a livello macro, hai i CISO dell'S&P 500 – le grandi aziende pubbliche, hanno grandi team di sicurezza, ci lavorano da 10 o 15 anni. Siamo cresciuti attraverso di esso, quindi sappiamo cos'è un grande programma di sicurezza. E poi hai tutta questa nuova generazione di piccole e medie imprese – aziende SaaS emergenti o studi medici o complessi sanitari – dove potrebbero non avere un team di sicurezza o ne hanno uno molto piccolo, quindi non possono implementare 25 prodotti di sicurezza.

Bischoping: Qualcosa che mi sta molto a cuore è la natura politica del luogo di lavoro e la costruzione delle relazioni. Una delle cose di cui ho parlato molto mentre sono cresciuto nella mia carriera è che se vuoi avere successo nella sicurezza, ciò che ti distinguerà davvero è la capacità di costruire relazioni e comunicare con altre parti dell'azienda in termini che comprendono e riconoscono e di essere in grado di dimostrare il valore della sicurezza alle altre parti dell'azienda. E penso che molte volte i team di sicurezza, specialmente i CISO, i leader di quei team, vengono visti come, "Sono qui solo per dirmi no, che non posso fare qualcosa."

Come faresti per educare e sostenere il ruolo del team di sicurezza nel facilitare migliori pratiche aziendali e magari costruire alcune di quelle relazioni per ottenere il supporto di più parti dell'azienda?

Zalewski: Quindi, brutale verità: la sicurezza è un requisito non funzionale in un mondo di requisiti funzionali. Nessuno implementerebbe la sicurezza se non fosse costretto, perché non genera denaro per la maggior parte delle aziende. È un attrito, e quello che vogliamo è un processo aziendale efficiente per vendere più jeans. Quindi riconosciamo che, mentre diciamo "Ehi, siamo qui per aiutarti, quindi lasciami spiegare la cybersicurezza affinché tu capisca perché il mio lavoro è importante", può comunque creare attrito nel loro lavoro. Quindi è una conversazione molto difficile da affrontare.

Bischoping: Sì, penso che sia per questo che spesso, almeno nella mia esperienza, è stato più efficace andare a dire: "Ehi, ho bisogno di questo nuovo controllo di sicurezza. Siamo costretti da una normativa o da qualcuno di più in alto. Dobbiamo implementare questo nuovo controllo di sicurezza. Lasciami lavorare con te sull'implementazione per ridurre l'attrito. Siamo tutti sulla stessa barca." Ma questo incontra ancora molta resistenza.

Zalewski: Assolutamente. Quando parlo con altri CISO, chiedo scherzosamente qual è la metrica di sicurezza numero uno a cui garantisco che ogni dipendente presterà attenzione? E le persone diranno, il numero di attacchi o il numero di esercizi di phishing. No! La metrica numero uno è se implementi il controllo di sicurezza e aumenta del 20% la probabilità che tu ottenga il cento percento del tuo bonus? Ho catturato la tua attenzione. Questa è la realtà.

Quindi parliamo della tassa della sicurezza rispetto al costo della sicurezza se non la applichiamo, in relazione all'impatto su di te. Ok? Cambiamento. Questo è il business. Questa è ora una conversazione di business, non una conversazione sulla sicurezza. Ed è a questo che dobbiamo arrivare. Ed è quello che ho detto quando ero da Levi's; ho detto che il mio lavoro era vendere più jeans. Chiedevo a un fornitore: "Ok, protezione degli endpoint: in che modo quello che fate aiuta a vendere più jeans?" "Oh, non lo so, Steve. Siamo qui per garantire la sicurezza, in modo che questi attacchi non accadano." Questo non mi aiuta. All'azienda non importa. Dov'è l'analisi del rischio aziendale, giusto? Dicevo sempre: "Il mio lavoro era permettere a Levi's di triplicare i propri ricavi nei sei mesi successivi senza dover triplicare il mio programma di sicurezza per supportarlo."

Bischoping: Penso che sia una prospettiva eccellente.

Zalewski: Dov'è l'analisi del rischio? E quindi dico alle persone, quando andavamo dal consiglio di amministrazione, parlavamo di controlli di sicurezza, parlavamo di attacchi. E ci siamo resi conto che le uniche cose rispetto alle quali volevamo essere misurati quando andavamo dal consiglio erano tre: sono qui per proteggere il marchio; sono qui per proteggere le persone; e sono qui per proteggere la catena di approvvigionamento. Tutto qui.

Da un'analisi dell'impatto aziendale, devo assicurarmi che il mio marchio, ovvero i dati dei miei consumatori, non venga compromesso, perché puoi andare a comprare jeans altrove. Le mie persone sono il mio anello più debole e lo saranno sempre, quindi cosa sto facendo per gestire la superficie di attacco per le mie persone? E la mia catena di approvvigionamento è assolutamente indispensabile, perché se non ho jeans nei negozi, sono fuori dal mercato. Quindi cosa sto facendo per la mia catena di approvvigionamento fisica e la mia catena di approvvigionamento cloud per assicurarmi che non venga compromessa in modo da rimanere in attività? Tutto ciò che faccio deve essere orientato a quelle tre cose perché è ciò che è importante per l'azienda.

Questo è un momento di illuminazione per molte persone che ora capiscono cosa significa avere una conversazione sul rischio aziendale e posizionare il proprio programma di sicurezza come tale componente.

Bischoping: Adoro che tu l'abbia messo in questa prospettiva. Ho menzionato prima che ho lavorato nel settore petrolifero e del gas, e uno dei miei motti sulla sicurezza quando lavoravo con la mia leadership era: quando si è in un ambiente manifatturiero o petrolifero e del gas, la sicurezza è sempre al primo posto. Come posso collegare i miei sforzi in materia di sicurezza alla protezione delle persone, affinché le attrezzature non esplodano o non si verifichino incidenti su una linea di produzione? E questo ha davvero risuonato. Quindi penso che in qualsiasi settore, indipendentemente da quale sia la tua azienda, tutte abbiano un obiettivo aziendale che è in cima ai loro pensieri. E allineare il proprio lavoro a quell'obiettivo aziendale è un modo migliore per ottenere quel consenso, a quanto pare.

Zalewski: Aggiungerò un altro elemento, e questo riporta allo stress. La maggior parte dei dirigenti sono dirigenti aziendali, come quelli elencati nell'IT. Il loro compito è eseguire una funzione aziendale per generare entrate. Tutto qui. Quindi che io stia gestendo un'applicazione aziendale, diciamo che si tratta di petrolio e gas e sto cercando di assicurarmi che il gasdotto funzioni correttamente e di trovare petrolio, questo è il mio lavoro. Ho il controllo su questo. Ho il controllo sui problemi che possono farlo. Devo occuparmi della geologia. Devo sapere quanto velocemente posso ricevere le mie forniture.

Il fatto della sicurezza è che non controllo il mio destino; lo fanno i cattivi. Mi attaccano continuamente cercando di trovare punti deboli. Quindi tutti i miei piani migliori vengono sconvolti ogni giorno perché devo rispondere a dove stanno avendo successo. E il fatto è che, come dico alle persone che si occupano di sicurezza, l'impossibile accade ogni giorno.

Metto tutti i miei controlli, sembra tutto a posto, e in qualche modo trovano un modo per passare perché qualcuno ha commesso un errore o è stata sfruttata una vulnerabilità, e ora sono sulla difensiva e devo ristabilire il perimetro, e poi devo ancora cercare di portare avanti quello che stavo pianificando di fare, dove sono costantemente a reagire. Questa è una posizione relativamente unica che ha la sicurezza, rispetto a tutti gli altri tipi di funzioni aziendali. Quindi diventiamo davvero, davvero bravi nella gestione delle crisi. Ma quando sei un chirurgo in un'unità MASH e sei in guerra e i soldati arrivano giorno dopo giorno, e stai cercando solo di tenerli in vita e capire chi vive e chi muore e mantenere la compagnia in movimento – è estenuante.

Bischoping: Esattamente. Quindi stai parlando di molte competenze diverse e tutte sono davvero difficili, ma quando le combini tutte in un unico ruolo, hai questa sorta di tempesta perfetta di stress che contribuisce direttamente al burnout perché devi pensare costantemente a cento variabili diverse. Stai pianificando per un caos sconosciuto che potrebbe o meno accadere, ma devi essere pronto. Stai pianificando per lo zero-day del secolo che potrebbe sconvolgere le tue vacanze o i tuoi fine settimana, ma forse non accade. E trovarsi a quel livello di vigilanza e preparazione è fisicamente e mentalmente estenuante.

Quindi come facciamo, non solo i CISO ma nel settore nel suo insieme, qual è il tuo consiglio su tattiche e strategie per riuscire a disconnettersi, per riuscire a preservare la propria salute mentale e fisica? Perché non è salutare. Abbiamo studi scientifici che emergono, uno recentemente dal Regno Unito che mostra che gli effetti del ransomware e delle violazioni possono essere collegati a problemi di salute cardiovascolare e problemi di salute mentale. Come consigliamo ai nostri colleghi, ai nostri dipendenti e ai nostri amici nel settore di proteggersi?

Più riusciamo a far capire alle persone com'è davvero la giornata di un CISO, e loro capiscono, allora diventa un po' più facile riuscire a parlare di come gestiamo questo stress. Questa è una situazione molto, molto stressante. Riconosciamolo. Non credo che molte persone capiscano cosa deve affrontare un vero CISO esecutivo, e quali richieste ci pone il settore mentre cerchiamo di capire alcune di queste novità. Ma questo ricade su di noi, ok? E quando ti rendi conto di dover fare un passo indietro?

Quando ero da Levi's, avevamo una leadership con doppia copertura. Eravamo in due, così potevamo darci il cambio in caso di incidenti, oppure uno poteva prendersi una vacanza, perché l'altro poteva subentrare. Non c'è molta leadership con doppia copertura, vero?

Bischoping: Voglio dire, è un investimento finanziario importante.

Zalewski: Ed è quello che stiamo dicendo. Vedi tutti questi pezzi? …Ecco com'è essere un CISO. Questa è una giornata nella vita di un CISO come dirigente, qualcuno che guarda attraverso tutti questi pezzi e cerca di gestirli. Non esiste una risposta semplice. Ma la riflessione di persone come me, per poter dare alle persone una visione indipendente di tutti gli elementi in movimento e di come stiamo cercando di far muovere insieme le diverse parti, e avere quella conversazione per sapere cosa è possibile rispetto a cosa è probabile? Non ho risposte semplici. Ne facevo parte.

Ho avuto il burnout più volte. Non era una buona cosa. Scherzavo dicendo che le persone mi mandavano messaggi alle 2 di notte e io rispondevo, e loro dicevano: cosa ci fai sveglio? Vado, beh, la sicurezza non dorme mai. È un 24/7 lavoro. Perché anche se voglio dormire, accade un incidente. Devi metterti in moto.

Non controllo il mio destino. E quindi questi sono i tipi di impatti in cui, se tutti iniziano ad avere una migliore percezione di come ci si sente, possiamo gestire meglio le aspettative.

Bischoping: Non è sostenibile per nessun individuo trascorrere 24/7, 365, aspettando che il telefono squilli. Deve esserci una certa delega di autorità, una certa rotazione dei compiti. E quando si parla di qualcosa al livello della C-suite, hai ragione, la maggior parte delle organizzazioni non andrà così in profondità su quel tipo di autorità. Potresti avere un vice, ma potresti non averlo, specialmente se sei un'organizzazione più piccola. Stavamo parlando prima di cose come gli studi medici e i piccoli ospedali di comunità. Hanno più CISO disponibili? Probabilmente no.

Bischoping: Una volta un mio amico che lavora nel campo della salute mentale mi ha detto che spesso il primo passo per affrontare lo stress, la depressione, l'ansia, è semplicemente riconoscere che è valido, riconoscere che si sta vivendo quello stress e che lo stress ti sta influenzando. Basta avere il riconoscimento intorno ad esso. Non si può necessariamente agitare una bacchetta magica e farlo sparire.

Zalewski: Sì. Assolutamente, e stiamo avendo la conversazione. Vedi cosa stiamo facendo? Stiamo costruendo una comunità.

Bischoping: Esattamente.

Zalewski: Ci fidiamo l'uno dell'altro per parlare delle verità più dure, non per attribuire colpe ma per guardare il problema e capire insieme cosa vogliamo fare al riguardo. E questo è il momento chiave di comprensione in cui le persone capiscono davvero com'è lavorare nel settore della sicurezza.

Bischoping: Prima di concludere, voglio solo chiedere se ho tralasciato qualcosa o se hai qualche parola finale di saggezza per i CISO che si sentono in burnout oggi o per coloro che temono di essere sull'orlo di arrivarci. Cosa vorresti dire loro come parola finale su come essere migliori, più efficaci nel loro lavoro e sostenibili?

Zalewski: Quello che direi è che per molti di loro, quando è arrivato il COVID, in quei tre anni in cui non ci siamo riuniti e non abbiamo costruito comunità, si è creata una frattura. Vero? Quindi… uscite e parlate. Incontratevi di nuovo. Costruiamo quella rete di supporto e rimettiamola insieme. Perché più abbiamo questo tipo di conversazioni, è probabilmente la cosa più efficace che possiamo fare per costruire quella comunità, capire tutto questo e lavorare insieme. Perché è per questo che sono qui, giusto? Questo è quello che dico, ovvero, lasciatemi condividere la mia esperienza. Lasciatemi guidarvi attraverso i problemi in un modo che ci permetta di capire dove ci sono nuove aspettative.

Come cambiamo alcune delle conversazioni in modo da non trovarci in una situazione in cui non c'è risposta, ma continuiamo a fare la stessa cosa ancora e ancora, finché non capiamo che sbattere la testa contro il muro non funziona. Quindi smettiamo di sbattere la testa contro quel muro, facciamo una domanda diversa e cerchiamo di andare avanti. Potremmo finire per sbattere contro un altro muro, ma almeno sarà un muro diverso.

Bischoping: Forse un'intera stanza di muri. [Lei ride.] Adoro davvero il fatto che alla fine di tutto questo – sapete, abbiamo iniziato la conversazione parlando di come il CISO fosse in qualche modo un ruolo tecnico, ma in realtà è tornato a essere un ruolo incentrato sulla costruzione di una comunità, sulla costruzione di relazioni, sulla costruzione di strategie e comunicazione, e sull'importanza della connessione umana nel renderlo una scelta di carriera sostenibile per se stessi. Quindi grazie ancora per tutte le vostre intuizioni. Lo apprezzo oggi.

Zalewski: Grazie, Melissa. Mi è piaciuto. E per tutti coloro che ascolteranno questo: Fatevi avanti. Siamo qui e siamo una comunità, e… quando senti questo, non pensare: "Wow, perché mai vorrei essere un CISO?? È il miglior lavoro che non vorrei mai fare," ma piuttosto, "Questo può essere incredibilmente soddisfacente, personalmente e professionalmente, e troveremo il modo di farcela." E abbiamo bisogno dei migliori là fuori per poterci supportare. Quindi unitevi a noi in questo percorso.

Bischoping: Grazie, Steve.

Ho parlato con Steve Zalewski, ex CISO e fondatore di S3 Consulting. Se desiderate scoprire ulteriori consigli di esperti per e da CISO, consultate Focal Point, il magazine online di notizie sulla sicurezza informatica di Tanium. Abbiamo i link a diversi articoli pertinenti qui nelle note dello show, oppure potete visitarci su Tanium.com.

Per ascoltare altre conversazioni con i principali leader aziendali ed esperti di sicurezza di oggi, assicuratevi di iscrivervi a Let's Converge sulla vostra app podcast preferita. E se vi è piaciuto questo episodio, dateci una valutazione a cinque stelle.

Grazie per aver ascoltato, e non vediamo l'ora di condividere altri approfondimenti nel prossimo episodio di Let's Converge.