CISO: ripetitivo, fastidioso, eccessivamente negativo?
Il 79% dei responsabili di cybersecurity ammette di aver avvertito pressioni da parte dei leader delle rispettive aziende, per minimizzare la gravità dei rischi informatici a cui è esposta l’organizzazione. Il dato emerge da “The CISO Credibility Gap: How a Communication Breakdown in the Boardroom is Hurting Cyber-Resilience”, l’ultima ricerca Trend Micro.
“Oltre la metà dei responsabili di sicurezza afferma che i rischi cyber sono quelli più pericolosi per l’azienda. Purtroppo, i CISO non riescono a comunicare questi rischi in un linguaggio che sia comprensibile ai leader aziendali e di conseguenza vengono ignorati, sminuiti o accusati di eccessivo allarmismo”, afferma Veronica Pace, Head of Marketing di Trend Micro Italia. “I responsabili di cybersecurity devono riuscire a interagire meglio, oppure la resilienza informatica dell’organizzazione ne risentirà. Il primo passo è avere a disposizione un’unica fonte di verità su tutta la superficie di attacco”.
Tra i responsabili di security che ammettono di aver subito pressioni da parte dei responsabili aziendali, il 43% afferma di essere stato etichettato come ripetitivo o fastidioso, mentre il 42% come eccessivamente negativo. Un terzo (33%) sostiene addirittura di essere stato licenziato.
I dati evidenziano un grave divario di fiducia, collegato alla difficoltà di spiegare e allineare i rischi cyber con quelli aziendali. A dimostrazione di questo, il 46% afferma di aver guadagnato maggiore credibilità nel momento in cui è riuscito a quantificare il valore, in termini di business, della propria strategia di sicurezza informatica.
Grazie a un approccio di questo tipo, i responsabili IT potrebbero:
- Ottenere più responsabilità (45%)
- Essere visti come una funzione di maggior valore (44%)
- Ricevere più budget (43%)
- Guadagnare posizioni nei processi decisionali (41%)
Tuttavia, al momento persiste un importante divario comunicativo tra l’IT e la leadership aziendale. Solo la metà del campione (54%) ritiene, infatti, che la propria dirigenza comprenda completamente i rischi informatici a cui è esposta l’organizzazione, percentuale stabile dal 2021 (50%). Oltre un terzo (34%) degli intervistati afferma anche che la sicurezza informatica è ancora considerata parte dell’IT, piuttosto che un rischio aziendale. Inoltre, l’80% ritiene che solo una violazione grave possa incentivare i responsabili dell’azienda ad agire con maggiore fermezza nei confronti del rischio informatico.
Queste sfide sono complicate dal moderno ed eterogeneo ambiente della cybersecurity. L’utilizzo di prodotti isolati sulla superficie di attacco genera dati incoerenti, ad esempio, e complica la possibilità di poter dare ai leader aziendali un’idea chiara del rischio informatico.
Per questo, oltre la metà del campione (58%) ritiene che sarà necessario migliorare le abilità comunicative per correggere la situazione. Ma una piattaforma ASRM (Attack Surface Risk Management) unificata potrebbe eliminare la necessità di ulteriori investimenti, fornendo informazioni coerenti e convincenti sul rischio, all’interno di una executive dashboard.
