✅ Un buon CISO è un dirigente che gestisce il rischio tecnologico.
❌ Un cattivo CISO è un manager IT che si limita a gestire strumenti di sicurezza.
✅ Un buon CISO definisce una strategia chiara: come battere gli avversari.
❌ Un cattivo CISO confonde un elenco di progetti e fornitori con una strategia.
✅ Un buon CISO costruisce meccanismi che generano valore nel tempo (flywheel).
❌ Un cattivo CISO spegne incendi, sempre in emergenza.
✅ Un buon CISO fa in modo che le cattive notizie circolino rapidamente.
❌ Un cattivo CISO è l’ultimo a venirne a conoscenza.
✅ Un buon CISO gestisce attivamente fornitori, software e catene di fornitura.
❌ Un cattivo CISO continua solo ad acquistare nuovi prodotti di sicurezza.
✅ Un buon CISO investe in relazioni di lungo termine con persone di lungo termine.
❌ Un cattivo CISO ha un approccio puramente transazionale.
Traduzione e adattamento da un articolo di Phil Venables e Mike Aiello (philvenables.com – 20 settembre 2025).In un’organizzazione moderna, un programma di sicurezza efficace è una delle leve più potenti per abilitare innovazione, costruire resilienza e creare fiducia duratura con clienti e partner. Tuttavia, il ruolo del Chief Information Security Officer (CISO) è spesso male interpretato e sottovalutato.
Dopo decenni trascorsi a costruire e osservare programmi di sicurezza in contesti diversi, Phil Venables e Mike Aiello sono giunti a una conclusione chiara: la differenza tra un buon CISO e un cattivo CISO non è questione di budget o tecnologie, ma di mentalità, visione strategica e responsabilità.
Proprio come esistono buoni e cattivi product manager, ci sono buoni e cattivi CISO. Ecco come riconoscerli.
Mentalità da executive, non da tecnico
Un buon CISO è, prima di tutto, un dirigente. Si comporta come il CEO del programma di sicurezza, assumendosi piena responsabilità dei risultati e misurandosi in termini di impatto sul business. Conosce il modello di business dell’azienda, la sua cultura, le sue priorità. Non si limita a “gestire la sicurezza”, ma costruisce e guida una strategia di gestione del rischio coerente con gli obiettivi aziendali.
Al contrario, un cattivo CISO ha un approccio più reattivo e limitato: gestisce strumenti, raccoglie scuse, si sente ostacolato da utenti, sviluppatori, dirigenti e budget. Non prende mai piena responsabilità e tende a considerare i problemi come esterni al proprio perimetro.
Strategia chiara vs. lista di attività
Il buon CISO sa che un piano operativo non è una strategia. Definisce una visione coerente su come vincere contro gli avversari e costruire resilienza nel tempo. La sua strategia è generativa: ispira le altre funzioni, crea lavoro utile, semplifica le scelte. Definisce chiaramente il “cosa”, lasciando flessibilità sul “come”.
Il cattivo CISO, invece, presenta lunghi elenchi di progetti, iniziative e acquisti, ma non riesce a spiegare una direzione univoca. La sua operatività è consumante: spreca energie del team, logora le relazioni interne e brucia capitale politico senza generare valore.
Dall’artigianato alla scala industriale
Il buon CISO costruisce meccanismi virtuosi che si autoalimentano: processi che riducono il costo unitario del controllo, soluzioni scalabili, ambienti dove la strada sicura è anche la più semplice. Trasforma la sicurezza da un lavoro artigianale a una capacità industriale. Sa anticipare rischi sistemici e costruire soluzioni sostenibili.
Il cattivo CISO lavora sempre in emergenza. Corre da un incidente all’altro, misura la produttività in ticket chiusi e vive in uno stato costante di crisi. Il suo approccio è reattivo, inefficiente, e lascia sempre in sospeso i problemi strutturali.
Vendor management strategico
Il buon CISO non si limita ad acquistare strumenti di sicurezza, ma seleziona prodotti sicuri fin dalla progettazione. Usa il proprio potere d’acquisto per influenzare positivamente i fornitori e costruisce supply chain più robuste. Lavora per ridurre la domanda di soluzioni reattive, agendo sulla causa, non solo sugli effetti.
Il cattivo CISO vede ogni nuovo tool come una panacea. Reagisce alle pressioni commerciali, si affida alle promesse dei vendor e considera la tecnologia come risposta automatica ai problemi di processo o di persone.
Comunicazione efficace
Il buon CISO parla la lingua del business: rischio, capitale, opportunità. È in grado di quantificare i rischi, diffonde documenti chiari e strutturati (white paper, FAQ, position paper) per scalare la propria comunicazione e costruire consenso. Sa che la percezione del rischio è tanto importante quanto il rischio stesso. È un costruttore di narrativa.
Il cattivo CISO comunica in gergo tecnico, si affida a metriche confuse e si lamenta di non essere ascoltato. Parla solo a voce, evita di prendersi posizioni scritte e rimane spiazzato quando piccoli incidenti scatenano grandi reazioni da parte degli stakeholder.
Competenza tecnica usata con empatia
Un buon CISO ha solide basi tecniche, ma le usa per comprendere i vincoli operativi, facilitare il dialogo con gli ingegneri e costruire soluzioni realistiche. La sua competenza genera fiducia, non autoritarismo.
Un cattivo CISO può non avere abbastanza competenza tecnica per dialogare con i colleghi oppure, se ce l’ha, la usa come leva per imporre soluzioni. Impedisce l’innovazione, crea attriti e si isola.
Cultura del feedback
Il buon CISO vuole conoscere i problemi prima degli altri. Crea un clima di fiducia dove le persone si sentono libere di dire la verità anche quando è scomoda. Favorisce la trasparenza, la responsabilizzazione e la consapevolezza diffusa.
Il cattivo CISO è spesso l’ultimo a sapere le cose, perché ha costruito un ambiente in cui segnalare problemi è rischioso. Rimane intrappolato nel filtro delle cattive notizie.
Empowerment del team
Il buon CISO costruisce un team autonomo, valorizza i leader emergenti, distribuisce responsabilità attraverso modelli federati come i “security champion”. Non è un collo di bottiglia, ma un moltiplicatore.
Il cattivo CISO accentra tutto, prende tutte le decisioni e si rende insostituibile. Questo lo rende il punto singolo di fallimento.
Relazione con il board
Il buon CISO aiuta il consiglio a governare meglio. Insegna quali domande fare, trasforma il reporting in dialogo strategico e costruisce una responsabilità condivisa.
Il cattivo CISO si limita a “fare il punto” e cerca solo di ottenere più budget. Non aiuta il board a crescere nella comprensione del rischio.
Network e collaborazione
Il buon CISO investe nel lungo termine, costruisce relazioni basate sulla fiducia, contribuisce alla propria rete tanto quanto riceve. Lavora per il successo dell’organizzazione e crea i presupposti per velocità e autonomia.
Il cattivo CISO è opportunista: attiva la rete solo quando serve qualcosa, chiede senza dare, vuole controllo ma non condivisione. Così facendo, frena tutto il sistema.
I buoni CISO sono figure tecniche, pratiche e orientate al business. Ispirano i team, collaborano con gli stakeholder e si prendono la responsabilità reale del cambiamento. Sanno bilanciare strategia e tattica, senza lasciare che una schiacci l’altra.
I cattivi CISO, semplicemente, non fanno nulla di tutto questo. Oppure lo fanno troppo tardi.