Buon CISO / Cattivo CISO

✅ Un buon CISO è un dirigente che gestisce il rischio tecnologico.
❌ Un cattivo CISO è un manager IT che si limita a gestire strumenti di sicurezza.

✅ Un buon CISO definisce una strategia chiara: come battere gli avversari.
❌ Un cattivo CISO confonde un elenco di progetti e fornitori con una strategia.

✅ Un buon CISO costruisce meccanismi che generano valore nel tempo (flywheel).
❌ Un cattivo CISO spegne incendi, sempre in emergenza.

✅ Un buon CISO fa in modo che le cattive notizie circolino rapidamente.
❌ Un cattivo CISO è l’ultimo a venirne a conoscenza.

✅ Un buon CISO gestisce attivamente fornitori, software e catene di fornitura.
❌ Un cattivo CISO continua solo ad acquistare nuovi prodotti di sicurezza.

✅ Un buon CISO investe in relazioni di lungo termine con persone di lungo termine.
❌ Un cattivo CISO ha un approccio puramente transazionale.

---

Traduzione e adattamento da un articolo di Phil Venables e Mike Aiello (philvenables.com – 20 settembre 2025).

In un’organizzazione moderna, un programma di sicurezza efficace è una delle leve più potenti per abilitare innovazione, costruire resilienza e creare fiducia duratura con clienti e partner. Tuttavia, il ruolo del Chief Information Security Officer (CISO) è spesso male interpretato e sottovalutato.

Dopo decenni trascorsi a costruire e osservare programmi di sicurezza in contesti diversi, Phil Venables e Mike Aiello sono giunti a una conclusione chiara: la differenza tra un buon CISO e un cattivo CISO non è questione di budget o tecnologie, ma di mentalità, visione strategica e responsabilità.

[Callforaction-VCISO]

Proprio come esistono buoni e cattivi product manager, ci sono buoni e cattivi CISO. Ecco come riconoscerli.

Mentalità da executive, non da tecnico

Un buon CISO è, prima di tutto, un dirigente. Si comporta come il CEO del programma di sicurezza, assumendosi piena responsabilità dei risultati e misurandosi in termini di impatto sul business. Conosce il modello di business dell’azienda, la sua cultura, le sue priorità. Non si limita a “gestire la sicurezza”, ma costruisce e guida una strategia di gestione del rischio coerente con gli obiettivi aziendali.

Al contrario, un cattivo CISO ha un approccio più reattivo e limitato: gestisce strumenti, raccoglie scuse, si sente ostacolato da utenti, sviluppatori, dirigenti e budget. Non prende mai piena responsabilità e tende a considerare i problemi come esterni al proprio perimetro.

Strategia chiara vs. lista di attività

Il buon CISO sa che un piano operativo non è una strategia. Definisce una visione coerente su come vincere contro gli avversari e costruire resilienza nel tempo. La sua strategia è generativa: ispira le altre funzioni, crea lavoro utile, semplifica le scelte. Definisce chiaramente il “cosa”, lasciando flessibilità sul “come”.

Il cattivo CISO, invece, presenta lunghi elenchi di progetti, iniziative e acquisti, ma non riesce a spiegare una direzione univoca. La sua operatività è consumante: spreca energie del team, logora le relazioni interne e brucia capitale politico senza generare valore.

Dall’artigianato alla scala industriale

Il buon CISO costruisce meccanismi virtuosi che si autoalimentano: processi che riducono il costo unitario del controllo, soluzioni scalabili, ambienti dove la strada sicura è anche la più semplice. Trasforma la sicurezza da un lavoro artigianale a una capacità industriale. Sa anticipare rischi sistemici e costruire soluzioni sostenibili.

Il cattivo CISO lavora sempre in emergenza. Corre da un incidente all’altro, misura la produttività in ticket chiusi e vive in uno stato costante di crisi. Il suo approccio è reattivo, inefficiente, e lascia sempre in sospeso i problemi strutturali.

Vendor management strategico

Il buon CISO non si limita ad acquistare strumenti di sicurezza, ma seleziona prodotti sicuri fin dalla progettazione. Usa il proprio potere d’acquisto per influenzare positivamente i fornitori e costruisce supply chain più robuste. Lavora per ridurre la domanda di soluzioni reattive, agendo sulla causa, non solo sugli effetti.

Il cattivo CISO vede ogni nuovo tool come una panacea. Reagisce alle pressioni commerciali, si affida alle promesse dei vendor e considera la tecnologia come risposta automatica ai problemi di processo o di persone.

Comunicazione efficace

Il buon CISO parla la lingua del business: rischio, capitale, opportunità. È in grado di quantificare i rischi, diffonde documenti chiari e strutturati (white paper, FAQ, position paper) per scalare la propria comunicazione e costruire consenso. Sa che la percezione del rischio è tanto importante quanto il rischio stesso. È un costruttore di narrativa.

Il cattivo CISO comunica in gergo tecnico, si affida a metriche confuse e si lamenta di non essere ascoltato. Parla solo a voce, evita di prendersi posizioni scritte e rimane spiazzato quando piccoli incidenti scatenano grandi reazioni da parte degli stakeholder.

Competenza tecnica usata con empatia

Un buon CISO ha solide basi tecniche, ma le usa per comprendere i vincoli operativi, facilitare il dialogo con gli ingegneri e costruire soluzioni realistiche. La sua competenza genera fiducia, non autoritarismo.

Un cattivo CISO può non avere abbastanza competenza tecnica per dialogare con i colleghi oppure, se ce l’ha, la usa come leva per imporre soluzioni. Impedisce l’innovazione, crea attriti e si isola.

Cultura del feedback

Il buon CISO vuole conoscere i problemi prima degli altri. Crea un clima di fiducia dove le persone si sentono libere di dire la verità anche quando è scomoda. Favorisce la trasparenza, la responsabilizzazione e la consapevolezza diffusa.

Il cattivo CISO è spesso l’ultimo a sapere le cose, perché ha costruito un ambiente in cui segnalare problemi è rischioso. Rimane intrappolato nel filtro delle cattive notizie.

Empowerment del team

Il buon CISO costruisce un team autonomo, valorizza i leader emergenti, distribuisce responsabilità attraverso modelli federati come i “security champion”. Non è un collo di bottiglia, ma un moltiplicatore.

Il cattivo CISO accentra tutto, prende tutte le decisioni e si rende insostituibile. Questo lo rende il punto singolo di fallimento.

Relazione con il board

Il buon CISO aiuta il consiglio a governare meglio. Insegna quali domande fare, trasforma il reporting in dialogo strategico e costruisce una responsabilità condivisa.

Il cattivo CISO si limita a “fare il punto” e cerca solo di ottenere più budget. Non aiuta il board a crescere nella comprensione del rischio.

Network e collaborazione

Il buon CISO investe nel lungo termine, costruisce relazioni basate sulla fiducia, contribuisce alla propria rete tanto quanto riceve. Lavora per il successo dell’organizzazione e crea i presupposti per velocità e autonomia.

Il cattivo CISO è opportunista: attiva la rete solo quando serve qualcosa, chiede senza dare, vuole controllo ma non condivisione. Così facendo, frena tutto il sistema.

---

I buoni CISO sono figure tecniche, pratiche e orientate al business. Ispirano i team, collaborano con gli stakeholder e si prendono la responsabilità reale del cambiamento. Sanno bilanciare strategia e tattica, senza lasciare che una schiacci l’altra.

I cattivi CISO, semplicemente, non fanno nulla di tutto questo. Oppure lo fanno troppo tardi. Per le organizzazioni che non hanno ancora una figura di questo livello al proprio interno, affidarsi a un servizio di Virtual CISO può essere il modo più concreto per colmare il gap senza aspettare di trovare il profilo giusto sul mercato. Per approfondire il ruolo e le responsabilità di questa figura, è utile anche la guida su cosa fa un Virtual Chief Information Security Officer.

Domande frequenti

• Qual è la differenza principale tra un buon CISO e un cattivo CISO?
• La differenza non sta nel budget o negli strumenti a disposizione, ma nella mentalità: un buon CISO si comporta da dirigente, si assume la responsabilità dei risultati e costruisce una strategia coerente con gli obiettivi aziendali. Un cattivo CISO gestisce strumenti e reagisce agli eventi senza mai affrontare i problemi strutturali.
• Un’azienda senza un CISO interno può comunque avere una governance della sicurezza efficace?
• Sì. Molte organizzazioni, soprattutto di medie dimensioni, ricorrono a un Virtual CISO esterno per ottenere la stessa guida strategica senza i costi e i tempi di una ricerca sul mercato. Il modello funziona bene quando il vCISO ha accesso diretto al board e può agire con piena responsabilità sul programma di sicurezza.
• Come si riconosce un buon CISO durante un processo di selezione o valutazione?
• Un buon CISO sa spiegare la propria strategia in termini di rischio e impatto sul business, non solo in termini tecnici. Parla di meccanismi scalabili, di come ha costruito cultura del feedback nel team e di come ha gestito la relazione con il board. Chi risponde solo con elenchi di tool adottati o certificazioni ottenute è probabilmente ancora in una logica operativa, non strategica.