CISO esterno per PMI: cosa fa e quando conviene

In molte PMI la sicurezza informatica è "di tutti e di nessuno". Il Responsabile IT segue i sistemi, il fornitore esterno gestisce server e backup, la qualità custodisce le procedure. Manca però chi tiene insieme il quadro, stabilisce le priorità e risponde alla direzione quando qualcosa va storto.

Il CISO (Chief Information Security Officer) è la figura che svolge questo compito. Un CISO esterno ricopre lo stesso ruolo come servizio: non è un dipendente, opera per un numero di giornate concordato e si integra con le persone già presenti in azienda.

Cosa fa un CISO esterno

Il compito non è "fare l'IT", ma gestire la sicurezza delle informazioni come un processo aziendale, con obiettivi, responsabilità e controlli.

Presidio continuo dell'SGSI

Il sistema di gestione della sicurezza delle informazioni (SGSI, o ISMS) va mantenuto vivo: analisi dei rischi aggiornata, politiche coerenti con l'operatività reale, evidenze raccolte nel tempo, riesami periodici. Il CISO esterno cura questo ciclo, mantiene un calendario delle attività, verifica l'applicazione dei controlli e prepara la direzione ai momenti chiave, come un audit interno o un assessment TISAX®.

Gestione degli incidenti

Quando si verifica un evento (un account compromesso, un ransomware, un attacco subito da un fornitore) serve chi sappia cosa fare nei primi minuti. Il CISO esterno classifica l'evento e ne valuta la gravità, coordina IT interno e fornitori tecnici, guida le azioni di contenimento e supporta la direzione nella gestione della crisi e nella comunicazione.

Per un'azienda che rientra nella NIS 2 il tema ha anche un risvolto normativo: gli incidenti significativi vanno notificati al CSIRT Italia con tempi stretti (preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese). Senza una regia chiara, rispettarli è difficile.

Security decision gate sui cambiamenti

Molti problemi di sicurezza nascono da decisioni prese senza valutarne l'impatto: un nuovo servizio esposto su internet, un cambio di architettura, una nuova piattaforma cloud. Il "security decision gate" è un passaggio semplice: prima di un cambiamento rilevante, il CISO esterno lo valuta e indica rischi, requisiti e condizioni. Non blocca le attività, le rende consapevoli. Si applica a nuove infrastrutture, modifiche architetturali e servizi esposti all'esterno.

Supporto alla direzione

La direzione ha bisogno di risposte chiare: stato di avanzamento, rischi aperti, ambiti in cui conviene investire. Il CISO esterno traduce lo stato tecnico in decisioni comprensibili e resta il riferimento per le richieste di clienti, auditor e fornitori.

Con la NIS 2 questo aspetto diventa centrale. Il D.Lgs. 138/2024 attribuisce agli organi di amministrazione la responsabilità di approvare le misure di gestione del rischio e di sovrintenderne l'attuazione, oltre a un obbligo di formazione. Un supporto continuativo aiuta a esercitare questa responsabilità con cognizione di causa.

Quando conviene

• Dimensioni insufficienti per un CISO interno. Una PMI raramente necessita di una figura dedicata a tempo pieno, e reperirla con l'esperienza adeguata è difficile.
• Label TISAX ottenuto o in preparazione. Il label vale tre anni e nel frattempo il sistema va mantenuto; senza presidio, al rinnovo si riparte quasi da zero.
• Appartenenza al perimetro NIS 2. Gli obblighi non si esauriscono con la registrazione: misure, incidenti, formazione e responsabilità della direzione richiedono un presidio costante.
• Richieste crescenti dei clienti. Questionari di sicurezza, verifiche sui fornitori, clausole contrattuali richiedono risposte coerenti da parte di chi conosce il sistema.
• IT esternalizzato. Il fornitore IT gestisce i sistemi, ma non dovrebbe controllare se stesso: il CISO esterno rappresenta un contrappeso indipendente.

Quando non conviene

Se l'azienda dispone già di un responsabile della sicurezza interno, competente e con tempo dedicato, un CISO esterno può servire solo per attività puntuali, come un audit interno o una seconda opinione. Allo stesso modo, per un intervento tecnico circoscritto, come un vulnerability assessment, non ha senso attivare un servizio continuativo.

CISO esterno e consulenza di progetto

La consulenza di progetto ha un inizio e una fine: preparare l'assessment TISAX, impostare l'adeguamento NIS 2, redigere le politiche. Il CISO esterno opera sulla continuità: mantiene ciò che è stato costruito e lo adatta quando l'azienda cambia. Spesso le due fasi si susseguono.

Il servizio di General Tech di Rosario Zappalà

Il servizio di CISO esterno è svolto da Rosario Zappalà, consulente indipendente, auditor interno ISO/IEC 27001:2022, con formazione specifica TISAX e competenze Red Team e Blue Team. Si basa su giornate distribuite nell'arco dell'anno, svolte da remoto, con presenza in azienda per sopralluoghi, riunioni con la direzione o audit. Il percorso parte da una call gratuita di 30 minuti; segue una proposta scritta personalizzata in cui numero e calendario delle giornate dipendono dall'azienda, dai requisiti e dallo stato del sistema.

Domande frequenti

Il CISO esterno sostituisce il Responsabile IT?

No. Il Responsabile IT gestisce i sistemi; il CISO esterno coordina la sicurezza delle informazioni, definisce le priorità e verifica l'applicazione delle misure. I due ruoli collaborano, con responsabilità distinte.

Il CISO esterno interviene su un incidente fuori orario?

Dipende da quanto concordato nella proposta. In ogni caso il primo passo è una procedura di gestione degli incidenti chiara, con ruoli e contatti.

La NIS 2 richiede un CISO esterno?

No. Richiede misure di gestione del rischio, gestione e notifica degli incidenti e una responsabilità diretta degli organi di amministrazione. Il CISO esterno è uno dei modi per assicurare questo presidio in una PMI.

Il CISO esterno si occupa anche di formazione?

Può inserirla nel piano annuale: la formazione del personale e della direzione è richiesta sia dalla NIS 2 sia dal catalogo VDA ISA.