Queste indicazioni emergono da “The CISO Credibility Gap: How a Communication Breakdown in the Boardroom is Hurting Cyber-Resilience”, l’ultima ricerca di Trend Micro, tra i leader globali del cybersecurity.
La ricerca, condotta da Sapio Research, ha coinvolto 2.600 decision maker IT in tutto il mondo. Il campione in Italia è stato di 100 intervistati.
“Oltre la metà dei responsabili di sicurezza afferma che i rischi cyber sono quelli più pericolosi per l’azienda. Purtroppo, i CISO non riescono a comunicare questi rischi in un linguaggio che sia comprensibile ai leader aziendali e di conseguenza vengono ignorati, sminuiti o accusati di eccessivo allarmismo”, afferma Veronica Pace, Head of Marketing di Trend Micro Italia. “I responsabili di cybersecurity devono riuscire a interagire meglio, oppure la resilienza informatica dell’organizzazione ne risentirà. Il primo passo è avere a disposizione un’unica fonte di verità su tutta la superficie di attacco”.
Tra i responsabili di security che ammettono di aver subito pressioni da parte dei responsabili aziendali, il 43% afferma di essere stato etichettato come ripetitivo o fastidioso, mentre il 42% come eccessivamente negativo. Un terzo (33%) sostiene addirittura di essere stato licenziato.
Millennial e lavoro: pigri e indolenti o semplicemente diversi?
I dati evidenziano un grave divario di fiducia, collegato alla difficoltà di spiegare e allineare i rischi cyber con quelli aziendali. A dimostrazione di questo, il 46% afferma di aver guadagnato maggiore credibilità nel momento in cui è riuscito a quantificare il valore, in termini di business, della propria strategia di sicurezza informatica.
Grazie a un approccio di questo tipo, i responsabili IT potrebbero:
- Ottenere più responsabilità (45%)
- Essere visti come una funzione di maggior valore (44%)
- Ricevere più budget (43%)
- Guadagnare posizioni nei processi decisionali (41%)
Tuttavia, si apprende dalla ricerca, al momento persiste un importante divario comunicativo tra l’IT e la leadership aziendale.
Solo la metà del campione (54%) ritiene, infatti, che la propria dirigenza comprenda completamente i rischi informatici a cui è esposta l’organizzazione, percentuale stabile dal 2021 (50%). Oltre un terzo (34%) degli intervistati afferma anche che la sicurezza informatica è ancora considerata parte dell’IT, piuttosto che un rischio aziendale. Inoltre, l’80% ritiene che solo una violazione grave possa incentivare i responsabili dell’azienda ad agire con maggiore fermezza nei confronti del rischio informatico.
Queste sfide sono complicate dal moderno ed eterogeneo ambiente della cybersecurity. L’utilizzo di prodotti isolati sulla superficie di attacco genera dati incoerenti, ad esempio, e complica la possibilità di poter dare ai leader aziendali un’idea chiara del rischio informatico.
Per questo, oltre la metà del campione (58%) ritiene che sarà necessario migliorare le abilità comunicative per correggere la situazione.