CISO on demand: esperto di sicurezza a chiamata, quando serve davvero

Cos'è il CISO on demand e quando serve

Il CISO on demand è la formula più leggera del CISO esterno: nessun canone, ma un intervento mirato su un tema specifico, con inizio e fine definiti. Serve quando l'organizzazione è autonoma sulla sicurezza, ma affronta una decisione o una verifica che richiede esperienza o imparzialità che internamente non ci sono.

Scenari tipici: un parere credibile da presentare al CdA, la valutazione di un fornitore critico prima della firma, una seconda opinione indipendente per il Board. In tutti i casi il CISO on demand entra, analizza, consegna un documento chiaro ed esce: decisioni più solide.

Gli interventi puntuali più richiesti

Il CISO on demand di Security Hub copre quattro interventi tipici, ciascuno con un deliverable concreto.

• Audit interno: verifica indipendente dei controlli, in preparazione alla ISO/IEC 27001, come evidenza per clienti e partner o gap analysis su NIS2, DORA o GDPR.
• Parere al Board: analisi e raccomandazioni scritte per il CdA, in linguaggio da decisori, su un investimento, un rischio o un incidente.
• Valutazione specifica: due diligence su un fornitore critico, assessment cloud, rischi di un progetto AI alla luce dell'AI Act e della ISO/IEC 42001.
• Second opinion indipendente: riesame di scelte già fatte — architetture, policy, remediation — da chi non le ha disegnate.

Perché un CISO esterno e non un consulente qualunque

Una perizia tecnica risponde a una domanda tecnica. Un CISO on demand risponde a una domanda di governo: non solo "questo sistema è sicuro?", ma "questa scelta è coerente con il rischio accettabile, con obblighi normativi e responsabilità degli amministratori?". La differenza conta davanti al Board, ai revisori e ai clienti.

Valerio Bellini, Fractional CISO di Security Hub, è Lead Auditor ACCREDIA e certificato CISM/CISA ISACA: ogni intervento è una valutazione condotta con metodo da auditor qualificato, documentata per reggere certificazioni, ispezioni e contenziosi. Security Hub non vende hardware né software: il parere non è orientato da alcun catalogo.

Come funziona un incarico a chiamata

L'attivazione è volutamente semplice, perché spesso i tempi sono stretti: un CdA in calendario, un contratto da firmare, un audit alle porte.

• Primo colloquio gratuito: si definiscono perimetro, obiettivo e deliverable.
• Raccolta evidenze: brevi interviste ai referenti, esame di documenti, configurazioni e contratti; se serve, verifiche tecniche.
• Consegna: un documento scritto con esito, rischi e raccomandazioni prioritarie, più una presentazione a management o Board.

Se emerge l'esigenza di una guida continuativa, il passaggio a un CISO esterno frazionale è naturale, ma non è mai una condizione dell'incarico.

CISO on demand, CISO frazionale o CISO ad interim: quale scegliere

Molte organizzazioni combinano le formule: un intervento on demand iniziale, poi un CISO frazionale per l'ordinario, di nuovo on demand per le verifiche annuali. Se non sai quale scegliere, il primo colloquio serve a capirlo, senza impegno.

Chi ne beneficia di più

Il CISO on demand è particolarmente efficace per tre profili: le PMI e mid-cap senza security governance interna, alle prime richieste formali di clienti enterprise, filiera NIS2 e partner; le aziende con un IT manager forte ma senza un pari livello sulla sicurezza, che in un momento delicato vogliono un confronto alla pari con un esterno senior; i Consigli di Amministrazione che chiedono evidenze firmate da un professionista indipendente invece che autovalutazioni interne.

Il principio è lo stesso: competenza senior solo sul perimetro che serve, a costo proporzionato a un singolo incarico, non a una struttura permanente.

Approfondimenti su CISO on demand