Modalità di collaborazione del CISO esterno

Presenza in sede e lavoro da remoto: il mix giusto

Le modalità di collaborazione del CISO esterno non sono rigide: analisi dei rischi, revisione delle policy, valutazione dei fornitori e report si svolgono da remoto, con accessi secondo il minimo privilegio. La presenza in sede è riservata a ciò che richiede relazione diretta: workshop, audit interni, gestione degli incidenti, riunioni del Board. Il mix si definisce all'avvio e si rivede periodicamente: tipicamente uno o due giorni al mese in sede, con picchi per audit o progetti strategici.

Quante giornate al mese servono davvero

Le modalità di collaborazione del CISO esterno partono da una domanda: quanto presidio richiede il tuo rischio? Valutiamo dimensione, regolamentazione (NIS2, DORA), maturità dei controlli e carico di progetti, e ne nasce un piano in giornate o mezze giornate al mese.

• Realtà piccole e poco regolamentate: poche giornate, concentrate su roadmap e verifiche periodiche.
• Imprese soggette a NIS2 o DORA: presenza più continuativa e presidio delle scadenze normative.
• Fasi critiche (incidenti, audit, acquisizioni): intensificazione temporanea, poi ritorno al regime ordinario.

Meglio poche giornate ben spese che molte decorative: ogni attività ha un obiettivo dichiarato e un esito verificabile.

Canali, tempi di risposta e SLA

La collaborazione funziona se la comunicazione è prevedibile: canale dedicato per il lavoro quotidiano, riunioni ricorrenti con agenda e verbale, percorso di escalation per le urgenze. Le modalità di collaborazione del CISO esterno prevedono SLA concordati per iscritto, non promesse vaghe.

Gli SLA esatti si definiscono nel contratto e vengono misurati: se non li rispettiamo, lo vedi nei report.

Inserimento in organigramma e rapporto con il Board

Un CISO esterno senza mandato formale è un consulente che nessuno ascolta: l'incarico prevede inserimento in organigramma, delega scritta e perimetro chiaro su cosa decide, cosa propone e a chi riporta — tipicamente la direzione generale o l'AD. Verso il Board portiamo un linguaggio tradotto: rischi, impatti sul business, stato dei piani. Il report trimestrale copre rischi, avanzamento della roadmap, incidenti gestiti e decisioni richieste. È il formato che Valerio Bellini affina come Fractional CISO e Lead Auditor ACCREDIA: il Board deve capire abbastanza da decidere, non diventare esperto di firewall.

Handover al team interno: lasciare un'organizzazione più forte

Un buon CISO esterno lavora per rendersi progressivamente meno necessario. Le nostre modalità di collaborazione del CISO esterno includono sempre un piano di handover: procedure documentate, runbook, censimento di credenziali e accessi, formazione dei referenti interni. Se l'organizzazione assume un CISO interno, il passaggio è ordinato, non traumatico. E anche in corso d'opera trasferiamo competenze al team IT su risk assessment, fornitori e risposta agli incidenti, per lasciare un'organizzazione più matura, allineata a ISO/IEC 27001 e pronta a crescere sulle proprie gambe.

Le forme contrattuali: frazionale, ad interim, on demand

Le forme contrattuali riflettono scenari d'uso diversi:

• CISO frazionale: un numero stabile di giornate al mese per presidiare la sicurezza in continuità; è la formula più diffusa per le PMI.
• CISO ad interim: copertura intensiva per un periodo definito, ad esempio durante la ricerca di un CISO interno o la gestione di una crisi.
• CISO on demand: interventi puntuali su esigenze specifiche: un audit, una due diligence, un adeguamento normativo.

Ogni forma prevede obiettivi, deliverable e criteri di misurazione. Le modalità di collaborazione del CISO esterno si scelgono all'inizio e si aggiustano nel tempo, senza vincoli sproporzionati né sorprese.

Approfondimenti su modalità di collaborazione del CISO esterno