Il paradosso del CISO

Poiché nessun team di sicurezza può monitorare tutto, responsabilizzare i dipendenti affinché riconoscano e prevengano le minacce contribuisce a creare una difesa più solida e distribuita. 

Facciendo leva sull’influenza, sulla comunicazione e sulla collaborazione interfunzionale per integrare le pratiche di sicurezza nei flussi di lavoro quotidiani e nei processi decisionali. 

Attacchi sofisticati come il phishing tramite impersonificazione del CEO sfruttano la fiducia interna e richiedono consapevolezza in tutta l’organizzazione. 

La sicurezza moderna combina leadership, cultura, formazione e processi integrati – non solo controlli di accesso o difese reattive. 

Quando la sicurezza è integrata in tutti i team, contribuisce a identificare i rischi in anticipo e a rendere le risposte più rapide ed efficaci. 

Per la trascrizione con indicazione dei tempi, guarda il video qui

Benvenuti. 

Siamo in diretta da SHIFT e sono qui con Bill
O’Connell, Chief Security Officer di Commvault, e Will Galway, Vice Chief Security Officer di Commvault. 

Questo è “The CISO Paradox”, un podcast dedicato alla sicurezza all’avanguardia nell’era della responsabilità individuale
. 

Stiamo vivendo un periodo difficile per i CISO. 

Perché? 

Beh, ehm, i CISO sono spesso ritenuti responsabili a livello personale e legale 

per i risultati in materia di sicurezza delle aziende, ma non dispongono necessariamente in modo diretto del
budget, del personale o delle tecnologie che determinano tali risultati. 

Questo rende il loro lavoro piuttosto impegnativo. 

E quindi oggi ne parleremo, di cosa significhi essere un CISO moderno e di come il
ruolo si stia evolvendo all’interno delle più grandi imprese del mondo. 

Lascio la parola a Bill per primo. 

Bill, di cosa ti occupi? 

Sì, ehm… adoro il titolo della nostra sessione, che riguarda proprio questo paradosso, giusto? 

C’è un vero dilemma qui: da un lato, si vuole che il responsabile della sicurezza e il
team di sicurezza abbiano la responsabilità, la responsabilità ultima. 

Ma dall’altro si parla anche di cose come un modello di responsabilità condivisa, giusto? 

Quindi, come si fa a trovare un equilibrio tra queste due cose? 

Come si fa ad avere un’organizzazione che… ehm… possa garantire che la sicurezza dell’azienda sia
al livello richiesto 

ma che allo stesso tempo riconosca di non poter essere ovunque? 

Quindi bisogna anche preoccuparsi di tutte le persone nell’organizzazione, di tutta la tecnologia,
di tutti i sistemi e i processi. 

Mi piace pensare che il paradosso consista nel permettere che entrambe le cose siano vere e nel concentrarsi
, sì, sul fatto di disporre delle giuste competenze in materia di sicurezza, ma anche su come cambiare la cultura dell’ 

organizzazione? 

Quindi si tratta di 

, insomma, la “cultura come codice”, in cui tutti sanno cosa possono fare. 

E se si riesce a far sì che l’intera organizzazione rifletta un po’ di più sulla sicurezza, ehm
, questo probabilmente avrà un impatto maggiore rispetto all’assunzione di un’altra persona nel team di sicurezza. 

Quindi penso che siano entrambe le cose, ma la situazione è davvero cambiata nel tempo. 

Sai, il tuo vice Will sta cercando di trasformare tutti i membri dell’azienda in custodi
della sicurezza. 

Come si fa, Will, visto che gli attacchi stanno diventando sempre più complicati? 

Voglio dire, solo nell’ultima
settimana abbiamo tutti ricevuto telefonate da Sanjay Marchandani, il nostro CEO, che chiedeva buoni regalo e trasferimenti di denaro in vista di SHIFT, quindi come pensi 

per assicurarci che tutti noi siamo abbastanza accorti? 

Come si fa a trasformare la cultura aziendale in un modello di responsabilità condivisa? 

Sì, e penso che sia importante usare l’influenza piuttosto che l’autorità. 

Come hai detto all’inizio, 

, non abbiamo il controllo su ogni sistema, su ogni persona o sul loro WhatsApp personale. 

Quindi queste sono semplicemente cose per cui dobbiamo usare la nostra influenza per collaborare con i leader aziendali e con
gli altri responsabili di reparto e far arrivare questo messaggio ai nostri collaboratori. 

Penso che tutti abbiano una responsabilità in materia di sicurezza, ma tutto ciò serve a far progredire
l’azienda più rapidamente. 

E penso che ci siano cose che possiamo fare e che stiamo già facendo per contribuire a renderlo possibile. 

Penso che sia davvero importante mettere in
atto quella cultura della sicurezza di cui ha parlato Bill. 

E penso che, ehm 

stiamo facendo un buon lavoro in tal senso in questo momento. 

Sì, sono d’accordo. 

A proposito, le chiamate e i messaggi erano falsi. 

Erano un tentativo di phishing. 

Non erano vere. 

Ehm… Giusto per chiarire a tutti quelli che stanno ascoltando. 

Ehm… Allora, Bill, cosa ne pensi di come strutturare oggi un’organizzazione di sicurezza moderna all’interno
di un’azienda? 

Perché non si tratta solo di “bloccare e affrontare”, sai, ehm, i problemi relativi all’accesso e all’identità. 

Tu cosa ne pensi? 

Sì, penso che in parte, ehm, 

sia necessario un certo livello di competenza. 

Ma, avendo visto diversi modelli di organizzazioni di sicurezza in passato, ne ho notate alcune
che hanno cercato di adottare un approccio in cui la sicurezza è l’eroe, il pompiere che si occupa di 

tutto. 

E quando si crea quel muro e quella separazione, si solleva dalla
responsabilità chiunque all’interno dell’organizzazione. 

Possono dire: «Beh, io mi limiterò a fare il mio lavoro e poi la sicurezza si occuperà delle questioni di sicurezza
». 

E non credo che quel modello funzioni. 

Penso che 

dobbiamo pensarla più come, sapete, quando si costruisce una casa: non c’è un
idraulico e un elettricista e poi un elettricista della sicurezza o un idraulico della sicurezza, giusto? 

L’idraulico e l’elettricista devono sapere come svolgere il proprio lavoro in modo sicuro fin dall’inizio
. 

Quindi, quando pensiamo a un’organizzazione moderna, la domanda è: dove sono le persone
giuste, i ruoli e le funzioni che dovrebbero far parte del team di sicurezza? 

E poi: in che modo possiamo aiutare gli altri team a essere più sicuri? 

E quindi, come posso aiutare un’organizzazione di servizi 

a individuare i momenti della giornata in cui la sicurezza è importante e come posso insegnarle
a essere più scettica. 

Ehm… Quando penso a un’organizzazione di ingegneria di prodotto, non posso avere sviluppatori che
non pensino alla sicurezza e poi un team di sicurezza che intervenga per risolvere il problema, giusto? 

Da anni ormai le aziende stanno adottando un approccio “shift left” affinché gli
sviluppatori pensino in modo sicuro, sviluppino in modo sicuro, e poi sì, c’è il team di sicurezza che 

effettuerà anche alcuni controlli, 

ma non siamo lì per individuare tutto. 

Il team o previene il problema fin dall’inizio oppure, se ha creato una vulnerabilità,
la risolve molto prima che arrivi in produzione. 

Quindi questi sono i tipi di cose in cui la moderna organizzazione di sicurezza rappresenta una vera competenza in grado
di aiutare tutti gli altri team a svolgere il proprio lavoro in modo più sicuro. 

E penso, per tornare rapidamente al punto sollevato da Bill, che ci si stia muovendo verso dove
si trova il business. 

Penso che sia davvero importante. 

E penso 

ehm, sapete, non avere il classico silo di sicurezza che abbiamo visto in passato: bisogna
spostarsi dove si trova il business e connettersi a quel livello. 

Riguardo a quanto detto da Bill sugli sviluppatori e sulle persone che sono più vicine al prodotto… 

Voglio dire, c’è la formazione e ci sono modi per migliorare la sicurezza in generale. 

Oltre che a livello di prodotto, possiamo farlo anche internamente. 

Penso che dobbiamo replicare questi approcci e andare dove si trova l’attività per
migliorare ciò che facciamo. 

È un’ottima osservazione. 

Vorrei entrare molto nello specifico. 

Quindi, per le organizzazioni che stanno maturando la propria funzione di sicurezza informatica per necessità, ma
che forse hanno rimandato l’investimento il più a lungo possibile, la vostra organizzazione e le attività 

di cui siete incaricati sono in un certo senso esplosivi. 

em Avete la responsabilità di garantire che i prodotti realizzati siano sicuri quando finiscono
nelle mani dei clienti. 

Sei responsabile di 

rappresentate quasi l’ultimo passo del cliente prima dell’acquisto. 

Vogliono parlare con uno di voi due e assicurarsi di capire che i prodotti siano
realizzati tenendo conto della sicurezza e cosa succederà se dovesse verificarsi l’impensabile. 

uh Hai il compito di assicurarti che tutti in azienda stiano, ehm, proteggendo il nostro accesso a
ciò che conta internamente, educando perché non puoi avere un team 

sia così grande, giusto? 

Quindi devi istruire gli sviluppatori su come programmare in modo sicuro e devi istruire il personale di vendita
su come vendere in modo sicuro. 

Cosa ne pensi? 

Voglio dire, è un compito piuttosto vasto. 

La metterei in questo modo. 

Quali pensi siano i cinque ruoli chiave principali presenti in una moderna organizzazione CISO
? 

È difficile rispondere perché, come hai detto tu, tutte quelle aree sono importantissime. 

Penso che… 

una delle cose che, quando entro in una nuova organizzazione, devo
capire è: cosa fa l’azienda e, insomma, cosa sta cercando di 

raggiungere? 

E penso che una cosa che sia cambiata molto nel tempo sia che, ehm, un’organizzazione di sicurezza ha
iniziato, come sai, semplicemente dicendo “no” a tutto. 

Poi ci siamo resi conto che, beh, non possiamo farlo: tutto è connesso, tutto è digitale. 

Quindi, come posso assicurarmi che 

la sicurezza sia integrata fin dalla progettazione, che stiamo sensibilizzando l’azienda e che andiamo incontro alle loro esigenze
, giusto? 

In modo da poter, ehm, farlo. 

Ehm, penso anche che tu mi stia chiedendo quali siano i ruoli chiave all’interno dell’organizzazione. 

Ehm, non sono sicuro di poterli classificare, credo, perché svolgono tutti compiti molto diversi. 

Ehm, ma in definitiva, per me, parto da ciò che l’azienda sta cercando di realizzare e
da quali sono i rischi, giusto? 

Tutto deve essere orientato al rischio. 

E quindi, 

se ho un team che si occupa della sicurezza delle applicazioni o un team che si occupa dell’infrastruttura o del
cloud, ehm, abbiamo quasi bisogno di… ehm, è così importante che usiamo il rischio come una sorta 

di quella singola… ehm… tassonomia per parlare di tutte le cose che potrebbero andare storte
, in modo da poter confrontare un problema di progettazione dell’architettura che non mi piace con una potenziale 

vulnerabilità in un’applicazione e così via lungo tutta la catena del team di sicurezza. 

Il punto è: quando diciamo che qualcosa è critico, cosa significa? 

E non devo trasformare i dirigenti dell’azienda in esperti di sicurezza informatica in ogni occasione. 

Non sto parlando con loro di punteggi CVSS o, insomma, l’ho tradotto nel senso che quando dico
che qualcosa è critico, significa che dobbiamo interrompere ciò che stiamo facendo. 

Quando dico che qualcosa è ad alto rischio, dovreste preoccuparvi. 

Allo stesso modo, quando dico che qualcosa è a basso rischio, sappiate semplicemente che lo stiamo monitorando 

ma non ho intenzione di dedicarci troppo tempo. 

Dedicherò la maggior parte del mio tempo alle questioni critiche e ad alto rischio. 

E quindi penso che tutti i ruoli all’interno dell’organizzazione, specialmente in quella dedicata alla sicurezza,
debbano comprendere quale sia questa tassonomia, in modo da poter parlare con il business in un modo che possano 

e senza dover entrare nel merito di discussioni su SQL injection e su come evitarla. 

Penso anche che sia importante tenere a mente, quando si parla di Risk in
questo modo, 

c’è, sapete, il fatto che il più delle volte il rischio si basa sulla probabilità o su criteri stabiliti da un’autorità
, un’autorità di riferimento, ma dobbiamo considerare l’impatto sul business. 

Penso che sia un modo davvero importante per misurarlo e ciò che determina il grado di criticità
è l’impatto che potrebbe avere su di noi, ed è in base a questo che stabiliremo l’ordine di priorità. 

E penso che sia un approccio sano. 

È un approccio di pensiero diretto perché penso semplicemente che l’ordine in
cui si agisce sia importante. 

Quindi parliamo del rischio concretizzatosi per, ehm, solo qualche minuto. 

Noi tre abbiamo affrontato insieme una risposta a una violazione, che è il modo migliore per
imparare. 

Ehm… Quali sono le caratteristiche? 

Quali sono i tratti caratteriali dei leader che sono in prima linea nella risposta a una violazione? 

Comincio da te, Will. 

Penso che l’igiene informatica sia davvero importante. 

E penso che nella maggior parte, nella maggior parte, nella maggior parte delle violazioni pubbliche di cui sentiamo parlare, tutto inizi proprio
dall’igiene informatica. 

E penso che, per un buon leader, sia importante non lasciare che la perfezione sia nemica
del bene, ma solo assicurarsi di arrivare dove dobbiamo per proteggere l’ 

azienda. 

Credo davvero che le buone qualità dei leader non si limitino a questo, ma che consistano anche nel costruire
relazioni e fiducia tra le diverse unità aziendali. 

Siamo tutti sulla stessa barca e ogni piccolo gesto fa la differenza. 

Che si tratti di interagire con persone diverse all’interno dell’azienda o con diversi dipendenti
in diverse sedi e regioni. 

Penso che sia davvero importante che tutti siano in grado di unirsi e di sapere qual è la propria
responsabilità in quel tipo di modello di cultura della sicurezza condivisa. 

E Bill, tu ti trovi di fronte ai consigli di amministrazione. 

Cosa ne pensi di quel momento in cui, che tu lo faccia sentire o meno, l’allarme sta
suonando? 

Chi sei in quel momento e quali pensi siano le migliori caratteristiche di
leadership quando ti trovi di fronte a una crisi? 

Personalmente, lo trovo divertente. 

Mi innervosisco tantissimo nel traffico 

ma quando succede qualcosa di molto serio, riesco a rimanere molto, molto calmo. 

E penso che probabilmente uno dei tratti più importanti sia proprio il fatto di disporre
di informazioni incomplete. 

Ci saranno un milione di persone che ti faranno domande e devi davvero essere in grado di
concentrarti per chiederti: «Ok, cosa devo fare adesso? 

Qual è la prossima cosa che devo fare? 

Pensando al contempo al quadro generale: alla fine della giornata, dove devo
trovarmi? 

E poi comunicare con l’esterno. 

È interessante: ho molte conversazioni con i clienti e
, nel corso della mia carriera, ho dovuto farlo spesso; a volte bisogna ammettere i propri errori. 

Altre volte è più proattivo e, come hai detto tu, si tratta di cercare di instaurare fiducia sin dall’inizio. 

Ehm… E si riesce in un certo senso a capire quali CISO hanno avuto un problema e quali no
, perché molti dicono: “Beh, avete avuto i problemi X, Y e Z”. 

“Noi, sai, non possiamo lavorare con te”. 

Ehm 

E se sei nel settore da abbastanza tempo, inizi a renderti conto che, ehm, finirai per rimanere senza
aziende con cui fare affari, giusto? 

Tutti hanno un problema prima o poi, oppure semplicemente non ne sono ancora a conoscenza. 

Quindi, la cosa più importante è: come l’hanno gestita? 

Come hanno reagito? 

Sono trasparenti? 

Ah, e quindi, sai, è questo che cerco quando parlo con altri CISO; penso
che sia questo il tipo di mentalità che bisogna avere. 

La mia analogia preferita è quella del pugile 

che ha intenzione di non prendere mai un pugno in faccia. 

Insomma, non è proprio una buona strategia. 

Quindi bisogna essere preparati al fatto che qualcosa accadrà. 

E quindi guardi sempre avanti? 

Non sei mai soddisfatto del programma, giusto? 

C’è sempre qualcosa di meglio che potresti fare. 

Quindi, quando pianifichi l’anno, metti da parte dal 10 al 15% del budget e del tempo… 

libero, perché non sai cosa succederà. 

Non sai cosa cambierà. 

Non sappiamo come l’intelligenza artificiale cambierà il nostro lavoro tra un anno. 

Quindi, invece di pensare di avere tutte le risposte, concediti un po’ di
flessibilità, in modo da poter essere resiliente e capire dove devi adattarti. 

Quindi addentriamoci in acque più profonde. 

La fiducia cresce o si blocca nel momento della verità. 

Sai, la tua azienda ha subito una violazione o 

da qualche parte nella catena di fornitura si è verificata una violazione che ha ripercussioni su di voi. 

Ehm… Come fate a garantire di rafforzare la fiducia durante quel processo invece di minarla
con i clienti, con i vostri dipendenti, con il vostro consiglio di amministrazione, con i vostri dirigenti? 

E poi aggiungerò un altro elemento a questo: la risposta a una
violazione non richiede un giorno, non richiede una settimana, a volte richiede mesi. 

E molte persone tornano alle loro normali attività lavorative, ma il team di sicurezza e i team che forse
sono stati coinvolti, così come i clienti e i fornitori, 

devono comunque convivere con questa situazione fino a quando non si giunge a una conclusione naturale, ma non è mai una cosa veloce. 

Quindi, come si fa a mantenere alta l’energia e la concentrazione? 

Esploriamo un attimo questi due aspetti. 

Sì, penso che disporre dei controlli giusti sia ovviamente importante. 

Ma è anche il processo che porta a quel risultato, sapendo che le cose cambieranno e che le nuove
tecnologie arriveranno a un ritmo sempre più veloce 

non basta avere una lista di controllo e chiedersi: «Ho fatto queste 10 cose?». 

Ma anche: attraverso quale processo si decide quali sono quelle 10 cose e in che modo saranno
diverse l’anno prossimo? 

Quindi essere flessibili e avere quella mentalità è probabilmente importante quanto, sai,
fare un inventario dei controlli tecnici di cui dispongo in un dato momento. 

Penso che sia proprio questo ciò che mi aspetto, ciò che mi aspetto dal mio team. 

E quando parlo con altri CISO, 

penso che la qualità migliore che ho riscontrato sia proprio la capacità di adattarsi e di
riconoscere che non si possono avere tutte le risposte. 

Allora, qual è il tuo processo per determinare quali dovrebbero essere le priorità? 

Penso anche che, sai, tu abbia parlato di affaticamento, giusto? 

Soprattutto dopo che si è verificata una violazione e le persone tornano alle loro attività quotidiane. 

Penso che se vieni valutato lungo il percorso e ti autovaluti costantemente, sai
a che punto sei, sai a che punto sei con i progressi e sai cosa 

resta da fare. 

Quindi penso che la valutazione sia davvero importante per sapere quando dare l’allarme
e quando smettere di farlo e cercare di tornare a un normale flusso di attività. 

Ma credo che tutto ciò derivi dal lavoro di preparazione che si svolge in anticipo per
arrivare a quel punto. 

Se sei al telefono con un fornitore, un cliente o un potenziale cliente e questi stanno
cercando una risposta del tipo: «Raccontami di una volta in cui hai subito una violazione e di come hai 

hai comunicato la cosa alle persone. 

Come gestiresti quella conversazione? 

Perché c’è una vasta gamma di modi in cui potresti avere un copione legale pronto, potresti lasciare
che siano le vendite a gestirlo. 

Ma qual è il modo migliore per affrontare quella conversazione in modo da instaurare un rapporto di fiducia? 

Penso che, avendo lavorato nel settore della sicurezza per quasi 20 anni e avendo avuto molte, ehm, conversazioni
con altri CISO, 

Credo che la trasparenza sia la cosa più importante. 

Penso che le persone se ne accorgano 

quando non si fornisce loro una risposta esauriente o completa. 

E questo probabilmente erode la fiducia più rapidamente di qualsiasi altra cosa. 

E, come in ogni rapporto che richiede fiducia, quando la perdi, è molto più difficile riconquistarla
. 

Quindi poter dire: “Questo è ciò che sappiamo per certo, questo è ciò che non sappiamo”, è di
gran lunga meglio che cercare di dipingere la situazione in modo più roseo di quanto non sia in realtà. 

Sai, sono d’accordo sul fatto che la trasparenza sia fondamentale. 

E penso che, come professionista della sicurezza, non vediamo l’ora di leggere i rapporti veritieri
che vengono pubblicati dopo che si verifica una violazione come quella: si impara davvero tanto 

quando le aziende sono sincere e dirette su ciò che è accaduto. 

E in quel momento, quando arriva quella prima telefonata, penso che, come dice Bill, si
debba essere il più aperti e sinceri possibile, proprio perché le persone 

capiscono che 

queste cose possono succedere, ma è la tua reazione che determinerà il giudizio che ti daranno in
futuro. 

Ok, cambiamo argomento e parliamo di IA. 

L’IA sembra stare rivoluzionando il panorama degli attacchi alla sicurezza informatica e i vettori di attacco
. 

Come pensi che cambieranno i vostri ruoli tra un anno, man mano che l’IA matura? 

Penso che sarà complicato. 

Se si considera l’IA dal punto di vista della sicurezza, è un… 

problema da risolvere, perché stiamo cercando di utilizzarla per, ehm, potenziare l’azienda e consentirle
di muoversi più rapidamente. 

Stiamo anche cercando di utilizzarla per la sicurezza, al fine di proteggere l’azienda. 

Ma vogliamo anche assicurarci che non si ritorca contro di noi mentre cerchiamo di
fare le prime due cose. 

Quindi penso che ridefinirà le regole del gioco. 

E per molto tempo non ne ero convinto. 

Ma più a lungo si osserva come si stanno evolvendo le cose, l’IA agentica e il
modo in cui le aziende inizieranno a riporre la loro fiducia in un modello 

in grado di fornire quei risultati e di imparare nel tempo, in alcuni
casi quasi meglio dei dipendenti, 

Continuo a pensare che i dipendenti siano necessari per occuparsi degli aspetti relativi alla sicurezza. 

Non sto sostenendo che saremo tutti superati da un sovraccarico di IA, ma penso che ci
sarà un grande cambiamento nel modo in cui concepiamo e pianifichiamo la protezione dell’azienda, man mano che l’IA 

diventa sempre più diffusa sia nell’offensiva degli aggressori che nella difesa di un’azienda
. 

Sì, e questo è un ottimo esempio di come 

Sai, penso che dobbiamo pianificare ciò che non conosciamo e concederci un po’
di tempo e di budget per cose che cambieranno così rapidamente nel prossimo anno che non riesco a 

prevedere esattamente come useremo l’IA. 

E quando si parla di IA, cosa si intende esattamente, giusto? 

IA agentica contro il semplice ML. 

Quindi… ehm, ci concediamo lo spazio per dire: «Ok, non abbiamo alcuna risposta». 

Oggi non abbiamo tutte le risposte, ma sappiamo 

che per noi sarà una cosa enorme. 

E quindi, oltre alla semplice sicurezza per l’IA e all’IA per la sicurezza, questa corsa
agli armamenti in atto, in cui ora la barriera che impedisce a un autore di minacce di utilizzare l’IA contro un’azienda sta 

abbassandosi sempre di più. 

Sta diventando sempre più economico e facile. 

E il livello di competenze richiesto per fare ciò che avrebbero potuto fare anni fa… ehm, è diventato davvero
molto più semplice. 

Quindi l’altra cosa a cui dobbiamo pensare è: come, come ha detto Will, come ci
difendiamo da questo? 

Ehm, sapendo che è sempre diventato più facile e che ci sono stati, ehm, più strumenti
a disposizione, ma ora, ehm, l’IA, ehm, per gli attacchi alla sicurezza, è qualcosa che dovremo davvero 

capire. 

Sì, e basta pensare all’evoluzione del modo in cui gli aggressori hanno operato: una volta era
una persona molto intelligente che andava a bussare alla porta d’ingresso di un’azienda finché non 

riuscisse a entrare. 

Poi si è detto: “Posso usare questi strumenti di scripting e farlo più velocemente”. 

E poi, con i risultati ottenuti da quegli strumenti, dovevano comunque decidere: “Va bene, su chi
mi concentrerò da questo punto in poi?” 

Ma ora con l’IA, l’intelligenza artificiale sarà in grado di automatizzare tutto questo molto più velocemente. 

E prima era semplicemente così: dovevi correre più veloce di, sai, della persona accanto a
te. 

Beh, ora diventerà un po’ più impegnativo perché penso che gli attacchi aumenteranno
di velocità, il che significa che la nostra difesa dovrà muoversi alla stessa velocità. 

Giusto. 

E la risposta. 

Sì. 

Penso che dobbiamo partire dal presupposto che riusciranno a penetrare nel sistema e dobbiamo capire come contenerli e risolvere il problema
il più rapidamente possibile. 

Assolutamente. 

Sì. 

Penso che, sai, mi piace ricordare ai CISO due cose fondamentali che, secondo
me, la gente ha dimenticato negli ultimi due anni. 

Ho notato un enorme spostamento verso la difesa. 

E, come hai detto tu, credo davvero che sia anche una questione di resilienza: prima o poi ti
prenderai un pugno in faccia. 

Riuscirai a rialzarti? 

E con quanta efficacia riesci a rialzarti? 

Ah, e quindi quando si pensa a cose come la triade della CIA, giusto, la disponibilità, che è uno
dei principi fondamentali della sicurezza. 

Ah, oppure, sai, con il NIST, si tratta di recupero. 

E quindi penso che ci siamo spostati così tanto verso la difesa 

e credo che i CISO più accorti si stiano rendendo conto che devono prestare attenzione anche a come aiutare a ripristinare
il sistema. 

Ah, come posso rilevarlo il più velocemente possibile? 

Ma anche: come faccio a rimettere in piedi la mia azienda? 

È un perfetto spunto per la mia ultima domanda, che è questa. 

Sapete, lo standard non è essere perfetti. 

Lo standard non è fare tutto nel modo giusto. 

Lo standard è provarci. 

L’obiettivo è fare progressi. 

Quindi, per concludere, come ci provi? 

Qual è la prima cosa sulla vostra lista per fare progressi? 

Per cosa vorreste essere conosciuti tra soli due trimestri? 

Voglio essere conosciuto per fare bene le cose noiose. 

Voglio essere riconosciuto per aver portato l’azienda a un livello in cui gli attacchi medi, quelle cose
in cui la maggior parte delle aziende fallisce, non ci riguardano. 

Voglio assicurarmi che, grazie a buone pratiche di sicurezza e a misure ben ponderate, siamo in grado di
mantenerci ben al di sopra del livello richiesto, 

in modo da avere a disposizione il tempo e il budget necessari per affrontare le cose di cui ancora
non siamo a conoscenza. 

Ma dobbiamo occuparci, dobbiamo sempre fare prima le cose facili. 

Ottimo. 

Grazie. 

Sì, sai, è interessante: lo sport è una parte importante della mia vita. 

Sono una persona molto competitiva e gioco sempre in difesa. 

E quindi penso che questo, sai, mi tocchi da vicino, e il motivo per cui sono entrata in questo
campo è che, come dirai tu, se fai bene il tuo lavoro, è invisibile. 

Nessuno se ne accorge, giusto? 

Ehm, giocare in attacco è molto appariscente, ma, ehm, in difesa devi solo fare il tuo lavoro
come ci si aspetta. 

E quindi, sai, penso che, ehm, sai, sono d’accordo al cento per cento sul fatto che si tratti di
garantire di avere il giusto livello di difesa, in modo che, se dovesse succedere qualcosa, siamo pronti 

ad affrontarlo. 

Possiamo reagire rapidamente e rimettere in piedi l’attività. 

E penso, sapete, che sia proprio lì che voglio essere. 

Grazie, Bill, responsabile della sicurezza di Commvault, e Will, 

vice responsabile della sicurezza di Commvault. 

Siamo davvero fortunati ad avervi in Commvault e siamo davvero fortunati che aiutiate così tante
persone, sia all’interno che all’esterno dell’azienda, a sviluppare una maggiore consapevolezza riguardo a ciò che tutti noi dobbiamo affrontare 

in termini di resilienza informatica. 

Se volete saperne di più, visitate il nostro Readi verse. 

È ricco di informazioni, consigli e best practice per i responsabili della sicurezza e i
dirigenti, per iniziare, crescere e diventare ancora più competenti 

, perché si tratta di un modello di responsabilità condivisa e l’obiettivo è aiutare ciascuno di noi a diventare
più forte. 

Grazie mille. 

voi