Il paradosso del CISO

Poiché nessun team di sicurezza è in grado di monitorare tutto, consentire ai dipendenti di riconoscere e prevenire le minacce contribuisce a creare una difesa più solida e distribuita. 

Sfruttando l’influenza, la comunicazione e la collaborazione interfunzionale per integrare le pratiche di sicurezza nei flussi di lavoro quotidiani e nei processi decisionali. 

Attacchi sofisticati come il phishing tramite impersonificazione del CEO sfruttano la fiducia all’interno dell’organizzazione e richiedono una maggiore consapevolezza da parte di tutta l’organizzazione. 

La sicurezza moderna coniuga leadership, cultura, formazione e processi integrati — non si limita ai controlli degli accessi o alle misure di difesa reattive. 

Quando la sicurezza è parte integrante di tutti i team,ciò contribuisce a individuare i rischi in anticipo e a garantire risposte più rapide ed efficaci. 

Per la trascrizione con l’indicazione dei tempi, guarda il videoqui

Benvenuti. 

Siamo in diretta da SHIFT e sono qui con Bill
O’Connell, responsabile della sicurezza di Commvault, e Will Galway, vice responsabile della sicurezza di Commvault. 

Questo è “The CISO Paradox”, un podcast dedicato alla sicurezza all’avanguardia nell’era della responsabilità individuale
. 

Viviamo in tempi difficili per i CISO. 

Perché? 

Beh, ehm… i CISO sono spesso ritenuti responsabili a livello personale e legale

per quanto riguarda i risultati in materia di sicurezza delle aziende, ma non dispongono necessariamente del controllo diretto su
sul bilancio, sul personale o sulle tecnologie che determinano tali risultati. 

Questo rende il loro lavoro piuttosto impegnativo. 

E quindi oggi parleremo proprio di questo, di cosa significa essere un CISO moderno e di come il
ruolo che sta evolvendo all’interno delle più grandi aziende del mondo. 

Lascio la parola a Bill, per primo. 

Bill, di cosa ti occupi? 

Sì, ehm… adoro il titolo della nostra sessione, che riguarda proprio questo paradosso, giusto? 

Qui c’è un vero dilemma: da un lato, si vorrebbe che il responsabile della sicurezza e il
i team di sicurezza abbiano la responsabilità, la responsabilità ultima. 

Ma d’altra parte si parla anche di cose come un modello di responsabilità condivisa, giusto? 

Allora, come si fa a trovare un equilibrio tra queste due cose? 

Come si fa a creare un’organizzazione che, ehm, possa garantire che la sicurezza dell’azienda sia
al livello richiesto 

ma che allo stesso tempo riconosca di non poter essere ovunque? 

Quindi bisogna anche occuparsi di tutte le persone dell’organizzazione, di tutta la tecnologia,
di tutti i sistemi e i processi. 

Mi piace pensare che il paradosso consista nel riconoscere che entrambe le cose siano vere e nel concentrarsi
, sì, sul fatto che disponiamo delle giuste competenze in materia di sicurezza, ma anche su come cambiare la cultura della… 

organizzazione? 

Quindi si tratta di 

, insomma, la “cultura come codice”, in cui tutti sanno cosa possono fare. 

E se si riuscisse a far sì che l’intera organizzazione rifletta un po’ di più sulla sicurezza, ehm…
, Probabilmente questo avrà un impatto maggiore rispetto all’assunzione di un’altra persona nel team di sicurezza. 

Quindi penso che siano entrambe le cose, ma la situazione è davvero cambiata nel corso del tempo. 

Sai, il tuo vice Will sta cercando di trasformare tutti in azienda in guardiani
della sicurezza. 

Come si fa, Will, visto che gli attacchi stanno diventando sempre più complicati? 

Voglio dire, solo nell’ultima
Questa settimana abbiamo tutti ricevuto telefonate da Sanjay Marchandani, il nostro amministratore delegato, che ci chiedeva buoni regalo e trasferimenti di denaro in vista di SHIFT, quindi cosa ne pensi? 

per assicurarci che tutti noi siamo abbastanza prudenti? 

Come si fa a trasformare la cultura aziendale in un modello di responsabilità condivisa? 

Sì, e penso che sia importante ricorrere all’influenza piuttosto che all’autorità. 

Come hai detto all’inizio,

, non abbiamo il controllo su ogni sistema, su ogni persona o sul loro WhatsApp personale. 

Quindi queste sono semplicemente cose per le quali dobbiamo usare la nostra influenza per
collaborare con i dirigenti aziendali e con gli altri responsabili di reparto e diffondere questo messaggio tra i nostri collaboratori. 

Credo che tutti abbiano una responsabilità in materia di sicurezza, ma l’obiettivo è quello di far progredire
l’azienda più rapidamente. 

E penso che ci siano cose che possiamo fare e che stiamo già facendo per contribuire a renderlo possibile. 

Credo che sia davvero importante mettere in
proprio quella cultura della sicurezza di cui ha parlato Bill. 

E credo che, ehm,

Al momento stiamo facendo un buon lavoro in tal senso. 

Sì, sono d’accordo. 

A proposito, le chiamate e i messaggi erano falsi. 

Si trattava di un tentativo di phishing. 

Non erano vere. 

Ehm… Giusto per chiarire a tutti coloro che ci stanno ascoltando. 

Ehm… Allora, Bill, cosa ne pensi di come si dovrebbe strutturare oggi un’organizzazione di sicurezza moderna all’interno
di un’azienda? 

Perché non si tratta solo di “affrontare e risolvere”, sai, ehm, i problemi legati all’accesso e all’identità. 

Tu cosa ne pensi? 

Sì, penso che in parte, ehm, 

è necessario un certo livello di competenza. 

Ma, avendo osservato in passato diversi modelli di organizzazioni di sicurezza, ne ho notate alcune
che hanno cercato di adottare un approccio in cui la sicurezza è l’eroe, il pompiere che si occupa 

tutto. 

E quando si crea quel muro e quella separazione, si esonera tutti i membri dell’organizzazione dalla
responsabilità. 

Potrebbero dire: «Beh, mi limiterò a fare il mio lavoro e poi la sicurezza si occuperà delle questioni di sicurezza»
». 

E non credo che quel modello funzioni. 

Credo che

dobbiamo pensarla più come, insomma, quando si costruisce una casa: non è un
un idraulico e un elettricista, e poi un elettricista specializzato in sicurezza o un idraulico specializzato in sicurezza, giusto? 

L’idraulico e l’elettricista devono sapere come svolgere il proprio lavoro in modo sicuro fin dall’inizio
. 

Quindi, quando pensiamo a un’organizzazione moderna, la domanda è: dove sono le persone?
Giuste, quali sono i ruoli e le funzioni che dovrebbero far parte del team di sicurezza? 

E poi: in che modo possiamo aiutare gli altri team a lavorare in modo più sicuro? 

E quindi, come posso aiutare un’organizzazione che fornisce servizi

individuare i momenti della giornata in cui la sicurezza è importante e come posso insegnarglielo
a essere più scettica? 

Ehm… Quando penso a un’organizzazione di ingegneria di prodotto, non posso avere sviluppatori che
Non pensano alla sicurezza e poi ci pensa una squadra di sicurezza a intervenire per sistemare le cose, giusto? 

Da anni ormai le aziende stanno adottando un approccio “shift left” affinché gli
gli sviluppatori ragionino in modo sicuro, sviluppino in modo sicuro e poi, sì, c’è il team di sicurezza che 

effettuerà anche alcuni controlli, 

Ma non siamo lì per individuare tutto. 

Il team o previene il problema fin dall’inizio oppure, se ha creato una vulnerabilità,
la risolve molto prima che entri in produzione. 

Quindi questi sono i tipi di aspetti in cui la moderna organizzazione della sicurezza rappresenta una vera competenza in grado di
di aiutare tutte le altre squadre a svolgere il proprio lavoro in modo più sicuro. 

E penso, per tornare rapidamente al punto sollevato da Bill, che ci si stia orientando verso dove
è lì che si trova il business. 

Credo che sia davvero importante. 

E penso 

Ehm, sapete, non avere il classico “silo” di sicurezza che abbiamo visto in passato: bisogna
spostarsi dove si svolge l’attività e interagire a quel livello. 

Per quanto riguarda quanto detto da Bill sugli sviluppatori e sulle persone che sono più vicine al prodotto… 

Insomma, c’è la formazione e ci sono modi per migliorare la sicurezza in generale. 

Oltre che a livello di prodotto, possiamo farlo anche internamente. 

Credo che dobbiamo replicare questi approcci e arrivare al cuore dell’attività, ovunque essa si trovi, per
migliorare ciò che facciamo. 

È un’ottima osservazione. 

Vorrei entrare molto nel dettaglio. 

Pertanto, per le organizzazioni che stanno sviluppando la propria funzione di sicurezza informatica per necessità, ma
che forse hanno rinviato l’investimento il più a lungo possibile, la vostra organizzazione e le attività  

di cui siete responsabili sono, in un certo senso, esplosive. 

Avete la responsabilità di garantire che i prodotti realizzati siano sicuri una volta immessi sul mercato
nelle mani dei clienti. 

Sei responsabile di 

rappresentano quasi l’ultimo passo del cliente prima dell’acquisto. 

Vogliono parlare con uno di voi due e assicurarsi di aver ben chiaro che i prodotti siano
realizzati tenendo conto della sicurezza e di cosa accadrebbe se dovesse verificarsi l’impensabile. 

Ehm, Hai il compito di assicurarti che tutti in azienda stiano, ehm, proteggendo il nostro accesso a
ciò che conta è l’aspetto interno, educando perché non si può avere una squadra

È così grande, vero? 

Quindi devi formare gli sviluppatori su come programmare in modo sicuro e devi formare il personale di vendita
su come vendere in modo sicuro. 

Che ne pensi? 

Insomma, è un compito piuttosto impegnativo. 

La metterei in questi termini. 

Quali ritieni siano i cinque ruoli chiave presenti in una moderna organizzazione CISO?
? 

È difficile rispondere perché, come hai detto tu, tutte quelle aree sono estremamente importanti. 

Credo che…

una delle cose che, quando entro in una nuova organizzazione, devo
capire è: di cosa si occupa l’azienda e, insomma, cosa sta cercando di

raggiungere? 

E penso che una cosa che sia cambiata molto nel corso del tempo sia che, ehm, un’organizzazione di sicurezza abbia
è iniziato, come sai, semplicemente dicendo “no” a tutto. 

Poi ci siamo resi conto che, beh, non possiamo farlo: tutto è collegato, tutto è digitale. 

Quindi, come posso assicurarmi che 

la sicurezza sia integrata fin dalla fase di progettazione, che stiamo sensibilizzando l’azienda e che veniamo incontro alle loro esigenze
, giusto? 

In modo da poter, ehm, farlo. 

Ehm, credo anche che tu mi stia chiedendo quali siano i ruoli chiave all’interno dell’organizzazione. 

Ehm, non sono sicuro di poterli classificare, credo, perché svolgono tutti compiti molto diversi. 

Ehm, ma in definitiva, per quanto mi riguarda, parto da ciò che l’azienda sta cercando di realizzare e
quali sono i rischi, giusto? 

Tutto deve essere orientato al rischio. 

E quindi, 

Se ho un team dedicato alla sicurezza delle applicazioni o un team che si occupa dell’infrastruttura o del
cloud, ehm, abbiamo quasi bisogno di… ehm, È così importante che utilizziamo il rischio come una sorta di 

di quella singola… ehm… tassonomia per parlare di tutte le cose che potrebbero andare storte
, in modo da poter confrontare un problema di progettazione architettonica che non mi piace con una potenziale 

vulnerabilità in un’applicazione e così via lungo tutta la catena del team di sicurezza. 

Il punto è: quando diciamo che qualcosa è fondamentale, cosa significa? 

E non devo trasformare i dirigenti dell’azienda in esperti di sicurezza informatica in ogni occasione. 

Non sto parlando con loro di punteggi CVSS o, insomma, l’ho tradotto così: quando dico
che Se qualcosa è critico, significa che dobbiamo interrompere ciò che stiamo facendo. 

Quando dico che qualcosa è ad alto rischio, dovreste preoccuparvi. 

Allo stesso modo, quando dico che qualcosa presenta un rischio basso, sappiate semplicemente che lo stiamo monitorando

Ma non ho intenzione di dedicarci troppo tempo. 

Dedicherò la maggior parte del mio tempo alle questioni critiche e ad alto rischio. 

E quindi penso che tutti i ruoli all’interno dell’organizzazione, specialmente nel reparto sicurezza,
devono comprendere in cosa consista questa tassonomia, in modo da poter dialogare con il settore aziendale in un modo che permetta loro di 

e non doverci addentrare in discussioni sull’SQL injection e su come evitarlo. 

Ritengo inoltre che sia importante tenere presente che, quando si parla di rischio in
in questo modo, 

Beh, sapete, il fatto che il più delle volte il rischio si basi sulla probabilità o su criteri stabiliti da un’autorità 
, non un’autorità di riferimento, ma dobbiamo considerare l’impatto sul business. 

Credo che sia un modo davvero importante per valutarlo e ciò che determina il grado di criticità 
È l’impatto che potrebbe avere su di noi: è questo l’ordine in cui affronteremo le questioni. 

E penso che sia un approccio positivo. 

È un approccio diretto, perché penso semplicemente che l’ordine in
per cui è importante agire. 

Allora parliamo del rischio che si è concretizzato per, ehm, solo qualche minuto. 

Noi tre abbiamo affrontato insieme una violazione, il che è il modo migliore per
imparare. 

Ehm… Quali sono le caratteristiche? 

Quali sono i tratti caratteriali dei leader che si trovano in prima linea nella gestione di una violazione? 

Comincio da te, Will. 

Credo che l’igiene informatica sia davvero importante. 

E penso che nella maggior parte, nella maggior parte, nella maggior parte delle violazioni pubbliche di cui sentiamo parlare, tutto abbia inizio proprio
dell’igiene informatica. 

E penso che, per un buon leader, sia importante non lasciare che la perfezione diventi un ostacolo
del bene, ma solo assicurarci di arrivare dove dobbiamo per proteggere l’… 

azienda. 

Credo davvero che le qualità dei leader non si limitino a questo, ma che consistano anche nel costruire
relazioni e fiducia tra le diverse unità aziendali. 

Siamo tutti sulla stessa barca e ogni piccolo gesto fa la differenza. 

Che si tratti di interagire con persone diverse all’interno dell’azienda o con i dipendenti
diversi in diverse sedi e regioni. 

Penso che sia davvero importante che tutti siano in grado di unirsi e di capire qual è la propria
responsabilità in quel tipo di modello di cultura della sicurezza condivisa. 

E Bill, ti trovi di fronte ai consigli di amministrazione. 

Come consideri quel momento in cui, che tu glielo faccia sentire o meno, l’allarme sta
suonando? 

Chi sei in quel momento e quali ritieni siano le caratteristiche migliori di
Qual è il ruolo della leadership quando si affronta una crisi? 

Personalmente, lo trovo divertente. 

Il traffico mi fa innervosire tantissimo 

Ma quando succede qualcosa di molto grave, riesco a mantenere la calma, molta calma. 

E penso che probabilmente uno degli aspetti più importanti sia proprio il fatto di disporre
a causa di informazioni incomplete. 

Ci saranno un milione di persone che ti faranno domande e devi davvero essere in grado di
concentrarti per chiederti: «Ok, cosa devo fare in questo momento?» 

Qual è la prossima cosa che devo fare? 

Tenendo presente al contempo il quadro generale: alla fine della giornata, dove devo
dove mi trovo? 

E poi comunicare con l’esterno. 

È interessante: ho molte conversazioni con i clienti e
, nel Nel corso della mia carriera, mi è capitato spesso di farlo; a volte bisogna ammettere i propri errori. 

Altre volte è più proattivo e, come hai detto tu, si tratta di cercare di instaurare un rapporto di fiducia fin dall’inizio. 

Ehm… E si riesce a capire quali CISO hanno avuto un problema e quali no
, perché ci sono molti che dicono: “Beh, hai avuto i problemi X, Y e Z”. 

“Noi, sai, non possiamo lavorare con te”. 

Ehm 

E se lavori nel settore da abbastanza tempo, inizi a renderti conto che, ehm, finirai per rimanere a corto di
aziende con cui fare affari, giusto? 

Prima o poi tutti hanno un problema, oppure semplicemente non ne sono ancora consapevoli. 

Quindi la cosa più importante è: come l’hanno gestita? 

Come hanno reagito? 

Sono trasparenti? 

Ah, e quindi, sai, è proprio questo che cerco quando parlo con altri CISO; penso
che sia proprio questo il tipo di mentalità che bisogna avere. 

La mia analogia preferita è quella del pugile

che ha intenzione di non prendersi mai un pugno in faccia. 

Insomma, non è proprio una buona strategia. 

Quindi bisogna essere pronti all’eventualità che succeda qualcosa. 

E quindi guarda sempre avanti? 

Non sei mai soddisfatto del programma, vero? 

C’è sempre qualcosa di meglio che potresti fare. 

Quindi, quando pianifichi l’anno, metti da parte dal 10 al 15% del budget e del tempo a disposizione… 

libero, perché non sai cosa succederà. 

Non sai cosa cambierà. 

Non sappiamo come l’intelligenza artificiale cambierà il nostro lavoro tra un anno. 

Quindi, invece di pensare di avere tutte le risposte, concediti un po’ di
flessibilità, in modo da poter essere resiliente e capire dove devi adattarti. 

Allora addentriamoci in acque più profonde. 

La fiducia cresce o si blocca nel momento della verità. 

Sai, la tua azienda ha subito una violazione o 

Da qualche parte nella catena di approvvigionamento si è verificata una violazione che vi riguarda. 

Ehm… Come fate a garantire di rafforzare la fiducia attraverso quel processo invece di minarla?
con i clienti, con i vostri dipendenti, con il vostro consiglio di amministrazione, con i vostri dirigenti? 

E poi aggiungerò un altro elemento a questo: la risposta a una
Una violazione non richiede un giorno, non richiede una settimana, a volte richiede mesi. 

E molte persone tornano alle loro normali attività lavorative, ma il team di sicurezza e i team che forse
sono stati coinvolti, così come i clienti e i fornitori, 

devono comunque convivere con questa situazione fino a quando non si giunge a una conclusione naturale, ma non è mai una cosa che avviene in fretta. 

Allora, come si fa a mantenere alti i livelli di energia e concentrazione? 

Analizziamo per un attimo questi due aspetti. 

Sì, penso che disporre dei controlli giusti sia ovviamente importante. 

Ma è anche il processo attraverso il quale si giunge a questo risultato, sapendo che le cose cambieranno e che le nuove
le tecnologie si diffonderanno a un ritmo sempre più rapido

Non basta avere una lista di controllo e chiedersi: «Ho fatto queste 10 cose?». 

Ma anche: attraverso quale processo si decide quali sono quelle 10 cose e in che modo saranno
diverso l’anno prossimo? 

Quindi essere flessibili e avere quella mentalità è probabilmente importante quanto, sai,
fare un elenco dei controlli tecnici di cui dispongo in un determinato momento. 

Credo che sia proprio questo ciò che mi aspetto, ciò che mi aspetto dalla mia squadra. 

E quando parlo con altri CISO, 

Penso che la qualità migliore che ho riscontrato sia proprio la capacità di adattarsi, di riconoscere e accettare
il fatto che non si possano avere tutte le risposte. 

Allora, qual è il tuo metodo per stabilire quali dovrebbero essere le priorità? 

Penso anche che, sai, tu abbia parlato di affaticamento, giusto? 

Soprattutto dopo che si è verificata una violazione e le persone riprendono le loro attività quotidiane. 

Credo che se vieni valutato man mano che procedi e ti autovaluti costantemente, sai
A che punto sei? Sai a che punto sei con i progressi e sai cosa 

c’è ancora da fare. 

Quindi penso che la valutazione sia davvero importante per capire quando dare l’allarme
e quando smettere di farlo per cercare di tornare a un normale ritmo di attività. 

Ma credo che tutto ciò derivi dal lavoro di preparazione che viene svolto in anticipo per
arrivare a quel punto. 

Se sei al telefono con un fornitore, un cliente o un potenziale cliente e ti chiedono
: «Raccontami di una volta in cui hai subito una violazione e di come hai 

hai informato le persone della cosa. 

Come gestiresti quella conversazione? 

Perché ci sono tantissimi modi in cui potresti farti preparare un documento legale su misura per te, oppure potresti lasciare
che siano le vendite a occuparsene. 

Ma qual è il modo migliore per affrontare quella conversazione in modo da instaurare un rapporto di fiducia? 

Credo che, lavorando nel settore della sicurezza da quasi 20 anni, abbia avuto molte, ehm, conversazioni
con altri CISO. 

Credo che la trasparenza sia la cosa più importante. 

Credo che la gente se ne renda conto 

quando non viene fornita loro una risposta esauriente o completa. 

E questo probabilmente mina la fiducia più rapidamente di qualsiasi altra cosa. 

E, come in ogni rapporto che richiede fiducia, quando la si perde, è molto più difficile riconquistarla
. 

Quindi poter dire: “Questo è ciò che sappiamo per certo, questo è ciò che non sappiamo”, è molto
meglio che cercare di dipingere la situazione in modo più roseo di quanto non sia in realtà. 

Sai, sono d’accordo sul fatto che la trasparenza sia fondamentale. 

E penso che, in qualità di professionisti della sicurezza, non vediamo l’ora di leggere rapporti veritieri
che vengono pubblicati dopo che si verifica una violazione come quella: si impara davvero tantissimo 

quando le aziende sono sincere e dirette su ciò che è accaduto. 

E in quel momento, quando arriva quella prima telefonata, penso che, come dice Bill, si
dobbiamo essere il più aperti e sinceri possibile, proprio perché le persone 

capiscono che 

Queste cose possono succedere, ma è la tua reazione che determinerà il giudizio che ti daranno in
futuro. 

Ok, cambiamo argomento e parliamo di intelligenza artificiale. 

Sembra che l’IA stia cambiando le regole del gioco per quanto riguarda gli attacchi alla sicurezza informatica, sia nel panorama generale che nei vettori di attacco
. 

Come pensi che cambieranno i vostri ruoli tra un anno, man mano che l’IA si evolve? 

Credo che sarà complicato. 

Se si considera l’IA dal punto di vista della sicurezza, è una questione molto interessante… 

problema da risolvere, perché stiamo cercando di utilizzarla per, ehm, potenziare l’azienda e consentirle
di muoversi più rapidamente. 

Stiamo anche cercando di utilizzarla a fini di sicurezza per proteggere l’azienda. 

Ma vogliamo anche assicurarci che la cosa non si ritorca contro di noi mentre cerchiamo di
raggiungere i primi due obiettivi. 

Quindi penso che cambierà le regole del gioco. 

E per molto tempo non ne ero convinto. 

Ma più a lungo si osserva come si stanno evolvendo le cose, l’IA agente e il
modo in nel quale le aziende inizieranno a riporre la loro fiducia in un modello

in grado di ottenere quei risultati e di imparare col tempo, in alcuni
quasi, quasi meglio dei dipendenti, 

Continuo a ritenere che i dipendenti siano indispensabili per quanto riguarda la sicurezza. 

Non sto dicendo che saremo tutti sopraffatti da un sovraccarico di intelligenza artificiale, ma penso che ci
sarà un grande cambiamento nel modo in cui pensiamo e pianifichiamo la protezione dell’azienda, man mano che l’IA 

sta diventando sempre più diffusa sia nell’offensiva degli aggressori che nella difesa di un’azienda
. 

Sì, e questo è un ottimo esempio di come 

Sai, penso che dovremmo pianificare ciò che non conosciamo e concederci un po’ di…
di tempo e di budget per far fronte ai cambiamenti così rapidi che si verificheranno nel prossimo anno, al punto che non riesco a 

prevedere esattamente come utilizzeremo l’IA. 

E quando si parla di IA, cosa si intende esattamente, vero? 

L’apprendimento automatico (IA) contro il semplice apprendimento automatico (ML). 

Quindi… ehm, ci prendiamo la libertà di dire: «Ok, non abbiamo alcuna risposta». 

Oggi non abbiamo tutte le risposte, ma sappiamo 

che per noi sarà una cosa enorme. 

E quindi, oltre alla semplice sicurezza per l’IA e all’IA per la sicurezza, questa corsa
agli attuali sistemi di difesa, in cui ora la barriera che impedisce a chi lancia minacce di utilizzare l’IA contro l’azienda sta 

abbassandosi sempre di più. 

Sta diventando sempre più economico e facile. 

E il livello di competenze richiesto per fare ciò che avrebbero potuto fare anni fa, ehm, è diventato molto più
semplice. 

Quindi l’altra cosa a cui dobbiamo pensare è: come, come ha detto Will, come ci
Come ci difendiamo da questo? 

Ehm, sapendo che è diventato sempre più facile e che ci sono stati, ehm, più strumenti
a disposizione, ma ora, ehm, l’IA, ehm, per quanto riguarda gli attacchi alla sicurezza, è qualcosa che dovremo davvero

capire. 

Sì, basta pensare all’evoluzione del modo in cui hanno agito gli aggressori: un tempo
una persona molto intelligente continuava a bussare alla porta d’ingresso di un’azienda finché non 

riuscisse a entrare. 

Poi si è detto: “Posso usare questi strumenti di scripting e farlo più velocemente”. 

E poi, con i risultati ottenuti da quegli strumenti, dovevano comunque decidere: «Va bene, su chi
«Su cosa mi concentrerò d’ora in poi?» 

Ma ora, grazie all’IA, l’IA sarà in grado di automatizzare tutto questo molto più rapidamente. 

E prima era semplicemente così: dovevi correre più veloce di, insomma, della persona accanto a
te. 

Beh, ora la cosa diventerà un po’ più impegnativa perché penso che gli attacchi aumenteranno
di velocità, il che significa che la nostra difesa dovrà muoversi alla stessa velocità. 

Giusto. 

Ed ecco la risposta. 

Sì. 

Credo che dobbiamo partire dal presupposto che riusciranno a entrare e dobbiamo capire come contenerli
e porvi rimedio il più rapidamente possibile. 

Assolutamente. 

Sì. 

Credo che, sai, mi piaccia ricordare ai CISO due cose fondamentali che, secondo
me, che la gente ha dimenticato negli ultimi due anni. 

Ho notato un enorme spostamento verso la difesa. 

E, come hai detto tu, credo davvero che sia anche una questione di resilienza: prima o poi ti
ti prenderai un pugno in faccia. 

Riuscirai a rimetterti in piedi? 

E con quanta efficacia riesci a rialzarti? 

Ah, e quindi quando si pensa a cose come la triade della CIA, giusto, la disponibilità, che è uno
dei pilastri fondamentali della sicurezza. 

Ah, oppure, sai, per quanto riguarda il NIST, si tratta di recupero. 

E quindi penso che ci siamo spostati così tanto verso la difesa 

E credo che i CISO più accorti si stiano rendendo conto che devono prestare attenzione anche a come contribuire a ripristinare
il sistema. 

Ah, come posso scoprirlo il più velocemente possibile? 

Ma anche: come faccio a rimettere in sesto la mia azienda? 

È un ottimo spunto per la mia ultima domanda, che è questa. 

Sapete, la norma non è essere perfetti. 

Lo standard non è fare tutto nel modo giusto. 

La norma è provarci. 

L’obiettivo è fare progressi. 

Allora, per concludere, come ci provi? 

Qual è la prima cosa sulla vostra lista per fare progressi? 

Per cosa vorreste essere conosciuti tra soli due trimestri? 

Voglio essere conosciuto per la mia capacità di svolgere bene i compiti noiosi. 

Voglio essere riconosciuto per aver portato l’azienda a un livello in cui gli attacchi medi, le cose
in cui la maggior parte delle aziende fallisce, non ci riguardano. 

Voglio assicurarmi che, grazie a buone pratiche di sicurezza e a misure ben ponderate, siamo in grado di
rimanere ben al di sopra del livello richiesto 

in modo da avere a disposizione il tempo e il budget necessari per affrontare le questioni di cui ancora
di cui non siamo a conoscenza. 

Ma dobbiamo darci da fare, dobbiamo sempre iniziare dalle cose più facili. 

Ottimo. 

Grazie. 

Sì, sai, è interessante: lo sport è una parte importante della mia vita. 

Sono una persona molto competitiva e gioco sempre in difesa. 

E quindi penso che questa cosa, insomma, mi tocchi da vicino, ed è per questo che mi sono buttata in questa
Il bello di questo settore è che, come diresti tu, se fai bene il tuo lavoro, non si nota nemmeno. 

Nessuno se ne accorge, vero? 

Ehm, giocare in attacco è molto spettacolare, ma, ehm, in difesa devi solo fare il tuo lavoro
come ci si aspetta. 

E quindi, sai, penso che, ehm, sia d’accordo al cento per cento sul fatto che si tratti di
garantire il giusto livello di protezione, in modo che, qualora dovesse succedere qualcosa, siamo pronti 

per affrontarlo. 

Siamo in grado di reagire rapidamente e ripristinare l’attività. 

E penso, sapete, che sia proprio lì che voglio stare. 

Grazie, Bill, responsabile della sicurezza di Commvault, e Will, 

vice responsabile della sicurezza di Commvault. 

Siamo davvero fortunati ad avervi in Commvault e siamo davvero fortunati che aiutiate così tante persone
persone, sia all’interno che all’esterno dell’azienda, affinché acquisiscano una maggiore consapevolezza di ciò che tutti noi dobbiamo affrontare 

in termini di resilienza informatica. 

Se volete saperne di più, visitate il nostro Readi verse. 

È ricco di informazioni, consigli e best practice per i responsabili della sicurezza e i
dirigenti, per iniziare, crescere e diventare ancora più competenti 

, poiché si tratta di un modello di responsabilità condivisa e l’obiettivo è aiutare ciascuno di noi a diventare
più forte. 

Grazie mille. 

voi