La spesa in cybersecurity non arriva più solo dall’ufficio del CISO. Secondo una recente analisi di mercato, le dinamiche di acquisto stanno cambiando rapidamente e per aziende e fornitori di soluzioni di sicurezza informatica diventa essenziale capire chi decide e chi paga. Oggi quasi il 15 percento della spesa corporate per la sicurezza informatica proviene da funzioni esterne al perimetro del chief information security office. Il dato è rilevante perché fino a circa dieci anni fa la quasi totalità degli investimenti in cybersecurity era concentrata nelle mani del CISO e del suo team, con processi di selezione e valutazione più centralizzati.
La crescita prevista della spesa non CISO è ancora più significativa. Le stime indicano un tasso di crescita annuo composto del 24 percento nei prossimi tre anni. Questo significa che il budget per la sicurezza informatica si sta distribuendo in più centri di spesa, spesso legati a iniziative tecnologiche specifiche e a priorità operative. In pratica la cybersecurity diventa una componente integrata di progetti cloud, sviluppo prodotto, gestione rete e governance, con decisioni che possono nascere in aree diverse rispetto alla security tradizionale.
I principali buying center che alimentano la spesa non CISO includono i responsabili del cloud, i team di prodotto, le funzioni di network e le aree audit e compliance. Ognuna di queste unità ha obiettivi differenti e di conseguenza criteri di scelta diversi:
- Cloud: chi guida il cloud tende a privilegiare soluzioni che semplificano l’operatività e si integrano con piattaforme esistenti.
- Team di prodotto: cercano sicurezza by design, strumenti per la protezione delle applicazioni e controllo sulle dipendenze software.
- Network: le funzioni di rete puntano su visibilità, segmentazione e risposta agli incidenti.
- Audit e compliance: richiedono tracciabilità, reportistica e allineamento normativo.
Per i vendor e i service provider di cybersecurity questo scenario impone un cambio di strategia commerciale e di marketing. Non basta più parlare solo al CISO con un linguaggio orientato al rischio e alla governance. Serve costruire messaggi e offerte mirate per stakeholder diversi, dimostrando valore misurabile, tempi di implementazione rapidi e benefici concreti per la continuità del business. Anche il percorso di vendita cambia, perché le decisioni possono essere distribuite e richiedere allineamento tra sicurezza, IT e funzioni di controllo interno.
