Quando chi filtra le informazioni sul rischio è incentivato a minimizzarlo, il board decide al buio
Un organigramma che parla chiaro
Il 64% dei CISO riporta ancora al CIO o al CTO. Solo l'11% ha una linea diretta verso il CEO. Il dato, che emerge dai benchmark di settore più recenti, non è una curiosità organizzativa, è la fotografia di un conflitto di interesse strutturale. Chiedere a chi gestisce il rischio cyber di rispondere a chi viene premiato per tagliare costi e accelerare il delivery equivale a subordinare la sicurezza all'efficienza per disegno, non per incidente. Brian Levine, ex procuratore federale oggi consulente in ambito cybersecurity, e Sanchit Vir Gogia, chief analyst di Greyhound Research, convergono su un punto netto: quando la funzione di sicurezza siede sotto l'IT, il rischio viene ridimensionato, filtrato, contenuto prima ancora di raggiungere chi dovrebbe valutarlo. Non si tratta di cattive intenzioni individuali. È una tensione inscritta nell'organigramma, che opera in silenzio e produce i suoi effetti ogni giorno, su ogni decisione di investimento.
Un sistema di contenimento, non di escalation
Spostate lo sguardo dal piano tecnico a quello strategico e il problema cambia scala. Se il CISO deve chiedere il permesso al proprio responsabile gerarchico per segnalare una lacuna critica nei controlli, l'organizzazione non dispone di un meccanismo di escalation, dispone di un meccanismo di contenimento. Le decisioni di investimento in sicurezza passano attraverso chi è incentivato a comprimere i costi, non a mitigare il rischio. Il risultato: il board riceve informazioni già filtrate sulla postura di sicurezza dell'organizzazione. Budget, resilienza, compliance, ogni decisione che il vertice prende su questi temi poggia su dati che qualcuno ha già selezionato e ridimensionato. Per un consiglio di amministrazione, questo non è un problema di cybersecurity. È un problema di qualità dell'informazione su cui si fondano le proprie delibere. In un contesto in cui l'organo di gestione risponde personalmente delle scelte in materia di rischio, governare su informazioni viziate equivale a non governare affatto.
Responsabilità senza indipendenza
La contraddizione è chirurgica. Il CISO porta la responsabilità del rischio cyber ma dipende gerarchicamente da chi viene premiato per velocità e risparmio. Quando la tensione tra riduzione del rischio e contenimento dei costi si gioca dentro la stessa linea di reporting, il rischio perde, sempre. Gogia definisce questa configurazione un "governance anti-pattern": una vulnerabilità strutturale mascherata da tradizione organizzativa. Non è un attacco al ruolo del CIO, che ha le proprie priorità legittime e i propri indicatori di performance. È la constatazione che due mandati opposti, innovare riducendo i costi e proteggere aumentando i controlli, non possono coesistere nella stessa catena di comando senza che uno prevalga sull'altro. Il segnale culturale è altrettanto rilevante: se il CISO è tre livelli sotto il CFO, nessuno nell'organizzazione prenderà sul serio le sue escalation. L'organigramma comunica priorità prima ancora che venga pronunciata una parola.
Il quadro normativo non prescrive, ma delimita
NIS2, all'articolo 20, stabilisce che gli organi di gestione dei soggetti essenziali e importanti devono approvare le misure di gestione del rischio di cybersicurezza e rispondono personalmente in caso di violazione. DORA, all'articolo 5, richiede un quadro di gestione e controllo interno che garantisca una gestione efficace e prudente del rischio ICT. Nessuna delle due normative prescrive una specifica linea di riporto per il responsabile della sicurezza. Ma entrambe presuppongono una condizione: che le informazioni sul rischio cyber arrivino al vertice senza distorsioni. Un modello di reporting in cui il rischio viene filtrato prima di raggiungere chi ne risponde rende questa condizione strutturalmente fragile. Non si tratta di una violazione automatica, ma di un'architettura organizzativa che espone il vertice a un rischio di accountability senza le informazioni necessarie per esercitarla. Nel contesto del recepimento italiano, dove la responsabilità personale degli amministratori assume contorni sempre più definiti, la domanda non è se il modello sia formalmente conforme, ma se sia sostanzialmente sostenibile.
La domanda che nessun organigramma vuole affrontare
Esiste un modello emergente, quello del Chief Digital Risk Officer, che propone di elevare il rischio digitale a categoria board-level, sottraendolo alla logica di sottofunzione IT. È una direzione, non una soluzione. Ciò che conta, prima di qualsiasi ridisegno organizzativo, è una verifica di realtà. L'influenza reale del CISO può contare più della posizione formale nell'organigramma, e ci sono organizzazioni in cui il reporting al CIO funziona perché esiste fiducia, accesso diretto e cultura della trasparenza. Ma queste sono eccezioni costruite su relazioni personali, non su architetture di governance. E le architetture di governance esistono proprio per funzionare anche quando le relazioni personali non bastano. La domanda resta aperta, e non ammette risposte di comodo: se il vostro CISO ha bisogno del permesso del CIO per segnalare un rischio critico al board, chi sta davvero governando il rischio cyber della vostra organizzazione?
Un organigramma non è mai neutro. Ogni linea di riporto è una decisione su cosa il vertice vedrà, e cosa non vedrà mai.