Essere un CISO può sembrare una battaglia persa in partenza.
Oggi i CISO sono chiamati ad aiutare l’azienda a comprendere i rischi informatici, a mettere in atto controlli adeguati alla sua propensione al rischio e a garantire che sia in grado di resistere o di riprendersi rapidamente da situazioni difficili, continuando al contempo a raggiungere i risultati aziendali richiesti. E, come ho già sottolineato in passato, devono farlo in un mondo in cui chi sferra attacchi informatici deve avere ragione anche solo una volta, mentre chi si difende deve avere ragione sempre.
È una lotta impari. Ma è anche la realtà.
Il nuovo documentario sul mondo cibernetico di Semperis, Midnight in the War Room, sarà presentato in anteprima al Black Hat USA il 5 agosto 2026. Il film affronta un tema che molti di noi cercano di sottolineare da anni: la sicurezza informatica non è una questione tecnica. È una questione di resilienza aziendale, di leadership e, in molti settori, una questione sociale.
È proprio questa la verità affrontata nel libro *Midnight in the War Room *. Troppo spesso si parla ancora di sicurezza informatica come se fosse una questione che riguarda esclusivamente il reparto IT. Secondo la mia esperienza, questo è un errore.
I CISO sono in prima linea nella guerra cibernetica
Un attacco informatico di grave entità si trasforma rapidamente in una crisi aziendale. Incide sulle operazioni, sulle comunicazioni, sugli aspetti legali, sulla finanza, sulla catena di approvvigionamento, sulla fiducia dei clienti e, in alcuni settori, persino sulla sicurezza e sul benessere pubblico. Rappresenta inoltre una crisi personale per coloro che si trovano in prima linea di fronte a quello che può sembrare un assalto senza fine. Non solo i CISO si trovano spesso a combattere attacchi che possono provocare vere e proprie catastrofi umane, come nel caso del ransomware che minaccia di paralizzare le attività ospedaliere o degli attacchi informatici sferrati nell’ambito di conflitti globali, ma gli aggressori hanno iniziato a ricorrere a minacce di violenza fisica nei confronti dei responsabili e del personale addetto alla sicurezza informatica.
Consapevole di queste sfide, Semperis non ha voluto limitarsi ad analizzare gli aspetti tecnici del malware o delle intrusioni informatiche. Abbiamo voluto dare risalto alle testimonianze autentiche dei leader e dei team chiamati a garantire la continuità operativa delle organizzazioni, anche nelle situazioni di massima pressione.
Che cos’è la resilienza informatica?
La resilienza informatica è sinonimo di resilienza aziendale . Nell’odierno panorama digitale, gli attacchi informatici sono spesso solo il fattore scatenante di un evento più ampio che ha ripercussioni sull’azienda. Questa distinzione è importante.
"Midnight in the War Room " pone particolare enfasi sul peso emotivo e psicologico della difesa informatica, soprattutto per i CISO incaricati di proteggere le infrastrutture critiche e i servizi essenziali. Penso che sia proprio così.
Il ruolo del CISO moderno è più ampio di quanto molti al di fuori della professione possano immaginare. Richiede non solo competenza tecnica, ma anche capacità di giudizio, diplomazia, gestione delle crisi informatiche, leadership nella risposta agli incidenti e la capacità di spiegare i rischi informatici con un linguaggio che i consigli di amministrazione e i team esecutivi possano tradurre in azioni concrete. Richiede ai leader di considerare interruzioni prolungate, disagi operativi transnazionali, la fragilità della catena di approvvigionamento e la resilienza umana necessaria per gestire un incidente che potrebbe durare giorni o settimane, non ore.
Si stima che la criminalità informatica costi 10,5 trilioni di dollari all’anno. Ci sono 3,5 milioni di posti di lavoro vacanti nel settore della sicurezza informatica e la permanenza media in carica di un CISO è inferiore a 11 mesi. Questi non sono solo argomenti di discussione. Descrivono un contesto in cui chi si occupa della difesa è sottoposto a una pressione costante.
Come ha osservato il generale (in pensione) David Petraeus: «Ogni singolo giorno, nel cyberspazio è in corso una guerra».
Una vera resilienza informatica richiede ben più della semplice prevenzione
La comunità della sicurezza informatica sa bene che ogni organizzazione deve ormai adottare un approccio basato sul presupposto di una violazione quando si tratta di minacce informatiche. La resilienza informatica non si misura esclusivamente in base alla capacità di prevenire gli attacchi. La questione più importante è se si è in grado di ripristinare l’operatività aziendale rapidamente e in modo integro dopo un incidente informatico.
Ciò vale in particolare nel campo della sicurezza delle identità.
Gli avversari sono costantemente attratti dai sistemi di gestione delle identità perché è lì che possono causare il massimo raggio d’azione. Nella maggior parte delle organizzazioni, l’identità è la linfa vitale dell’ecosistema digitale e Active Directory rimane il cuore di tale ambiente. Se non si è in grado di fare affidamento su tale fondamento o di ripristinarlo rapidamente, non si può affermare in modo credibile di essere resilienti.
Sicurezza dell’identità, resilienza operativa e le decisioni più difficili da prendere in caso di crisi informatica
Una leadership efficace nel campo della sicurezza informatica non si limita alla sola risposta tecnica. In una vera e propria crisi informatica, le decisioni più difficili da prendere sono spesso quelle di natura aziendale.
- Chi ha ricevuto l'autorità di agire?
- A quali servizi aziendali viene data la priorità?
- Quando comunichi con le autorità di regolamentazione, i dipendenti, i fornitori, i clienti o gli azionisti?
- Per quanto tempo l'azienda può sopportare l'indisponibilità dei sistemi fondamentali?
- Quali sono le implicazioni legali, reputazionali, operative e di sicurezza del percorso di risposta che scegliete?
Queste domande sono al centro della resilienza operativa.
Nelle esercitazioni teoriche, ho spesso notato che le organizzazioni tendono istintivamente a concentrarsi sulle questioni tecnologiche, trascurando gli aspetti umani, legali e reputazionali. Eppure, la tecnologia è efficace solo nella misura in cui lo sono il processo e le persone che la gestiscono.
Nell’era della diffusione capillare dell’intelligenza artificiale, è facile perdere di vista questo aspetto. Eppure, in fondo, una leadership efficace nel campo della sicurezza informatica ruota attorno alle persone.
Come ha affermato Jen Easterly: «Per sconfiggere gli attacchi informatici malevoli che minacciano il nostro stile di vita non basterà una tecnologia progettata per essere sicura, ma occorreranno anche la creatività e la curiosità della mente umana. Queste qualità consentono a chi si occupa della difesa di superare in astuzia e in strategia gli avversari, ed è un onore far parte di “Midnight in the War Room” per portare avanti questa missione».
I migliori leader nel campo della sicurezza informatica creano spazio per prospettive diverse, fanno in modo che venga ascoltata anche la voce più timida nella stanza e mantengono i team concentrati sul sostegno all’attività aziendale, mentre gli addetti alla risposta tecnica si occupano di fare ciò che devono fare.
Voci autentiche, sfide reali
"Midnight in the War Room " riunisce oltre 50 esperti, tra cui CISO, ex hacker, vertici delle forze armate e della sicurezza nazionale, psicologi specializzati in sicurezza informatica, giornalisti e vittime. Tra i nomi più noti figurano:
- Chris Inglis
- Jen Easterly
- Generale (in pensione) David Petraeus
- Marcus Hutchins
- Prof.ssa Mary Aiken
Il cast più ampio comprende, tra gli altri, Marene Allison, Krista Arndt, Alan Berry, Roger Brotz, Grace Cassy e Chase Cunningham.
La varietà di punti di vista rappresentati nel film è importante. La resilienza informatica non è di competenza esclusiva di un unico settore. Richiede il contributo di professionisti, responsabili politici, ricercatori e leader che comprendano come le pressioni informatiche influenzino il processo decisionale nel mondo reale.
Chris Inglis lo ha detto senza mezzi termini: «La minaccia più grave che dobbiamo affrontare non è solo la sofisticatezza degli attacchi informatici sferrati dagli Stati-nazione, ma anche l’autocompiacimento. La resilienza si costruisce quando ci rifiutiamo di considerare sufficienti le difese attuali e ci prepariamo alle battaglie che devono ancora venire».
Le persone che si battono per la resilienza
I responsabili della sicurezza informatica operano in un contesto caratterizzato da minacce sempre più complesse, budget sempre più ridotti, una carenza persistente di competenze e una dipendenza dal digitale sempre maggiore. In questo contesto, le organizzazioni devono avere le idee molto più chiare su ciò che richiede la vera resilienza informatica.
Non basta dare per scontato che la tecnologia sarà disponibile quando ne avrete bisogno. Non basta dare per scontato che i canali di comunicazione standard continueranno a funzionare durante una crisi informatica. Non basta dare per scontato che il problema sia di competenza di qualcun altro.
I dirigenti devono essere in grado di descrivere i rischi informatici in termini aziendali, definire i servizi critici, stabilire le priorità di ripristino, fornire ai responsabili della risposta le risorse adeguate e garantire che l’organizzazione si sia preparata all’impensabile, anziché limitarsi a documentarlo.
Qualsiasi responsabile della gestione degli incidenti riconoscerà la veridicità dell’affermazione di Marcus Hutchins: «In fin dei conti, tutto si riduce a questo: la persona giusta era nel posto giusto al momento giusto?»
Se “Midnight in the War Room” contribuirà a far comprendere questo concetto a un maggior numero di team dirigenziali, avrà raggiunto il suo scopo.
Entra nella "War Room"
Non credo che i responsabili della sicurezza abbiano bisogno di un altro resoconto sensazionalistico sui rischi informatici. Ciò di cui hanno bisogno è che l’opinione pubblica comprenda in modo più chiaro e onesto in cosa consista effettivamente il loro lavoro e quali siano le sfide che devono affrontare ogni giorno.
Pronti a entrare nella War Room? Se parteciperete al Black Hat USA il mese prossimo, unitevi a Semperis alla primadi “Midnight in the War Room” il 5 agosto. Non perdetevi inoltre le simulazioni da tavolo “Enter the War Room”, incentrate sui settori della sanità, delle infrastrutture critiche e del commercio al dettaglio, organizzate in collaborazione con WWT e disponibili nella Business Hall. Nel frattempo, potete guardare il trailer del documentario qui. E poi, partecipate alla conversazione su Instagram o LinkedIn.
