Che cos’è
Il CISO as a Service — o virtual CISO (vCISO), fractional CISO — è la funzione di Chief Information Security Officer erogata in modalità frazionale, su base continuativa, per organizzazioni che hanno bisogno di leadership senior sulla sicurezza ma non possono (o non devono) assumere un CISO full-time.
Il CISO è responsabile di tradurre strategia aziendale in postura di sicurezza: governa il rischio informativo, definisce policy, guida l’incident response, rappresenta la cybersecurity al board. In Italia un CISO senior full-time costa fra 120.000 e 220.000 € l’anno — spesso fuori portata per PMI e scale-up che pure hanno la stessa esposizione al rischio. Il CISO-aaS chiude questo gap.
Cosa ottieni
- Strategia di sicurezza pluriennale con obiettivi misurabili, sponsor esecutivi identificati, budget suggerito.
- Framework di governance del rischio — risk register vivo, classificazione, tolleranze, riesame periodico.
- Policy aziendali ownership completa — information security policy, acceptable use, access control, incident response, BCP/DR, supplier security.
- Reporting direzionale — dashboard mensile/trimestrale per CEO/board con KPI comprensibili (non metriche tecniche sterili).
- Rappresentanza della sicurezza in meeting con clienti enterprise, auditor, enti certificatori, assicurazioni cyber.
- Incident response leadership — presenza immediata in caso di incidente significativo (remote o on-site), coordinamento con legale, comunicazione autorità (ACN, Garante).
- Programma di awareness — calendario annuale, contenuti, misurazione.
- Supporto compliance — NIS 2, DORA, GDPR, ISO 27001, PCI-DSS. Se rientri in più perimetri, il CISO-aaS ti aiuta a orchestrarli senza duplicazioni.
A chi si rivolge
- PMI e scale-up regolate da NIS 2, DORA o che servono clienti enterprise che richiedono un CISO formale.
- SaaS vendor che devono dimostrare maturità di sicurezza a investor e prospect.
- Aziende in preparazione a ISO 27001 / SOC 2 che hanno bisogno del ruolo per chiudere il ciclo.
- Organizzazioni post-incidente che devono ricostruire governance e fiducia con stakeholder.
- Gruppi in M&A che integrano realtà con maturità di sicurezza diversa.
- Enti pubblici e PA che devono rispondere ad AgID, ACN, AgID senza una figura dedicata in organico.
Metodologia
- Assessment iniziale (4–6 settimane) — postura attuale, rischi, gap normativi, stakeholder, cultura di sicurezza. Fondazione del lavoro continuativo.
- Roadmap 12–24 mesi concordata con CEO/board, con milestone e definition of done chiare.
- Retainer mensile calibrato: tipicamente 2, 4, 6 o 10 giorni/mese, in funzione di dimensione e ambizione. Include sessioni ricorrenti con il management team.
- Presenza ai momenti chiave — riesame della direzione, audit interni, incidenti, trattative con clienti e auditor.
- Knowledge transfer — ogni policy, decisione, documento resta dell’organizzazione. Nessun lock-in.
- Revisione trimestrale dell’impegno: lo scaling up (più giornate) o scaling down devono essere previsti.
Perché con me
Sono Lead Auditor ISO 27001, ethical hacker, Presidente AIPSI, membro del Consiglio Direttivo FIDA INFORM, socio AIP e Federprivacy. Lavoro con istituti bancari, forze dell’ordine, PA, multinazionali. Porto al tavolo la doppia prospettiva — attaccante e certificatore — che un CISO deve avere. E, da coordinatore didattico in MUSA Formazione, rendo la sicurezza comprensibile a chi non è del mestiere, inclusi board e CEO: cosa altrettanto strategica della competenza tecnica.