CISO temporaneo: la copertura a tempo definito della sicurezza

Quando un CISO temporaneo è la risposta giusta

Non tutte le esigenze richiedono un responsabile permanente: a volte serve qualcuno subito, per un periodo definito. Il CISO interno si è dimesso e la selezione del sostituto richiede mesi; la security manager è in congedo di maternità; la due diligence di un'acquisizione non può aspettare.

Altre volte è la scadenza a dettare i tempi: un audit ISO/IEC 27001 già fissato, un obbligo NIS2 o DORA, la remediation dopo un incidente. La copertura a tempo definito evita la paralisi e assunzioni affrettate che si rivelano sbagliate.

Cosa fa concretamente un CISO esterno a tempo determinato

Il CISO temporaneo non redige un report e se ne va: assume la responsabilità operativa della funzione sicurezza per tutta la durata dell'incarico. Gestisce progetti e fornitori, presidia gli audit, risponde al Board e ai comitati, coordina la risposta agli incidenti e mantiene le attività ricorrenti: vulnerability assessment, formazione, policy, non conformità.

Security Hub, con Valerio Bellini — Fractional CISO, Lead Auditor ACCREDIA e certificato CISM/CISA ISACA — porta un metodo già rodato: continuità su ciò che funziona, interventi mirati su ciò che espone a rischi concreti, dal GDPR alla gestione delle identità.

Durata tipica e modalità di ingaggio

La durata dipende dalla causa scatenante, non da un listino:

L'ingaggio di un CISO temporaneo è flessibile: pochi giorni al mese per il presidio, più intensi nelle fasi critiche come audit e incidenti.

Presa in carico rapida: come funzionano le prime settimane

Quando il posto è vacante, ogni settimana persa accumula rischio. La presa in carico segue un percorso compresso e collaudato:

• Prima settimana: documentazione, organigramma, contratti con fornitori e outsourcer, stato di progetti e certificazioni.
• Seconda settimana: colloqui con IT, HR, legal e DPO; mappatura dei rischi urgenti, delle scadenze entro 90 giorni e dei dossier in sospeso.
• Entro il primo mese: piano di presidio approvato dalla direzione, con priorità, responsabili e cadenza dei report al Board.

Il CISO temporaneo di Security Hub arriva con checklist e template già pronti: il tempo si investe sui problemi dell'organizzazione, non sul metodo improvvisato.

L'handover finale documentato: il valore che resta

La differenza tra una supplenza e un incarico professionale si vede alla fine: un CISO temporaneo serio consegna un pacchetto di handover strutturato che permette a chi subentra — un nuovo assunto, il rientro dal congedo o un CISO frazionale a regime — di ripartire senza settimane di reverse engineering.

Il passaggio di consegne include registro aggiornato di rischi e decisioni, stato dei progetti con i prossimi passi, mappa di fornitori e scadenze contrattuali, procedure e contatti critici per gli incidenti, verbali degli audit e piano delle azioni correttive. Sessioni di affiancamento con il successore completano il trasferimento: l'obiettivo è la continuità, non la dipendenza dal consulente.

CISO temporaneo, ad interim o consulenza tradizionale?

Le formule si somigliano ma rispondono a esigenze diverse. Il CISO temporaneo nasce per un arco chiuso con un evento terminale noto: scadenza del progetto, rientro del titolare, assunzione del sostituto. Il CISO ad interim presidia transizioni più profonde — riorganizzazioni, crisi, cambi di strategia — con mandato manageriale pieno e durata aperta. Il CISO frazionale è la formula continuativa per chi non vuole un responsabile interno a tempo pieno.

La consulenza tradizionale produce raccomandazioni ma non detiene la responsabilità operativa quotidiana. Se il problema è un vuoto di governo con una data di fine, il temporaneo è la scelta più lineare; se serve una guida stabile, meglio il frazionale. Security Hub inquadra il caso corretto già dal primo confronto.

Approfondimenti su CISO temporaneo