Una riflessione da CIO su leadership, responsabilità e cultura digitale
Ci sono parole che modificano il modo in cui guardiamo le cose.
Una di queste è ferie.
In molte organizzazioni, quando arriva agosto, questa parola viene automaticamente associata a un'altra: riduzione. Meno persone. Meno riunioni. Meno attività. Meno presidio.
Da CIO, in questi anni ho imparato ad associare alla parola ferie un verbo diverso: preparare.
Preparare i sistemi. Preparare le persone. Preparare le reperibilità. Preparare le alternative. Preparare la capacità di reagire.
Perché mentre una parte dell'organizzazione rallenta, l'infrastruttura digitale continua a far funzionare l'azienda. E questo, per chi guida una funzione IT, cambia completamente la prospettiva: non è più una questione di calendario, è una questione di governo.
I numeri ACN raccontano soprattutto una cosa: dobbiamo vedere meglio
L'Operational Summary - I semestre 2026 dell'Agenzia per la Cybersicurezza Nazionale offre una fotografia che ogni leader digitale dovrebbe conoscere, non solo i team tecnici.
Nel primo semestre sono stati rilevati 2.171 eventi cyber, il 47% in più rispetto allo stesso periodo del 2025, e 1.072 incidenti con impatto confermato. ACN precisa correttamente che l'aumento degli eventi deriva in larga parte dalla maggiore capacità di osservazione introdotta dagli obblighi NIS2, e quindi non va letto come un aumento equivalente della minaccia.
Questa precisazione, per me, è il punto di partenza di ogni leadership credibile in questo ambito: i numeri servono a costruire consapevolezza, non a costruire paura.
E i numeri successivi rafforzano questa lettura. Nel semestre ACN ha censito 24.303 asset potenzialmente vulnerabili, 5.781 in più rispetto all'anno precedente; 37.032 nuove CVE; 606 alert pubblicati dal CSIRT Italia e oltre 43.600 comunicazioni inviate complessivamente. Gli asset potenzialmente compromessi sono invece scesi a 1.560.
Da soli, questi dati non dimostrano un nesso di causa-effetto. Indicano però una direzione molto chiara, ed è quella su cui costruisco il mio modo di fare leadership digitale: vedere prima consente di agire prima.
Non muri sempre più alti. Organizzazioni sempre più capaci di osservare, comprendere, decidere e reagire.
La superficie digitale cresce. E cresce la velocità con cui dobbiamo governarla
C'è un dato, tra quelli appena citati, che dovrebbe entrare nelle riunioni dei comitati di direzione, non restare confinato nei report dei CISO: le 37.032 nuove CVE pubblicate nel semestre segnano un +54% rispetto alle 24.098 dello stesso periodo del 2025. Per una parte di queste era già disponibile un Proof of Concept, e per alcune risultava già uno sfruttamento attivo. ACN collega questa accelerazione anche all'impiego crescente di modelli di AI nella ricerca di vulnerabilità e nella generazione dei PoC.
Tradotto in linguaggio manageriale: il tempo è diventato una variabile di sicurezza, al pari del budget o delle competenze.
Quanto tempo passa tra la pubblicazione di una vulnerabilità e la sua identificazione sui nostri asset? Tra un alert e una decisione? Tra la decisione e la remediation?
E cosa succede a questi tempi quando metà dell'organizzazione è in ferie?
È la domanda che, come CIO, porto sempre al tavolo prima dell'estate.
Agosto non cambia il cyber. Cambia l'organizzazione
Voglio essere preciso, perché credo che l'autorevolezza si costruisca sui fatti: i dati ACN del primo semestre non dimostrano che agosto sia statisticamente il mese con più attacchi. Dirlo con chiarezza mi sembra più corretto che costruire un messaggio allarmistico.
I dati ci dicono però quali dinamiche restano attive tutto l'anno: esposizione di dati, phishing, compromissione delle caselle e-mail, uso di credenziali valide, vulnerabilità note e servizi esposti. E ACN evidenzia la centralità dei comportamenti, dei processi e della gestione delle identità digitali, accanto ai controlli tecnologici.
È qui che agosto diventa interessante: a cambiare è la nostra capacità organizzativa di risposta, non la minaccia in sé. Ci sono meno persone. Le catene di escalation possono allungarsi. Chi conosce meglio un sistema può essere irraggiungibile. Anche i partner tecnologici lavorano con organici ridotti.
Una procedura costruita intorno alla disponibilità di una sola persona mostra tutta la propria fragilità proprio quando quella persona non c'è. Monitoraggio, accessi remoti, disponibilità dei fornitori, patching e capacità reale di ripristino diventano decisivi quando le risorse presenti si riducono.
Cambia, di conseguenza, anche il modo in cui dovremmo intendere la parola presidio.
L'IT non è una funzione organizzativa come tutte le altre
Questa è, per me, la riflessione più importante, quella su cui costruisco gran parte della mia visione di leadership.
L'Information Technology può avere budget, organigrammi, ferie, obiettivi e processi HR come qualsiasi altra struttura aziendale. Ma la natura del servizio che eroga è diversa.
Quando una funzione amministrativa riduce l'attività, quella funzione rallenta. Quando vengono meno alcuni servizi IT critici, possono rallentare insieme identità, comunicazioni, pagamenti, applicazioni, dati, connettività, collaboration, sicurezza, rapporti con clienti e fornitori, processi produttivi.
Per questo considero l'IT sempre meno una semplice funzione aziendale, e sempre più una piattaforma di continuità dell'organizzazione. Pianificare le ferie IT applicando soltanto una logica uniforme di riduzione dell'organico è, a mio avviso, una semplificazione che un'organizzazione matura non può più permettersi.
Le persone dell'IT devono naturalmente poter riposare. Anzi: persone lucide, motivate e nelle condizioni di recuperare energie sono parte della resilienza, non un rischio da coprire. Chiedere a chi lavora in ambito tecnologico di rinunciare al riposo per tenere in piedi un'organizzazione mal progettata non è presidio: è la prova che manca un piano.
La responsabilità di chi guida l'IT, quindi, non è ridurre il diritto alle ferie. È molto più evoluta: progettare le ferie secondo logiche di continuità del servizio. Coperture, competenze alternative, deleghe, reperibilità, escalation, partner, automazione, procedure, knowledge base.
Una buona organizzazione non dipende dall'eroismo di chi risponde al telefono da una spiaggia o da qualche sentiero in montagna. Dipende dalla qualità di ciò che abbiamo progettato prima, ed è qui che si misura la responsabilità di chi guida la funzione IT: non solo di ciò che presidia direttamente, ma di ciò che ha reso possibile presidiare anche senza di sé.
Il periodo con meno utenti può diventare il periodo con più valore
C'è un paradosso che chi lavora nell'IT conosce bene: quando gli uffici sono più vuoti, per alcuni team tecnologici inizia uno dei periodi più interessanti dell'anno. Finestre di manutenzione, aggiornamenti, interventi infrastrutturali, test di disaster recovery, revisioni delle configurazioni, hardening, bonifica degli accessi: interventi che durante la piena operatività richiederebbero finestre ridotte e un coordinamento molto più complesso.
Quello che per il resto dell'organizzazione è un periodo di rallentamento può diventare, per l'IT, un periodo di manutenzione preventiva e crescita della resilienza.
È un cambio di linguaggio, ma soprattutto di mentalità. Da "ad agosto c'è poca gente" a "ad agosto abbiamo una finestra preziosa per aumentare la qualità dei nostri sistemi".
Le parole indirizzano l'attenzione. L'attenzione indirizza le decisioni. Le decisioni costruiscono la resilienza. È una catena che, come leader, considero parte del mio lavoro quanto la tecnologia stessa.
La checklist che porto al tavolo prima delle ferie
Prima di considerare "coperto" un periodo di ridotta presenza, come CIO voglio poter rispondere sì almeno a queste dieci domande:
Servizi critici: abbiamo identificato chiaramente i servizi che devono garantire continuità e il relativo owner tecnico?
Presidio: per ogni servizio essenziale esistono almeno due competenze in grado di intervenire e una catena di escalation aggiornata?
Cyber monitoring: SOC, SIEM, EDR/XDR e sistemi di monitoraggio hanno copertura adeguata, e qualcuno ha l'autorità per decidere rapidamente su un alert rilevante?
Accessi: account privilegiati, accessi remoti e utenze dei fornitori sono verificati, protetti con autenticazione robusta e limitati a ciò che serve realmente?
Vulnerability management: le vulnerabilità critiche sono state valutate, e abbiamo scelto consapevolmente cosa correggere prima delle ferie, cosa durante le finestre estive e cosa accettare temporaneamente?
Backup e recovery: abbiamo verificato non solo il backup ma anche che il restore funzioni, con tempi compatibili con le esigenze del business?
Manutenzioni: stiamo usando il periodo di minore operatività per aggiornamenti, hardening, remediation e interventi infrastrutturali che durante l'anno sono più complessi?
Supply chain: per ogni fornitore strategico sappiamo chi contattare durante l'estate, e abbiamo un percorso alternativo se il referente principale è irraggiungibile?
Incident response: ruoli, numeri, deleghe e procedure di escalation funzionano davvero anche alle tre del mattino di Ferragosto?
Persone: abbiamo ricordato a chi lavora da remoto le poche regole davvero importanti: dispositivi affidabili, MFA, attenzione alle credenziali e un canale semplice per segnalare subito qualcosa di anomalo?
Monitoraggio continuo, controllo degli accessi remoti, disponibilità alternativa dei fornitori, verifica dei backup e chiarezza delle responsabilità: sono gli stessi elementi che ACN richiama nel proprio report, e diventano concreti proprio quando l'organizzazione lavora con presidi ridotti.
Ed è qui che cambia anche il ruolo del CIO
Per anni abbiamo descritto il CIO come il responsabile dei sistemi informativi. Oggi questa definizione mi sta stretta.
Un CIO governa un ecosistema fatto di tecnologia, persone, dati, fornitori, identità, processi, rischio e capacità di cambiamento. Il suo lavoro non è soltanto far funzionare l'IT. È creare le condizioni affinché l'organizzazione continui a funzionare attraverso l'IT.
È una differenza enorme. Significa passare dalla gestione degli strumenti alla progettazione della resilienza. Dal controllo alla consapevolezza. Dalla dipendenza dalle singole competenze alla condivisione della conoscenza. Dall'intervento quando accade qualcosa alla capacità di vedere abbastanza presto da poter scegliere.
E significa anche qualcosa di più personale: essere disposti a rispondere, in prima persona, non solo di un incidente quando accade, ma delle scelte organizzative fatte mesi prima che lo hanno reso gestibile o no. Il miglior incidente gestito resta quello per cui eravamo già preparati.
È questa l'idea di leadership digitale in cui credo, e che provo a portare avanti ogni giorno.
La cybersecurity diventa davvero efficace quando smette di appartenere solo alla cybersecurity
È anche una delle ragioni per cui continuo a impegnarmi per il Digital Security Festival, che quest'anno taglia un traguardo importante: l'ottava edizione, in programma in autunno 2026, con apertura istituzionale a Roma e tappe in tutto il territorio nazionale.
Il tema di quest'edizione è "Infinito Umano" pensata da me e Gabriele Geza Gobbo alla fine della precedente e trovo che non ci sia sintesi migliore di tutto ciò che ho provato a raccontare finora. Perché abbiamo già tantissima tecnologia: piattaforme straordinarie, normative, framework, SOC, intelligenza artificiale, threat intelligence, zero trust, automazione. Quello che dobbiamo continuare a costruire è qualcosa di ancora più importante: una cultura digitale condivisa, che metta le persone, non solo i sistemi, al centro.
Una cultura nella quale un Presidente, un Amministratore comprendano perché la cybersecurity riguarda la continuità del business. Un manager comprenda perché una procedura semplice aumenta la sicurezza. Un collaboratore comprenda quanto valore possa avere una segnalazione fatta trenta secondi dopo un clic. Un ragazzo comprenda che proteggere la propria identità digitale è una competenza di cittadinanza. Un professionista IT comprenda che la qualità della tecnologia cresce quando cresce anche la qualità delle relazioni, della comunicazione e della conoscenza.
È questo il tipo di confronto che voglio continuare a portare nel Digital Security Festival: non un appuntamento riservato agli specialisti, ma un luogo dove specialisti, imprese, istituzioni, manager, professionisti e persone costruiscono un linguaggio comune sulla sicurezza digitale.
Perché, come dico sempre, la tecnologia può rilevare un evento. Una piattaforma può bloccarlo. Una procedura può guidarci. Ma è la cultura che ci permette di riconoscerne il significato.
Se questa visione ti convince, segui il Digital Security Festival e non perderti l'ottava edizione: è un percorso che vale la pena costruire insieme, non da soli.
Una domanda da portarsi in vacanza
Prima di chiudere il laptop e partire, proverei a sostituire una domanda.
Invece di chiedere "quante persone dell'IT saranno presenti ad agosto?", chiediti: "la nostra organizzazione sarà capace di vedere, decidere e reagire anche quando alcune persone saranno lontane?"
Se la risposta è sì, avete costruito qualcosa di più di una buona infrastruttura. Avete costruito resilienza.
E forse questa è una delle definizioni più contemporanee di leadership digitale: fare in modo che le persone possano fermarsi, mentre la capacità dell'organizzazione di proteggere il proprio futuro continua a funzionare.
Fonte dati principale: Agenzia per la Cybersicurezza Nazionale – Operational Summary, I semestre 2026, Dati ed indicatori della minaccia cyber in Italia, TLP:CLEAR.
Digital Security Festival 8ª edizione, "Infinito Umano", autunno 2026. www.digitalsecurityfestival.it