Evolving Expectations and Structural Constraints of Cybersecurity Leadership: A Transatlantic Longitudinal Analysis of CISO Job Advertisements

Ogni organizzazione moderna si affida a un guardiano per proteggere la propria vita digitale: il Chief Information Security Officer, o CISO. Questa persona si trova all'intersezione tra tecnologia, strategia aziendale e gestione del rischio, con il compito di mantenere i dati sensibili al sicuro dalle minacce invisibili. Per svolgere bene questo lavoro, ha bisogno di un mix raro di competenze: una profonda conoscenza tecnica per capire come funzionano i sistemi e forti capacità di leadership per spiegare tali rischi agli esecutivi dell'azienda e prendere decisioni difficili. Tuttavia, esiste un problema persistente nel modo in cui le aziende assumono questi leader. Spesso, le descrizioni dei ruoli scritte per attrarre candidati non corrispondono alla realtà di ciò che il ruolo richiede effettivamente o al supporto che l'organizzazione è disposta a fornire. Questo disallineamento può lasciare i nuovi assunti confusi, non supportati e sopraffatti ancor prima di iniziare il loro primo giorno.

Un team di ricercatori di Monaco si è proposto di investigare questo distacco analizzando le reali offerte di lavoro per le posizioni di CISO in due grandi regioni: gli Stati Uniti e l'area DACH, che comprende Germania, Austria e Svizzera. Hanno raccolto una vasta collezione di 720 annunci di lavoro, confrontando gli annunci del 2023 con quelli più recenti del 2026. Il loro obiettivo non era solo contare le competenze, ma vedere se le promesse fatte in questi annunci si allineavano con quanto gli esperti sanno delle pressioni e delle responsabilità del ruolo. Hanno esaminato tutto, dai titoli di studio richiesti e dagli anni di esperienza fino alla struttura di riporto — a chi risponde il CISO — e al budget che controlla. Trattando questi annunci come una finestra su ciò che le aziende realmente si aspettano, i ricercatori hanno svelato una storia di richieste in evoluzione e contraddizioni strutturali che potrebbero mettere a rischio la sicurezza di intere organizzazioni.

Lo studio rivela che, sebbene la domanda di CISO sia in crescita, il modo in cui le aziende definiscono il ruolo è spesso incoerente e talvolta contraddittorio. Negli Stati Uniti, gli annunci di lavoro enfatizzano sempre di più la capacità di business, la gestione finanziaria e la leadership strategica. Le aziende in quella regione sono più propense a chiedere un CISO che sappia parlare il linguaggio del consiglio di amministrazione, gestire un budget e integrare la sicurezza nel piano aziendale complessivo. Al contrario, gli annunci nella regione DACH continuano a concentrarsi pesantemente sull'esperienza tecnica. Sebbene questi annunci menzionino anche la leadership, pongono un'enfasi molto più forte sulla capacità del candidato di gestire sistemi tecnici complessi e standard di sicurezza specifici. Questa divisione regionale suggerisce che le aziende americane vedono il CISO come un dirigente strategico, mentre le aziende europee lo vedono ancora principalmente come un esperto tecnico senior.

Forse più preoccupante di queste differenze regionali è un paradosso strutturale emerso nel tempo. I ricercatori hanno scoperto che gli annunci di lavoro chiedono sempre più responsabilità senza però concedere l'autorità necessaria per adempierle. Nel 2026, un numero significativamente maggiore di annunci dichiarava esplicitamente che il CISO avrebbe avuto compiti di supervisione, il che significa che sarebbe stato responsabile dell'assunzione e della gestione di un team. Tuttavia, gli stessi annunci raramente menzionavano che il Colo avrebbe avuto il controllo del budget necessario per pagare quel team o acquistare gli strumenti di cui hanno bisogno. È come se un'azienda chiedesse a un manager di costruire una casa e assumere gli operai, ma si rifiutasse di consegnargli le chiavi del conto bancario o l'autorità per acquistare i materiali. Questa mancanza di chiarezza crea una situazione in cui ai leader è chiesto di ottenere risultati ma viene negato loro la possibilità di avere le risorse per farlo, una dinamica che i ricercatori suggeriscono porti a confusione e burnout.

Il costo umano di queste aspettative poco chiare sta diventando difficile da ignorare. Lo studio ha notato che, mentre gli annunci di lavoro richiedono sempre più la "resistenza allo stress" e la capacità di lavorare sotto pressione, quasi mai spiegano quali sistemi di supporto siano in atto per aiutare il CISO a gestire tale stress. Si parla poco di coaching, formazione alla leadership o protocolli chiari per gestire l'intensa pressione che deriva da una crisi informatica. Di fatto, gli annunci spesso non specificano se il CISO debba essere disponibile ventiquattr'ore su ventiquattro durante un'emergenza, nonostante il fatto che gli attacchi informatici possano avvenire in qualsiasi momento. Questo silenzio lascia i candidati a indovinare la vera natura del lavoro, portando potenzialmente a un disallineamento tra ciò che la persona si aspetta e ciò che l'azienda richiede.

Un'altra scoperta critica riguarda il percorso verso il vertice. Affinché un CISO sia efficace, ha bisogno di una linea di comunicazione diretta con i livelli più alti della leadership, come il CEO o il consiglio di amministrazione. I ricercatori hanno scoperto che nella regione DACH, gli annunci di lavoro sono più propensi a specificare una linea di riporto diretta ai vertici esecutivi, con una prevalenza significativamente maggiore di riporto diretto rispetto agli Stati Uniti. Negli Stati Uniti, il CISO è più spesso descritto come riportante indirettamente attraverso un altro dipartimento, come il Chief Information Officer. Questa struttura indiretta può creare un conflitto di interessi, poiché la persona responsabile della sicurezza potrebbe rispondere proprio alla persona incaricata dei sistemi tecnologici che dovrebbe invece sottoporre a audit. Lo studio suggerisce che questo assetto di riporto può indebolire la capacità del CISO di dire la verità al potere e di sostenere le necessarie misure di sicurezza.

I dati mostrano anche uno spostamento in ciò che le aziende cercano in termini di qualifiche. In passato, gli annunci di lavoro favorivano pesantemente i candidati con titoli di studio puramente tecnici. Entro il 2026, si è notato uno spostamento verso la valorizzazione di lauree in ambito business ed estesa esperienza professionale. Le aziende stanno iniziando a rendersi conto che guidare un team di sicurezza richiede molto più che sapere come programmare; richiede la comprensione di come un'azienda generi profitto e di come si gestiscano le persone. Eppure, proprio mentre i requisiti di esperienza e istruzione sono diventati più rigorosi, la trasparenza riguardo allo stipendio e alle risorse non è cresciuta di pari passo. Molti annunci di lavoro elencano ancora intervalli salariali vaghi o omettono del tutto i dettagli sulla compensazione, e nella regione DACH, gli stipendi indicati sono spesso inferiori ai benchmark internazionali. Questa mancanza di chiarezza può scoraggiare i candidati altamente qualificati dal candidarsi, lasciando le organizzazioni con meno opzioni per ricoprire questi ruoli critici.

In definitiva, i ricercatori sostengono che il modo in cui le aziende scrivono gli annunci di lavoro è un segnale della loro intenzione organizzativa. Quando questi annunci sono vaghi, contraddittori o non corrispondono alla realtà del lavoro, preparano il terreno per il fallimento prima ancora che il processo di selezione abbia inizio. Lo studio non afferma che ogni CISO affronti esattamente queste condizioni, ma evidenzia un modello diffuso in cui la promessa pre-assuntiva non si allinea con la realtà operativa. Per risolvere questo problema, gli autori suggeriscono che le organizzazioni debbano essere più oneste e specifiche nei loro annunci di lavoro. Devono definire chiaramente l'ambito dell'autorità, le risorse disponibili e la vera natura delle sfide che il CISO dovrà affrontare. Facendo ciò, le aziende possono attrarre candidati che siano veramente preparati per il ruolo e costruire una base per una leadership efficace che protegga sia l'organizzazione che le persone che ne fanno parte.