Valuto la fiducia tra CEO e CISO da ciò che accade quando la sicurezza mette in discussione un piano aziendale. Il CISO deve poter portare una notizia scomoda; il CEO deve poter contestare la raccomandazione. Cerco un rapporto in cui il dissenso renda comprensibile la scelta e non lasci nell’ombra chi ne risponde.
Segnalare prima della certezza
Non chiederei una diagnosi completa prima di ascoltare un allarme. Vorrei distinguere osservazioni, deduzioni e aspetti ignoti, quindi capire quali azioni tengano aperte le alternative. Aspettare ogni prova può consumare il tempo utile per intervenire. Separerei la responsabilità di aver causato il problema dal fatto di segnalarlo. Questa apertura non autorizza accuse infondate: richiede precisione e correzioni tempestive quando cambiano gli elementi disponibili.
Dare una struttura al dissenso
Per una raccomandazione importante chiederei cinque elementi: attività coinvolta, possibile malfunzionamento, evidenze e incertezze, alternative e termine per decidere. Ogni opzione deve chiarire le conseguenze dell’azione e dell’attesa, compresi costi e funzioni perse. Chiederei che cosa farebbe cambiare valutazione al CISO. Lui deve poter verificare con rigore le premesse commerciali: la scadenza è vincolante o desiderata? Anche parole come «contenuto» richiedono confini: quale accesso è bloccato e che cosa resta da verificare?
Confrontare alternative praticabili
Immaginiamo il lancio di un servizio tramite un partner la cui assistenza può accedere ai dati dei clienti attraverso un percorso non ancora verificato. Confronterei rinvio, avvio senza quell’accesso e accesso ristretto con controlli verificabili. Il rinvio concede tempo all’indagine, ma ha costi commerciali. Il lancio ridotto può trasferire l’assistenza alle squadre interne. Le restrizioni preservano funzioni, lasciando però parte dell’esposizione. Eliminerei le opzioni impraticabili. Il CISO propone una scelta e le condizioni minime; il CEO spiega perché la accoglie o se ne discosta. Il dissenso deve restare nella documentazione.
Chiarire autorità e continuità
Distinguerei valutazione, raccomandazione, autorizzazione ed esecuzione. Un’eccezione richiede un responsabile, una scadenza e una condizione di riesame. Concorderei prima dell’urgenza destinatario delle segnalazioni, sostituto e poteri disponibili durante il contatto. Sospendere un accesso richiede un ambito preciso e l’obbligo di avvisare. La volontà del CEO non cancella gli obblighi: coinvolgerei le funzioni competenti per chiarire il margine reale della decisione.
Riparare con comportamenti diversi
Dopo un errore valuterei ciò che era conoscibile allora, senza usare il solo esito come misura del giudizio. Anche il CEO deve rispondere delle condizioni ignorate. Invitare di nuovo alla franchezza non ripara un’umiliazione. La fiducia si rende concreta quando la successiva verità scomoda viene ascoltata e conduce a una scelta comprensibile, con responsabilità chiare.