Oggi quasi ogni decisione importante di un consiglio ha dentro una componente di rischio informatico: un'acquisizione, un fornitore critico, una piattaforma di intelligenza artificiale, una dichiarazione al mercato. Quasi mai, attorno a quel tavolo, c'è qualcuno che sappia leggerla senza avere un interesse.
Vengo nominato in consiglio come esperto di sicurezza a supporto dell'amministratore delegato, e siedo in comitati rischi e advisory board. Non porto formazione: porto una posizione, e quando serve la porto per iscritto, perché resti agli atti.
Su questi temi la responsabilità non è più della funzione informatica. Ha un nome, un cognome e una firma.
Il rischio informatico ha smesso di essere una voce di spesa ed è diventato una responsabilità di chi amministra.
Non è una previsione: è già successo, ed è il motivo per cui negli ultimi anni i consigli hanno cominciato a cercare al proprio interno una competenza che prima compravano fuori.
GDPR, NIS2, DORA e AI Act spostano l'obbligo sull'organo amministrativo. Non basta più aver delegato: il consiglio deve poter dimostrare di aver deciso sapendo di che cosa stava decidendo.
Davanti a un'autorità o a un contenzioso, quello che conta è ciò che risulta a verbale.
Un'acquisizione, un fornitore critico, una migrazione, l'adozione di strumenti di intelligenza artificiale. Scelte che pesano quanto una voce di bilancio e che non si riavvolgono.
Chi le porta in consiglio, quasi sempre, ha un interesse a che vengano approvate. Io no.
Gruppi criminali e attori statali raccolgono oggi enormi quantità di dati cifrati per leggerli quando la tecnologia lo consentirà: harvest now, decrypt later.
Per un consiglio che ragiona su piani pluriennali la domanda non è se il dato sia protetto oggi, ma se lo sarà ancora fra dieci anni.
Un consulente che vende software non può dire a un consiglio che il problema non si risolve comprando software. Io posso, e a volte è esattamente la risposta giusta.
È la ragione per cui mi chiamano, ed è la sola cosa che rende utile la mia presenza a quel tavolo.
Insediamento. Leggo quello che il consiglio ha già e che nessuno ha mai messo in fila: contratti con i fornitori critici, esiti degli audit, polizze, piano di continuità. Nelle prime settimane consegno una pagina sola.
Le sedute. Siedo in consiglio o in comitato rischi. Sui punti che hanno una componente informatica prendo posizione prima del voto, e la posizione va a verbale.
Fra una seduta e l'altra. Un fornitore da scegliere, una due diligence, uno strumento di intelligenza artificiale da autorizzare. Le decisioni vere raramente aspettano il calendario: in quei giorni sono raggiungibile.
L'incidente. Quando succede, il consiglio deve sapere entro due ore che cosa dire all'autorità, ai clienti e al mercato. Questa parte l'ho già fatta più volte, e non da dietro una scrivania.
Sono quasi sempre queste. E quasi mai sono domande tecniche.
Nomina formale in consiglio di amministrazione, per la durata del mandato. È la forma che dà al mio parere il peso di un voto, e al consiglio la possibilità di dimostrare che quella competenza al tavolo c'era.
Presenza a calendario senza responsabilità di amministrazione. È la forma più frequente nei gruppi che hanno già un consiglio completo e vogliono l'istruttoria, non un altro voto.
Affiancamento su una sola decisione: un'acquisizione, un fornitore critico, l'adozione dell'intelligenza artificiale, un incidente in corso. Comincia e finisce.
Accetto un numero limitato di incarichi all'anno e uno solo per settore: non siedo a due tavoli che competono. Sulle nomine i tempi sono lunghi, e i comitati nomine guardano i profili con mesi di anticipo.
Sono co-fondatore e direttore tecnico di CyberGrant, e i brevetti che trova nel registro sono miei. Quando siedo in un consiglio la mia tecnologia non è fra le opzioni e non lo diventa: se una valutazione dovesse arrivare lì, mi astengo e chiedo che l'astensione risulti a verbale. È la sola condizione che pongo prima di accettare un incarico, e la pongo io.
Se il vostro consiglio sta per aprire una posizione, o se una decisione è già sul tavolo, mi scriva. Rispondo personalmente.
ParliamoneBrevetti depositati e concessi, incarichi, istituzioni, società. Non ci sono affermazioni su me stesso: solo cose depositate presso un ufficio, assegnate da una giuria o iscritte a un registro.
Apri il registro →Perché proteggere la rete non basta più, e che cosa succede quando un agente di intelligenza artificiale legge le vostre informazioni. Con la dimostrazione eseguita dal vivo.
Leggi la tesi →L'esame che porto a un comitato investimenti prima di un'operazione è lo stesso che porto poi al tavolo di un consiglio. Tecnologia, brevetti, sicurezza, persone.
Come lavoro →