Trasformare la collaborazione tra CIO e CISO in resilienza digitale strategica

Da un lato il CIO, con il compito di guidare l’innovazione tecnologica, dall’altro il CISO, focalizzato sulla protezione dei dati e del perimetro aziendale. Questa dinamica porta spesso a percepire il CISO come un “freno” allo sviluppo. Di conseguenza, la sicurezza viene vista non come un investimento strategico, ma come un “costo aggiuntivo” da contenere. Questa divisione culturale ha conseguenze molto pratiche, prima fra tutte l’impatto sull’assegnazione dei budget, dove le esigenze di protezione rischiano di essere sacrificate sull’altare dell’innovazione a tutti i costi.

Per superare questo stallo, è necessario un nuovo approccio che non veda più innovazione e sicurezza come due forze opposte, ma come elementi integrati di un’unica strategia di resilienza. Il tema è stato al centro di un evento organizzato da FPA e Veeam a Roma, l’11 dicembre 2025, a margine del quale abbiamo raccolto il punto di vista di Alessio Di Benedetto, Country Manager di Veeam Italia.

Dal backup alla resilienza cibernetica integrata

L’adozione di un concetto di “data resilience integrata” sposta il focus dalla semplice protezione del dato alla garanzia della continuità del servizio, un obiettivo superiore che accomuna e allinea le responsabilità di entrambe le figure professionali.

La strategia promossa da Veeam, come descritto da Di Benedetto, mira proprio a innescare questo cambiamento di paradigma. Si tratta di un passaggio cruciale: dall’ossessione per il “backup tradizionale” a un’attenzione strategica sulla “ripartenza del servizio”. In questo modello, il backup non è più il fine, ma uno strumento all’interno di un processo più ampio. Il valore di questa visione è unire in modo indissolubile la “data protection” e la “sicurezza” in un’unica strategia di “cyber resiliency attiva”.

Tuttavia, per rendere efficace questo approccio, è fondamentale che i principi teorici, come quelli delineati dalle normative, si traducano in piani operativi concreti, testabili e affidabili.

Una delle difficoltà maggiori per la Pubblica Amministrazione è tradurre le indicazioni ad alto livello di framework normativi come la NIS 2 o il NIST in strategie di recupero realmente pratiche ed efficaci. Spesso le normative indicano “cosa” fare, ma lasciano alle singole organizzazioni il compito di capire “come” farlo.

È qui che la tecnologia assume un ruolo abilitante. La Veeam Data Platform, come spiegato da Di Benedetto, affianca alle classiche funzionalità di backup e ripristino tre caratteristiche chiave che ne ampliano lo spettro d’azione:

• Portabilità dei dati: la capacità di muovere e ripristinare i dati in qualsiasi ambiente, garantendo flessibilità.
• Sicurezza: funzionalità integrate per proteggere i dati stessi da minacce come il ransomware.
• Intelligenza: l’uso di analytics e automazione per ottimizzare i processi e anticipare i problemi.

Il vantaggio competitivo di queste tecnologie risiede nella capacità di eseguire “piani di test automatici” e “prove di disaster recovery” senza alcun impatto sui sistemi di produzione. In questo modo, un ente può avere la certezza che la propria strategia di resilienza non sia solo un documento teorico, ma un meccanismo realmente efficace e pronto a funzionare in caso di crisi. L’efficacia tecnologica, però, richiede una base strategica e organizzativa condivisa per poter esprimere il suo pieno potenziale.

Costruire l’alleanza: visione condivisa e “security by design”

La tecnologia, da sola, non basta. La vera trasformazione richiede un allineamento culturale e strategico profondo tra CIO e CISO, fondato su una visione e su obiettivi comuni. La collaborazione non può essere lasciata al caso, ma deve essere costruita attivamente.

Di Benedetto offre tre suggerimenti pratici per trasformare il conflitto in un’alleanza produttiva:

• Stabilire una visione congiunta: CIO e CISO devono sedersi allo stesso tavolo per definire un orizzonte comune, dove l’innovazione tecnologica e la sicurezza dei dati non sono in competizione, ma si rafforzano a vicenda.
• Avere obiettivi e metriche chiare: creare KPI condivisi che misurino il successo di entrambe le aree. Ad esempio, si possono definire metriche che premino non solo la robustezza della protezione, ma anche la velocità di implementazione sicura dei nuovi servizi.
• Implementare il “Security by Design”: la sicurezza non deve essere un controllo a posteriori, ma un requisito integrato fin dalla fase di progettazione di ogni nuovo progetto. Questo approccio previene i problemi anziché correggerli.

Il beneficio finale di questa alleanza strategica è evidente: si minimizzano gli attriti interni, si aumenta la velocità di esecuzione e si riduce il “time to market” dei servizi digitali, a tutto vantaggio della resilienza complessiva dell’ente. Questo modello collaborativo diventa ancora più cruciale se si guarda all’orizzonte futuro, dominato da tecnologie emergenti come l’intelligenza artificiale.

L’intelligenza artificiale come alleata

L’Intelligenza Artificiale (IA) sta ridefinendo il campo della cybersecurity, presentando un duplice volto. Come sottolineato da Di Benedetto, se da un lato l’IA aumenta la sofisticazione e la portata delle minacce, dall’altro offre strumenti senza precedenti per potenziare le strategie di difesa.

Per la Pubblica Amministrazione, l’IA rappresenta una “minaccia ulteriore”, poiché allarga le superfici di attacco e permette agli hacker di diventare “più intelligenti” e veloci. Tuttavia, lo stesso potenziale tecnologico può essere sfruttato per invertire la rotta. L’IA, infatti, può “aiutare enormemente la capacità di risposta” di un’organizzazione, automatizzando il rilevamento delle minacce e accelerando le contromisure.

Veeam sta già investendo in questa direzione, con soluzioni di “malware detection” ed “early warning” che sfruttano l’IA per identificare anomalie prima, durante e dopo il processo di backup. Guardando a un orizzonte di 3-5 anni, la visione di Di Benedetto è ancora più ambiziosa: integrare l’IA per l’“identificazione e la classificazione dei dati sensibili”. Questo permetterà di creare strategie di protezione molto più mirate, intelligenti e adeguate ai reali livelli di criticità del business, garantendo che le risorse più preziose ricevano il massimo livello di tutela.