Come friction e ROI: la strategia di sicurezza che funziona per il business

Dettagli tecnici approfonditi

Trust, Friction e ROI: Un CISO spiega come rendere la sicurezza un vantaggio per il business

In questa intervista di Help Net Security, John O’Rourke, CISO della [PPG](https://www.ppg.com/), discute su come la sicurezza può generare valore per l'azienda. Egli spiega come i programmi di sicurezza maturi riducono le resistenze nei cicli di vendita e nei processi di M&A, e come la fiducia si costruisce nel tempo. O’Rourke affronta anche il tema del crescente livello di sofisticazione dei clienti che ha alzato l'asticella per i fornitori, perché le industrie meno regolamentate sono in ritardo rispetto a quelle più regolamentate e quali aziende trarranno vantaggio dagli investimenti fondamentali in sicurezza. L’intervista copre cinque domande sulla strategia di cybersecurity, ROI e il costo del rinvio dei lavori di sicurezza.

Security as a Revenue Enabler: La versione misurabile

La versione misurabile di “security as a revenue enabler” si verifica quando la sicurezza rimuove le resistenze alla crescita in modi che possono essere tracciati. Ad esempio, cicli di due diligence più veloci nelle [mergers and acquisitions (M&A)](https://www.helpnetsecurity.com/2025/04/16/mergers-and-acquisitions-cybersecurity/) e cicli di vendita accelerati quando i clienti acquistano il tuo prodotto. Presso la PPG, abbiamo costruito un framework e una squadra interfunzionali per le M&A con un forte focus sulla sicurezza informatica. Questo ci permette di valutare le aziende potenziali utilizzando un framework ripetibile per l'integrazione, riducendo al contempo il rischio di sicurezza informatica. In generale, un programma di sicurezza informatica maturo ha una documentazione standard e processi che consentono risposte e controlli con uno sforzo minimo. Questo porta a tempi di chiusura ridotti o a meno transazioni di vendita bloccate. Esistono diversi framework disponibili contro i quali le organizzazioni di cybersecurity dovrebbero misurarsi, come il [National Institute of Standard and Technology (NIST)](https://www.helpnetsecurity.com/2026/03/23/nist-dns-security-guide-sp-800-81r3/) e le certificazioni dell'International Standards Organization ([ISO](https://www.iso.org/)), [Systems and Organizations Controls (SOC2)](https://assets.drata.com/x3hoqyjm3c27/4n8ca9b1QmNvJQAHnPnxWL/a9583500451c1dfee5638d69c25979bf/soc-2-compliance-pdf.pdf), o se sei in un settore regolamentato, [Cyber Maturity Model Certification (CMMC)](https://c2m2.doe.gov/C2M2%E2%80%94CMMC%20Supplemental%20Guidance.pdf).

Quantificare la Fiducia: Un Compito Complesso

Le squadre di sicurezza sono spesso chiamate a dimostrare il ROI, ma il valore di non perdere la fiducia di un cliente è notoriamente difficile da mettere in una tabella. Quali framework funzionano? Across teams and especially in the cybersecurity space, trust is definitely not tracked in a spreadsheet and not defined by a “checkbox.” It takes a lot more effort to build trust than it takes to lose trust. Whether utilizing an official framework or not, there are ways to look at translating specific events into probable financial loss or downtime affecting the revenue or reputation of a company. Ultimately, [ROI](https://www.helpnetsecurity.com/2025/10/14/picus-security-validation-whitepaper-investments-roi/) is minimizing the extent of these events, allowing the company to make revenue uninterrupted and continuing to build trust.

Clienti più Sophisticati: Un Nuovo Livello di Complessità

I clienti sono diventati più sofisticati in termini di sicurezza rispetto a cinque anni fa. Come è cambiata la conversazione e ci sono modi in cui ha reso il processo di vendita più difficile piuttosto che più facile? From a security organization perspective, this question is best viewed through two lenses. First, security vendors continuously introduce new features, acquire new capabilities, and rebrand solutions. This ongoing consolidation and expansion often result in shifting terminology and overlapping functionality. As a result, purchasing decisions cannot be treated as point solutions. Each investment requires a rigorous review of architecture alignment, operational processes, and governance implications. Tools must be deeply validated to ensure they deliver the intended functionality, integrate cleanly across the enterprise, and provide coverage without introducing unnecessary complexity or risk. Second, from a customer point of view, interest in a supplier’s cybersecurity governance has gained more interest through assessments and questionnaires. Cybersecurity questionnaires from customers are more common than ever and can be extensive. PPG wants to protect our supply chain and therefore has the same interest in our vendor’s cybersecurity posture. The upside is that the maturity and [awareness of cybersecurity](https://www.helpnetsecurity.com/2024/10/09/emily-wienhold-optiv-security-awareness-program/) is progressing amongst the private sector, however the industry must move towards some sort of standardization in program assessments. Program maturity does not always equal guaranteed protection, but a program with real operational maturity will stand out among customers and will help reduce exposure.

Lezioni dalle Industrie Regolamentate: Ancora da Imparare

Le industrie come fintech, healthtech e i contrattisti della difesa hanno sempre trattato la sicurezza come un requisito di licenza. Ci sono lezioni da quelle settori che le industrie meno regolamentate non stanno ancora applicando? Industries that are more regulated often have certifications or requirements that must be met to operate. These certifications or requirements lead to baseline controls being implemented with reviews that validate the implementation of the controls. Less regulated sectors often defer security until after revenue growth, which leads to fragile architectures, identity sprawl and technical debt that becomes prohibitively expensive to unwind later. Threat actors are opportunistic and don’t discriminate by sector, therefore cybersecurity maturity between industries is not sustainable. Security controls and architecture must be considered as early as possible during enterprise architecture discussions. [Security programs](https://www.helpnetsecurity.com/2025/08/12/what-makes-a-security-program-mature-video/) must align themselves to frameworks where they can consistently assess and validate their program.

Investimenti in Sicurezza: Un Decisione Saggia o un Costo?

Cinque anni da ora, quali aziende riconosceranno che il loro investimento in sicurezza è stata una delle decisioni di crescita più intelligenti che hanno preso e quali lo tratteranno come un centro di costo e ne pagheranno le conseguenze? Companies that have invested heavily in foundational security are better positioned to embrace and adjust to the technological landscapes, with reduced friction and less security investment. Those that did not will find themselves spending more, moving slower and exposing themselves to higher risk.

Dati, trend correlati, impatto sul settore

La cybersecurity sta diventando sempre più un fattore critico per il successo aziendale. Secondo John O’Rourke, CISO di [PPG](https://www.ppg.com/), un programma di sicurezza maturo può ridurre la friction nei cicli di vendita e nei processi di M&A, migliorando così il valore per l'azienda. Questo approccio non solo accelera i cicli di due diligence in operazioni di fusione e acquisizione, ma anche i cicli di vendita quando i clienti acquistano prodotti. Ad esempio, PPG ha sviluppato un framework cross-funzionale per le M&A con un forte focus sulla cybersecurity, permettendo di valutare le aziende potenziali utilizzando un processo ripetibile che riduce i rischi legati alla sicurezza. Un programma di cybersecurity maturo include documentazione standard e processi che permettono risposte e controlli con uno sforzo minimo, riducendo così il tempo necessario per chiudere le vendite o prevenire stalli nei cicli di vendita. Framework come quelli del [NIST](https://www.helpnetsecurity.com/2026/03/23/nist-dns-security-guide-sp-800-81r3/) e le certificazioni dell'[ISO](https://www.iso.org/) sono strumenti utili per misurare la maturità di un programma di sicurezza. Investire in cybersecurity non genera direttamente ricavi, ma previene perdite di ricavi dovute a ritardi o interruzioni nelle operazioni aziendali. Ad esempio, PPG ha implementato processi automatizzati per l'onboarding e l'offboarding dei dipendenti, aumentando l'accesso self-service con le giuste protezioni nell'Identity and Access Management (IAM), e migliorando la prontezza agli audit, permettendo così alle iniziative aziendali di procedere senza ritardi. La misurazione della fiducia è una sfida per le squadre di sicurezza, poiché il valore di non perdere la fiducia dei clienti è difficile da quantificare in un foglio di calcolo. Tuttavia, alcuni framework possono aiutare a tradurre eventi specifici in probabili perdite finanziarie o tempi di inattività che influenzano i ricavi o la reputazione dell'azienda. L'obiettivo finale è minimizzare l'impatto di questi eventi, permettendo all'azienda di continuare a generare ricavi senza interruzioni e costruire fiducia nel tempo. I buyer sono diventati più sofisticati riguardo alla sicurezza rispetto a cinque anni fa. Questo ha cambiato il modo in cui si discute di sicurezza, rendendo il processo di vendita sia più difficile che più facile. Dalla prospettiva dei fornitori di sicurezza, l'introduzione continua di nuove funzionalità e l'acquisizione di nuove capacità hanno portato a una terminologia in evoluzione e a funzionalità sovrapposte. Di conseguenza, le decisioni di acquisto non possono essere trattate come soluzioni puntuali; ogni investimento richiede una revisione rigorosa dell'allineamento architetturale, dei processi operativi e delle implicazioni di governance. Dal punto di vista del cliente, l'interesse per la cybersecurity governance dei fornitori è aumentato, con questionari di sicurezza sempre più comuni e dettagliati. PPG è interessata a proteggere la nostra catena di fornitura, quindi abbiamo lo stesso interesse nella postura di sicurezza dei nostri vendor. Anche se il settore privato sta facendo progressi nella consapevolezza della sicurezza, è necessario che l'industria si muova verso una standardizzazione nei programmi di valutazione. Settori come fintech, healthtech e contratti di difesa hanno sempre trattato la sicurezza come un requisito di licenza. Tuttavia, settori meno regolamentati spesso trascurano queste lezioni, deferendo gli investimenti in sicurezza fino dopo la crescita dei ricavi. Questo porta a architetture fragili, proliferazione delle identità e debito tecnico che diventa proibitivamente costoso da risolvere in seguito. Le minacce sono opportunistiche e non discriminano tra settori, quindi la maturità della sicurezza tra le industrie non è sostenibile. I controlli di sicurezza e l'architettura devono essere considerati il prima possibile durante le discussioni sull'architettura aziendale. I programmi di sicurezza devono allinearsi a framework che permettano una valutazione e validazione coerente del programma. Tra cinque anni, le aziende che hanno investito pesantemente in una base solida di sicurezza saranno meglio posizionate per adattarsi ai cambiamenti tecnologici, garantendo la continuità aziendale e mantenendo livelli coerenti di protezione. Queste organizzazioni comprendono l'importanza del [trust digitale](https://www.helpnetsecurity.com/2025/05/23/ai-powered-fraud-threat/) per le iniziative di crescita. Le aziende che trattano la sicurezza come un centro di costo rischiano di fare solo il necessario per superare gli audit, rimandando il lavoro fondamentale e non stabilendo un programma di sicurezza adattabile. Queste organizzazioni affronteranno tempi di recupero dagli incidenti più lunghi, costi aumentati a causa delle esposizioni regolatorie, riduzione della fiducia e aumento della friction. Con l'evoluzione dell'AI, le aziende che hanno investito in controlli fondamentali saranno in una posizione migliore per [abilitare l'AI](https://www.helpnetsecurity.com/2025/07/30/report-ai-security-readiness-gap/) con meno friction e minori investimenti in sicurezza. Quelle che non lo hanno fatto si troveranno a spendere di più, a muoversi più lentamente e ad esporre se stesse a rischi maggiori.

Consigli pratici per l'utente/investitore

Misurare il valore della sicurezza in termini di ROI

La versione misurabile di "sicurezza come abilitatore di entrate" si verifica quando la sicurezza rimuove frizioni alla crescita in modi tracciabili. Ad esempio, cicli di due diligence più veloci nelle [fusioni e acquisizioni (M&A)](https://www.helpnetsecurity.com/2025/04/16/mergers-and-acquisitions-cybersecurity/) e cicli di vendita accelerati quando i clienti acquistano il tuo prodotto. Presso PPG, abbiamo costruito un framework e una squadra funzionale per le M&A con un forte focus sulla cybersecurity. Questo ci permette di valutare le società potenziali utilizzando un framework ripetibile per l'integrazione, riducendo il rischio di sicurezza informatica.

Programmi di sicurezza maturi riducono la frizione

Un programma di cybersecurity maturo ha documentazioni e processi standardizzati che consentono risposte e controlli con sforzi minimi. Questo porta a tempi di chiusura ridotti o a meno trattative di vendita bloccate. Esistono diversi framework disponibili contro cui le organizzazioni di cybersecurity dovrebbero misurarsi, come il National Institute of Standard and Technology ([NIST](https://www.helpnetsecurity.com/2026/03/23/nist-dns-security-guide-sp-800-81r3/)) e le certificazioni dell'International Standards Organization ([ISO](https://www.iso.org/)), Systems and Organizations Controls ([SOC2](https://assets.drata.com/x3hoqyjm3c27/4n8ca9b1QmNvJQAHnPnxWL/a9583500451c1dfee5638d69c25979bf/soc-2-compliance-pdf.pdf)), o se sei in un'industria regolamentata, Cyber Maturity Model Certification ([CMMC](https://c2m2.doe.gov/C2M2%E2%80%94CMMC%20Supplemental%20Guidance.pdf)).

Investimenti in sicurezza prevenendo perdite di entrate

La sicurezza non "crea entrate" direttamente, ma l'investimento in questo settore previene la responsabilità della sicurezza per ritardi o perdite di entrate. Alcuni esempi di come la sicurezza riduce la frizione all'interno di PPG includono processi automatizzati di joiner e leaver, accessi self-service aumentati con guardrail appropriati all'interno della gestione delle identità e degli accessi, e miglioramenti nella prontezza per l'audit che consentono alle iniziative aziendali di procedere senza ritardi.

Quanto vale la fiducia?

Le squadre di sicurezza sono spesso chiamate a dimostrare il ROI, ma il valore di non perdere la fiducia di un cliente è notoriamente difficile da inserire in un foglio di calcolo. Quali framework funzionano?

Industrie meno regolamentate devono fare di più

Le industrie più regolamentate spesso hanno certificazioni o requisiti che devono essere soddisfatti per operare. Questi requisiti portano all'implementazione di controlli di base con revisioni che validano l'implementazione dei controlli. Le industrie meno regolamentate spesso rimandano la sicurezza fino dopo la crescita delle entrate, il che porta a architetture fragili, proliferazione di identità e debito tecnico che diventa proibitivamente costoso da risolvere in seguito.

Investimenti in sicurezza come decisione strategica

Cinque anni da ora, quali aziende riconosceranno che il loro investimento in sicurezza è stata una delle decisioni di crescita più intelligenti che hanno preso, e quali lo tratteranno come un centro di costo e ne pagheranno le conseguenze? Le aziende che hanno investito pesantemente nella sicurezza fondamentale sono meglio posizionate per abbracciare e adattarsi ai paesaggi tecnologici, garantendo la continuità aziendale mentre mantengono livelli coerenti di protezione. Queste organizzazioni investono non solo in protezioni, ma comprendono l'importanza del [trust digitale](https://www.helpnetsecurity.com/2025/05/23/ai-powered-fraud-threat/) per le iniziative di crescita. Le aziende che trattano la sicurezza come un "centro di costo" sono quelle che fanno solo abbastanza per superare gli audit, rimandando il lavoro fondamentale e non stabilendo un programma di cybersecurity adattabile. Queste organizzazioni affronteranno tempi di recupero significativi dagli incidenti, aumenti delle spese da esposizioni regolamentari, riduzione della fiducia e maggiore frizione. Mentre l'AI continua a evolversi, le aziende che hanno investito in controlli fondamentali saranno meglio posizionate per [abilitare l'IA](https://www.helpnetsecurity.com/2025/07/30/report-ai-security-readiness-gap/) con meno frizione e minori investimenti in sicurezza. Quelle che non lo faranno si troveranno a spendere di più, a muoversi più lentamente ed esponendosi a rischi maggiori.

Previsione futura netta basata sui fatti

Le aziende che hanno investito pesantemente in sicurezza fondamentale saranno meglio posizionate per adattarsi ai cambiamenti tecnologici, garantendo la continuità aziendale e mantenendo livelli di protezione costanti. Queste organizzazioni non solo investono in protezioni, ma comprendono l'importanza del [digital trust](https://www.helpnetsecurity.com/2025/05/23/ai-powered-fraud-threat/) per le iniziative di crescita. Le aziende che trattano la sicurezza come un "cost center", facendo solo il necessario per superare gli audit e rimandando il lavoro fondamentale, rischiano di affrontare tempi di recupero significativi in caso di incidenti, costi aumentati a causa delle esposizioni normative, riduzione della fiducia e maggiore attrito. Con l'evoluzione dell'AI, le aziende che hanno investito in controlli fondamentali saranno in una posizione migliore per abilitare l'AI con meno friction e minori investimenti in sicurezza. Quelle che non lo faranno si troveranno a spendere di più, a muoversi più lentamente e ad esporsi a rischi maggiori.