Chi difende: perché il mestiere della cybersicurezza non è solo per informatici

L'immagine sbagliata che allontana le persone giuste

Chiedete a qualcuno di immaginare chi lavora nella cybersicurezza. Nella grande maggioranza dei casi otterrete la stessa figura: una persona sola, davanti a uno schermo nero, che scrive comandi. È un'immagine che ha fatto un danno preciso, perché comunica un messaggio implicito: se non sai programmare, non è un posto per te.

Il 31 luglio 2026 l'Agenzia per la Cybersicurezza Nazionale è tornata pubblicamente su questo tema. Il quadro descritto è quello ormai familiare: attacchi in crescita contro pubbliche amministrazioni, ospedali, aziende e infrastrutture strategiche, e un numero di professionisti insufficiente a fronteggiarli. La parte che merita di essere ripresa è però un'altra, ed è quella che l'agenzia ha voluto rendere esplicita: nel settore trovano spazio non solo informatici e ingegneri, ma anche giuristi, economisti, comunicatori e psicologi.

Chiariamo subito una cosa sulle fonti, perché conta: questa dichiarazione, attribuita alla vicedirettrice generale dell'ACN Nunzia Ciardi, ci arriva attraverso riprese di stampa e agenzia. Non l'abbiamo verificata su una pagina istituzionale dell'ACN. La riportiamo come dichiarazione riferita, non come documento ufficiale — e il resto dell'articolo si appoggia su un quadro che invece è pubblicato e consultabile.

La mappa che esiste già: il quadro europeo delle competenze

Perché quella frase non è retorica lo dimostra un documento che nessuno legge fuori dagli addetti ai lavori: lo European Cybersecurity Skills Framework (ECSF) di ENISA. È il tentativo europeo di rispondere a una domanda semplice — quali mestieri, esattamente, compongono la cybersicurezza? — e la risposta sono dodici profili professionali, con compiti, competenze e conoscenze descritti uno per uno.

Il punto che salta all'occhio scorrendo quella lista è che la maggior parte di quei profili non ha come attività principale la scrittura di codice. C'è chi valuta la conformità normativa. Chi progetta e gestisce il programma di sicurezza. Chi fa formazione e sensibilizzazione. Chi conduce audit. Chi si occupa di intelligence sulle minacce, che è in larga parte analisi e scrittura. Chi coordina la risposta a un incidente, che è gestione di persone sotto pressione prima ancora che tecnica.

1. 01
   Profili tecnici

   analisi forense, risposta agli incidenti, penetration testing, architettura
2. 02
   Profili di governo

   gestione del rischio, conformità, audit, responsabile della sicurezza
3. 03
   Profili di relazione

   formazione, sensibilizzazione, intelligence, coordinamento della crisi

ENISA ha compiuto un passo ulteriore nel giugno 2025 pubblicando Cybersecurity roles and skills for NIS2 Essential and Important Entities: un documento che mappa gli obblighi della direttiva NIS2 sui profili dell'ECSF. Detto in modo diretto: prende una norma e risponde alla domanda "per fare questo, che tipo di persona serve?". È il tipo di traduzione che di solito manca fra il diritto e l'organigramma.

Perché servono davvero le altre discipline

Non è inclusività: è che senza quelle competenze certe cose non si possono fare.

I giuristi. Un incidente rilevante fa scattare obblighi di notifica con termini a ore, verso destinatari diversi, sotto norme diverse — NIS2, GDPR, regole di settore. Chi decide se una notifica va fatta, a chi e con quali parole sta prendendo una decisione giuridica sotto pressione di tempo. Sbagliarla ha conseguenze che l'ottima gestione tecnica non compensa.

Gli economisti. La sicurezza è, materialmente, un problema di allocazione: budget finito, rischi molti, controlli che costano in modo diverso e rendono in modo diverso. Qualcuno deve saper argomentare perché quell'investimento e non un altro, in una lingua che il consiglio di amministrazione ascolta. È una competenza scarsa e visibilmente scarsa.

I comunicatori. Durante un incidente grave l'organizzazione parla: ai clienti, ai dipendenti, alle autorità, alla stampa. Ciò che viene detto nelle prime ore determina buona parte del danno reputazionale e, in alcuni casi, del rischio legale. La comunicazione di crisi è un mestiere, e improvvisarla è un modo affidabile di peggiorare un incidente già in corso.

Gli psicologi. L'ingegneria sociale non attacca i sistemi, attacca le persone: sfrutta urgenza, autorità, paura, desiderio di essere utili. Capire perché una richiesta assurda viene eseguita è materia di scienze del comportamento. E c'è un secondo fronte, meno discusso: il carico psicologico su chi gestisce incidenti, con turni, allarmi notturni e un tasso di logoramento che nel settore è alto.

Il rovescio della medaglia, detto onestamente

Sarebbe scorretto trasformare tutto questo in "chiunque può lavorare nella cybersicurezza senza saper nulla di tecnologia". Non è così, e chi lo racconta così prepara delusioni.

Serve una alfabetizzazione tecnica reale anche nei ruoli non tecnici: capire come funziona una rete, cosa è un'identità digitale, come si propaga un attacco, perché un backup può essere inutile. Senza quella base, un giurista scrive clausole inapplicabili e un comunicatore dichiara cose che verranno smentite dai fatti tre giorni dopo.

La formula più onesta è questa: il mestiere richiede una competenza di dominio più una competenza tecnica di base, e la prima non è sostituibile dalla seconda. Un buon responsabile della conformità con basi tecniche solide vale più, per la maggior parte delle organizzazioni, di un tecnico eccellente che non sa cosa impone la legge.

Cosa farsene, concretamente

Se state scegliendo un percorso: guardate l'ECSF prima di decidere che questo settore non fa per voi. I dodici profili sono descritti con compiti e competenze: è il documento che smonta l'immagine dello schermo nero meglio di qualsiasi articolo.

Se assumete: una posizione di sicurezza descritta solo con certificazioni tecniche seleziona un tipo di candidato solo. Se il ruolo reale è governo del rischio, scriverlo come ruolo tecnico è il modo più efficace per non trovare la persona che serve — e poi concludere che "non ci sono candidati".

Se già lavorate in azienda in un altro ruolo: la strada laterale è la più praticata e la meno pubblicizzata. Chi conosce i processi di un'organizzazione ha un vantaggio che nessun corso trasferisce, perché la maggior parte delle decisioni di sicurezza sono decisioni sui processi travestite da decisioni tecniche.

Nota sulle fonti: il quadro delle competenze e la mappatura su NIS2 sono documenti ENISA pubblicati e verificabili. Le dichiarazioni dell'ACN del 31 luglio 2026 ci arrivano da riprese giornalistiche: le abbiamo attribuite come tali, senza trasformarle in una posizione istituzionale documentata.