Qualys: rendere operazionale la gestione del rischio

L’aumento esponenziale delle minacce ha agito da catalizzatore è ha spinto le organizzazioni a riconoscere il ruolo non più accessorio, ma strategico della cybersecurity e l’importanza della gestione del rischio. In questo contesto, l’annuncio di Qualys di aver superato i 500 clienti in Italia assume un significato che va oltre il dato commerciale e riflette dinamiche strutturali del mercato.

“Questo traguardo è il simbolo di una svolta culturale, in particolare verso l’adozione del cloud computing anche nei settori più critici – ha affermato Emilio Turani, Managing Director per l’Italia e l’Europa Sud-Orientale di Qualys –. Testimonia l’urgenza con cui le organizzazioni hanno dovuto adeguarsi alle sfide digitali”.

La composizione del portafoglio clienti è particolarmente rivelatrice delle tendenze in atto. Qualys serve ormai una gamma estesa di settori, dalla finanza e le compagnie assicurative al manifatturiero. L’elemento più significativo, tuttavia, è l’incremento di adozioni nel settore pubblico. L’inclusione di “anche il segmento pubblico e settori governativi, che all’inizio erano un po’ riluttanti nei confronti dei servizi cloud”, segnala il superamento di una storica diffidenza delle istituzioni verso le soluzioni in modalità as-a-Service.

Combattere la frammentazione

La crescita registrata in Italia si allinea con la filosofia globale promossa da Sumedh Thakar, CEO e Presidente di Qualys. La sua strategia è focalizzata sulla necessità di un approccio unificato alla sicurezza, che superi l’attuale frammentazione degli strumenti, una delle maggiori preoccupazioni per i CISO.

Secondo Thakar, l’eccessiva proliferazione di soluzioni dedicate finisce per essere controproducente: “Oggi, perché ci sono troppi strumenti, c’è una mancanza di fiducia nella rilevazione. E quando non sei sicuro che la rilevazione sia accurata, non prenderai un’azione di risposta”, ha commentato. La sua risposta è l’integrazione di detection e response in un’unica piattaforma, mirando a ridurre i tempi di latenza e gli errori operativi legati alla gestione di ambienti eterogenei.

La visione di Thakar mira a innalzare la discussione sulla cybersecurity da un problema tecnico a una variabile di rischio aziendale, imponendo ai CISO di adottare una terminologia economico-finanziaria. “Ritengo che la quantificazione del rischio sia fondamentale nella cybersecurity. Perché se non si sa che tipo di rischi si corre, se non lo si quantifica, non si può sapere quanto si dovrebbe spendere per abbassare quel rischio”, ha spiegato il CEO, evidenziando che l’investimento in sicurezza deve essere razionale e proporzionato al valore effettivo dell’asset da proteggere, evitando sia sprechi sia lacune.

La metodologia del proof of concept

In un mercato in cui le promesse spesso superano i fatti, Qualys ha scelto di puntare sulla trasparenza e sulla dimostrazione pratica, sintetizzate nel modello del proof of concept (Poc). Questa metodologia differenzia l’approccio dell’azienda da molti competitor che, invece, si concentrano prevalentemente sull’hype tecnologico.

“Con il 90% dei nostri clienti abbiamo iniziato a fare Poc, a testare la soluzione, a comprendere il beneficio e a fornire dei rapporti”, ha spiegato Turani. Questo approccio basato sulla verifica diretta “genera un ciclo virtuoso di referenze e fiducia ed è il modo per essere molto affidabili e trasparenti con le persone”, ha continuato Turani, sottolineando che l’obiettivo è un approccio consulenziale al mercato, connettendo efficacemente tutto l’ecosistema, dai nuovi clienti a quelli di lunga data.

Partner, formazione e sovranità del dato

Per ottenere una crescita sostenuta in un mercato regolamentato come quello italiano, è basilare avere una precisa strategia di canale. Qualys opera esclusivamente tramite partner, che sono a tutti gli effetti considerati estensioni essenziali del team perché forniscono un supporto che va oltre la sola mediazione: “Per avere un vero aiuto, abbiamo bisogno di persone e partner proattivi e non solo reattivi”, ha precisato Turani. La recente assunzione di Alessandro Senni quale Channel Manager rafforza l’impegno verso questa rete strategica.

Qualys reputa che la formazione sia un pilastro fondamentale per diffondere conoscenza e standard qualitativi. “Negli ultimi tre anni abbiamo formato 800 persone tra partner, clienti e potenziali clienti. Ritengo che sia, molto importante condividere la conoscenza e avere un approccio di squadra”, ha evidenziato Turani. Questa condivisione del sapere è indispensabile per l’efficacia dell’approccio consulenziale dell’azienda, che si avvale della collaborazione con MSSP (Managed Security Service Provider) e partner per mROC (Managed Risk Operation Center). Ricordiamo che con i servizi ROC, Qualys intende rendere la gestione del rischio informatico allineata agli obiettivi di business, più accessibile, concreta e misurabile.

Dal punto di vista regolatorio, Qualys ha investito nel rinnovamento della certificazione ACN QC level 2, una conformità essenziale per la gestione della data criticality e la data sovereignty in Italia.

TCO e ottimizzazione delle risorse

L’integrazione, cardine della proposta tecnologica di Qualys, è la risposta diretta alla richiesta degli stakeholder di un ritorno sull’investimento quantificabile. Gran parte delle applicazioni sono sviluppate internamente, garantendo un prodotto “molto integrato”, ha spiegato Turani.

L’approccio è pragmatico e focalizzato sulla misurabilità: gli stakeholder “vogliono verificare e capire sia il valore sia quanto possono risparmiare in termini di riduzione delle risorse, del costo totale di proprietà e di amministrazione”. Qualys si impegna a fornire una reportistica che dimostri come la soluzione non solo aumenti la sicurezza, ma riduca anche il Total cost of ownership (TCO) e l’overhead amministrativo, liberando risorse aziendali.

Misurabilità vs. complessità

Alla base dei risultati ottenuti in Italia dall’azienda c’è la filosofia globale di Sumedh Thakar, incentrata sulla drastica eliminazione della complessità. Thakar ribadisce che la moltiplicazione degli strumenti non ha generato maggiore sicurezza, ma solo maggiore lentezza e confusione.

Il focus del CEO di Qualys non è però solo tecnologico, ma prevede anche un cambio nella comunicazione verso i vertici aziendali. Il suo suggerimento è che il CISO dovrebbe poter dire al consiglio di amministrazione che la strategia di cybersecurity non prevede solo la crittografia sui desktop ma anche “l’implementazione di un Risk Operations Center tramite cui operazionalizzare completamente il rischio, raccogliendo asset e risultati da tutte le fonti possibili”. In pratica, per Thakar la gestione del rischio dovrebbe diventare un’attività consolidata per cui sono previste modalità operative sistematiche e chiaramente definite.

“In Italia, abbiamo pragmaticamente adattato questa visione per calibrare la strategia globale dell’azienda nel contesto locale”, ha concluso Turani.