La tua azienda è appena sopravvissuta a un attacco ransomware. I dati dei clienti sono cifrati, la reputazione è sotto attacco e il fermo operativo sta costando denaro. Chiami un contatto di sicurezza che conosci e senti: «Ragazzi, ho l'agenda piena per tre mesi».

Approfondisci: Duda Development Services.

La domanda di professionisti della cybersecurity supera di gran lunga l'offerta. Secondo lo studio ISC2 del 2024, il divario globale tra fabbisogno di personale e organico effettivo ha raggiunto 4,8 milioni di persone, il 19% in più rispetto all'anno precedente. Si tratta di un cambiamento strutturale del mercato del lavoro, non di una carenza temporanea.

Abbiamo raccolto i numeri più aggiornati, le vere ragioni dietro la siccità di talenti e le strategie che aiutano le aziende ad assicurarsi professionisti di sicurezza validi anche in un contesto di forte competizione per i talenti.

💡 Panoramica rapida:

• Divario globale di forza lavoro nella cybersecurity: 4,8 milioni di professionisti, e il divario continua a crescere.
• Principali ostacoli all'assunzione: mancanza di budget, tempi lunghi di copertura delle posizioni e forte concorrenza con le aziende tech.
• Cosa funziona: formula ibrida, formazione interna, ripensamento dei requisiti per i candidati e integrazione della sicurezza nei ruoli IT adiacenti.
• Prospettive future: l'IA si occuperà dei compiti di primo livello, ma la domanda di architetti, professionisti della sicurezza cloud e ingegneri della sicurezza IA è in continua crescita.

Perché la cybersecurity è diventata un asset aziendale critico

La digitalizzazione sta divorando un settore dopo l'altro. Finanza, retail, sanità, logistica funzionano su software, cloud e API. Ogni nuovo punto di ingresso digitale è un potenziale vettore di attacco. Phishing, ransomware, attacchi alla supply chain: gli attori delle minacce lavorano più velocemente e con maggiore creatività rispetto a cinque anni fa.

Allo stesso tempo, la morsa normativa si stringe. Il GDPR in Europa, leggi analoghe in decine di giurisdizioni, standard di settore come il PCI DSS impongono alle aziende non di «installare un antivirus» ma di costruire un sistema di difesa completo. Una sanzione per una violazione di dati personali è paragonabile al fatturato annuo di una business unit.

In sostanza: la cybersecurity non è più il dominio di un amministratore di sistema nella sala server. È una funzione che compete al consiglio di amministrazione e che incide direttamente sulla sopravvivenza dell'azienda.

La portata della carenza: numeri e rischi reali

Secondo lo studio ISC2 sulla forza lavoro nella cybersecurity per il 2024, la forza lavoro attiva globale nella cybersecurity è di 5,5 milioni di persone, mentre il fabbisogno supera i 10 milioni. Il divario di 4,8 milioni non è un'astrazione: ogni posto vacante significa log non controllati, alert mancati e risposta agli incidenti in ritardo.

Lo studio ISACA del 2025, che ha intervistato quasi 4.000 professionisti, ha mostrato che: il 55% dei team è sotto organico e il 65% delle organizzazioni ha posizioni non coperte. Allo stesso tempo, il 38% degli intervistati ha riferito che assumere anche solo per posizioni entry-level richiede da tre a sei mesi.

Il World Economic Forum nel Global Cybersecurity Outlook 2025 ha registrato che solo il 14% delle organizzazioni dispone del numero necessario di professionisti qualificati. Il restante 86% lavora con ciò che ha, in condizioni in cui un'azienda su due ha subito un incidente a causa della mancanza di competenze nel team di sicurezza.

Perché le aziende stanno perdendo la battaglia per i talenti

Le ragioni sono diverse e il budget è solo una di queste. Secondo ISC2, la «mancanza di budget» ha superato per la prima volta la «mancanza di candidati qualificati» come causa principale della carenza di forza lavoro. Il 33% delle organizzazioni non può permettersi stipendi a prezzi di mercato per i professionisti della sicurezza e il 29% non può finanziare il numero di teste necessario.

Un altro problema è la competizione per i talenti. Aziende tech specializzate e multinazionali offrono stipendi e condizioni che le imprese di medie dimensioni non possono eguagliare. Lo stipendio annuo mediano per un analista della sicurezza informatica negli Stati Uniti, secondo il Bureau of Labor Statistics a maggio 2024, è di 124.910 dollari, quasi il triplo della mediana di tutte le professioni. Il 90° percentile supera i 186.000 dollari.

Il terzo fattore sono i requisiti di assunzione gonfiati. Le aziende cercano un «unicorno»: qualcuno che sappia condurre penetration test, conosca l'architettura cloud e guidi un team di cinque persone. Sul mercato ci sono solo una manciata di profili simili. Un approccio più pragmatico, assumere per domini specifici e far crescere le competenze internamente, è ancora adottato da pochi.

Come la cybersecurity si sta infiltrando nei ruoli IT adiacenti

Una tendenza degli ultimi due anni: requisiti di sicurezza negli annunci di lavoro che prima non avevano alcuna sovrapposizione con essa. Uno sviluppatore SharePoint, un ingegnere di integrazione, uno specialista DevOps: tutti oggi hanno bisogno di un livello base di consapevolezza della sicurezza.

Prendiamo il ruolo di SharePoint Developer Job Description: un modello moderno per questa posizione include la conoscenza dei principi di protezione dei dati e della gestione degli accessi. La piattaforma SharePoint è ampiamente utilizzata per archiviare informazioni aziendali sensibili, dai report finanziari ai documenti HR. Le aziende vogliono essere certe che lo sviluppatore che configura questi sistemi comprenda come funzionano permessi, cifratura e audit degli accessi.

Una storia analoga vale per lo sviluppo web. Le piattaforme digitali sono sotto costante pressione di attacco, dai DDoS allo sfruttamento delle vulnerabilità dei plugin. Integrare la protezione in fase di sviluppo, non a posteriori, è diventato uno standard per vendor e agenzie.

Maggiori informazioni su «SharePoint Developer Job Description» sono disponibili al link.

Il punto è che la domanda di competenze di sicurezza non sta crescendo solo attraverso le posizioni dedicate. Si sta diffondendo in tutta l'organizzazione IT, alimentando la carenza complessiva.

Strategie: come trovare e trattenere i professionisti della sicurezza da subito

La buona notizia: anche con lo squilibrio attuale, le aziende possono vincere la battaglia per i talenti. Ecco cosa funziona.

Investire nella formazione, non solo nell'assunzione. Partnership con le università, sponsorizzazione di certificazioni (CISSP, CEH, CompTIA Security+) e programmi di tirocinio forniscono una pipeline di candidati fedeli proprio alla tua azienda. Secondo ISC2, il 95% delle organizzazioni nota la mancanza di almeno una competenza nel proprio team e il 59% segnala lacune critiche o significative. La formazione interna colma questi buchi più velocemente della ricerca di uno specialista già pronto.

Offrire una formula di lavoro flessibile. Remoto e ibrido sono diventati irrinunciabili per i professionisti IT. Le aziende che insistono per cinque giorni in ufficio si tagliano fuori una fetta significativa di potenziali candidati già in fase di screening dei curriculum. Per un professionista della sicurezza che monitora i log da qualsiasi parte del mondo, la presenza fisica è raramente una necessità operativa.

Far crescere i professionisti della sicurezza internamente. Un ingegnere DevOps che vuole approfondire la sicurezza cloud, o un amministratore di sistema con un interesse per la risposta agli incidenti, sono candidati pronti per la riqualificazione. Conoscono già la tua infrastruttura. Resta solo da concedere loro tempo per la formazione, un budget per la certificazione e un mentor tra il personale di sicurezza attuale.

Dove sta andando il mercato: IA, automazione e nuovi ruoli

Il futuro del mercato del lavoro nella cybersecurity è plasmato da tre forze.

Primo, l'intelligenza artificiale. Gartner prevede che entro il 2028 più del 50% dei compiti degli analisti SOC di primo livello sarà svolto dall'IA. Secondo Splunk State of Security 2025, il 33% dei team prevede di colmare i divari di forza lavoro con IA e automazione. La domanda si sta spostando dagli operatori di alert agli ingegneri della sicurezza IA che progettano e supervisionano questi sistemi.

Secondo, il burnout come rischio operativo. Sophos per il 2025 ha registrato una perdita di 4,8 ore lavorative settimanali per specialista a causa del burnout (un aumento di oltre il 25% anno su anno). Il 63% dei CISO, secondo Proofpoint, ha sperimentato personalmente il burnout o lo ha osservato nel proprio team. Le aziende che ignorano questo problema perdono persone più velocemente di quante ne assumano di nuove.

Terzo, la crescita della domanda nel prossimo decennio. Il Bureau of Labor Statistics degli Stati Uniti prevede un aumento del 29 percento del numero di posizioni di analista della sicurezza informatica dal 2024 al 2034, molto più rapido della media di tutte le professioni. Circa 16.000 posizioni aperte ogni anno solo negli Stati Uniti.

⁉️🤔 Domande frequenti

Perché ci sono così pochi professionisti della cybersecurity?

La ragione principale è la velocità di crescita della domanda. Le minacce si moltiplicano più velocemente di quanto le università sfornino specialisti formati. Una barriera d'ingresso alta: ci si aspetta che un neofita comprenda reti, sistemi operativi, cloud e requisiti normativi, un insieme che richiede anni di pratica.

La carenza è aggravata dal fatto che il 33% delle organizzazioni non ha il budget per stipendi di sicurezza a prezzi di mercato, secondo i dati ISC2 del 2024. Allo stesso tempo, il 65% delle aziende mantiene posizioni vacanti per mesi. Il mercato è surriscaldato su entrambi i fronti: i datori di lavoro non trovano persone, i candidati non vedono offerte adeguate da parte dei non monopolisti.

Quali certificazioni aiutano davvero nell'assunzione?

I datori di lavoro apprezzano le certificazioni orientate alla pratica: CISSP per architetti e manager, CEH e OSCP per penetration tester, CompTIA Security+ per principianti. Secondo il Fortinet Skills Gap Report 2025, l'89% dei responsabili delle assunzioni preferisce candidati certificati. Ma un certificato senza esperienza reale è solo una riga sul curriculum.

Le certificazioni funzionano come filtro in fase di screening, non come sostituto della pratica. La strategia migliore è combinare: una o due certificazioni riconosciute più lavoro di laboratorio, competizioni CTF o contributi open-source da mostrare al colloquio.

Si può far crescere un professionista della sicurezza all'interno dell'azienda?

Sì, ed è uno degli approcci più efficaci data l'attuale carenza. Un amministratore di sistema, un ingegnere di rete o uno specialista DevOps con un interesse per la sicurezza è un candidato pronto per la riqualificazione. Servono tre cose: tempo retribuito per la formazione, un budget per la certificazione e un mentor del team infosec attuale.

Nella nostra esperienza, un candidato interno raggiunge la produttività in un ruolo di sicurezza junior entro 6-12 mesi.

Come possono le piccole e medie imprese competere per i talenti con le grandi aziende?

Non competere direttamente sullo stipendio, ma gioca su altri campi. Orario flessibile e full remote, uno standard per le piccole aziende, che le grandi spesso non possono offrire per vincoli di compliance. Una gamma ampia di compiti invece di una specializzazione ristretta attrae chi vuole una crescita rapida. In più, profit sharing o stock option in una startup.

La pratica dimostra che un professionista della sicurezza che costruisce da solo la difesa per un'azienda di 50 persone ha, in due anni, un portfolio paragonabile a quello di uno specialista corporate con il doppio dell'anzianità. Per molti, questo compensa la differenza di stipendio base. L'importante è non lesinare sugli strumenti: un budget di sicurezza tagliato demotiva più velocemente di uno stipendio sotto la media di mercato.

L'IA sostituirà i professionisti della cybersecurity?

Non li sostituirà, ma cambierà la struttura dei ruoli. L'IA coprirà i compiti di routine di primo livello: triage degli alert, analisi iniziale dei log, arricchimento degli incidenti con il contesto. Gartner prevede che entro il 2028 più della metà di questi compiti sarà automatizzata. La domanda di architetti della sicurezza, ingegneri cloud e specialisti della sicurezza IA non potrà che crescere.

Il rischio non è che l'IA porti via il lavoro ai professionisti della sicurezza, ma che le aziende che tagliano le assunzioni junior si ritrovino senza senior tra 3-5 anni. La strategia giusta è riprogettare i ruoli entry-level per un lavoro potenziato dall'IA (threat hunting con suggerimenti IA, indagine automatizzata), non eliminarli.

Cosa fare per la carenza di talenti nella cybersecurity: in conclusione

Il mercato del lavoro nella cybersecurity resterà surriscaldato fino alla fine del decennio, questo è il consenso di ISC2, ISACA e WEF. Le aziende che vincono questa corsa fanno tre cose contemporaneamente.

Smettono di cercare «unicorni» e iniziano a far crescere i professionisti della sicurezza internamente. Un amministratore di sistema disposto a imparare vale più di un candidato con cinque certificazioni che non è sul mercato. Secondo, accettano la formula flessibile come un dato di fatto. E terzo, integrano i requisiti di sicurezza in ogni ruolo IT, dallo sviluppatore SharePoint all'architetto cloud.

Se stai cercando un professionista della sicurezza in questo momento, inizia con un audit dei requisiti nel tuo annuncio di lavoro. Rimuovi tre voci opzionali, aggiungi un budget per la certificazione e dimostra che risolvi problemi reali, non che scrivi report per il cassetto. La differenza nel tempo di copertura della posizione ti sorprenderà.