клиентът пита кой е нашият CISO, но нямаме отделна функция за това

Отсъствието на CISO в персонала не е проблем

Въпросът за CISO не се отнася до титла на визитна картичка, а до ролята: кой е отговорен за информационна безопасност и кибербезопасност, и кого може да контактува клиентът, ако има проблем. При по-малките предприятия тази роля често пада на директора, IT мениджъра или човек, който я "кумулира". Това е валиден отговор, стига да можете да посочите кой е той и какво прави този човек.

Отговорете на въпроса с функцията, която действително изпълнява ролята, не с "неприложимо". Типично попълване: "ролята на CISO се изпълнява от [функция], отговорен за [задачи]". Това съответства на това, което клиентите проверяват на практика: не титлата, а дали има надзор над анализ на риска и защита на информационните системи и дали мерките за безопасност се проверяват периодично. Управление е основната тема, не въпрос на персонала.

Управлението е независимо от функционалния титул

Член 21, параграф 2 на Директива NIS2 (Директива (EU) 2022/2555) посочва десет категории мерки, включително политика относно анализ на риска и безопасност на информационните системи — CISO титлата не се появява в този списък. ISO/IEC 27001 работи със същата логика: Приложение A изисква назначени отговорности за информационна безопасност (често под A.5, организация на информационна безопасност), не специфично име на функция. Анкетата на клиента обикновено превежда това изискване в "кой е CISO", защото това е общоприетият термин при по-големи организации, но подлежащият въпрос остава: е ли отговорността назначена. Веднъж когато това е уредено — дори и в функционално описание на директора — има фактическа основа за отговор, без самата титла.