asiakas kysyy, kuka meidän CISO on, mutta meillä ei ole erillistä tehtävää siihen

CISO:ta palveluksessa olevan puuttuminen ei ole ongelma

CISO:a koskeva kysymys ei koske nimikkeistöä, vaan roolia: kuka on vastuussa tietoturvallisuudesta ja kyberturvallisuudesta, ja kenen asiakkaasi voi ottaa yhteyttä, jos jotain tapahtuu. Pienemmissä yrityksissä tämä rooli on usein johtajalla, IT-päällikköllä tai henkilöllä, joka pitää sitä "sivutehtävänä". Se on kelvollinen vastaus, kunhan pystyt osoittamaan, kuka se on ja mitä henkilö tekee.

Vastaa kysymykseen siis sillä toimella, joka roolia tosiasiassa hoitaa, älä sanomalla "ei sovellettavissa". Tyypillinen vastaus: "CISO:n roolia hoitaa [toimi], vastuussa [tehtävistä]". Se vastaa sitä, mitä asiakkaat käytännössä tarkastavat: eivät nimikettä, vaan sitä, onko valvontaa olemassa riskianalyysin ja tietojärjestelmien suojauksen osalta ja onko turvakeinot tarkastettu säännöllisesti. Hallintotapa on taustalla oleva aihe, ei henkilöstökysymys.

Hallintotapa on erillään funktioiden nimikkeistöstä

NIS2-direktiivin 21 artiklan 2 kohta (Direktiivi (EU) 2022/2555) luettelee kymmenen toimenpidekategoriaa, mukaan lukien politiikka riskianalyysista ja tietojärjestelmien turvaamisesta — CISO-nimikettä ei mainita luettelossa. ISO/IEC 27001 noudattaa samaa logiikkaa: Annex A edellyttää määrättyjä vastuita tietoturvallisuudesta (usein kohdassa A.5, tietoturvallisuuden organisointi), eivät tiettyä funktionimikettä. Asiakkaan kyselylomake kääntyy yleensä muotoon "kuka on CISO", koska se on yleisnimitys suuremmissa organisaatioissa, mutta taustalla oleva kysymys pysyy samana: onko vastuu määritetty. Heti kun se on kirjattu — vaikka se olisi johtajan funktioselostuksessa — on olemassa tosiasiallinen perusta vastaukselle, vaikka nimike itsessään ei olisikaan olemassa.