nincs CISO-nk, kit jelöljek meg a biztonságért felelős személyként

Nem szükséges funkciótitle, de szükséges egy azonosítható szerep

A NIS2 21. cikk (2) bekezdése nem követel meg CISO-t. Sehol sem írja elő, hogy a funkciótitle kötelező — az irányelv "megfelelő és arányos technikai, működési és szervezeti intézkedéseket" kér, és ezek fölött governance-ot. Amit ki kell tudnod tölteni, az az, hogy ki dönt belülről az információbiztonságról, és ki szólítja meg erre a vezetést. Egy kisebb vállalkozásnál gyakran az igazgató maga, egy IT-menedzser, aki biztonsággal járuló részfeladatokkal rendelkezik, vagy egy strukturáltan szerződtetett külső fél. Töltsd ki ezt a szerepet név vagy funkció megadásával, nem azzal, hogy "senki", és nem olyan titellel, amely nem létezik.

Erre kell figyelned: az ügyfélnek nem a title fontos, hanem az igazolhatóság. Meg tudod mutatni, hogy valaki felelős az a kockázatelemzésre és az információs rendszerek biztonságára vonatkozó politikának-ért, és hogy ugyanez vagy egy másik kijelölt személy is az azon kapcsolódási pont az biztonsági incidensekre-nál? Ez az az bizonyíték, amelyet általában kérnek: egy organigram, egy RACI-tábla, vagy pusztán egy bekezdés az irányelvdokumentumban, amely megnevezi a szerepet és a hatásköröket. Ha ezt nem rögzítetted, akkor az "nem" indoklással, hogy a vezetés viseli ezt a felelősséget, őszintébb válasz, mint egy kitalált funkció.

Ennek forrása: a NIS2 21. cikk (2) bekezdés a) pontja és az ISO 27001 A függelék 5.2 fejezete

A NIS2 21. cikk (2) bekezdés a) pontja az "informatikai rendszerek kockázatelemzésére és biztosítására vonatkozó irányelv" kifejezéssel nevezik meg az első intézkedést a tízből, és az irányítás az ennek implicit része: kijelölt felelős nélkül az irányelv nem hajtható végre és nem ellenőrizhető. Az ISO/IEC 27001 ezt az A függelék 5.2 fejezetében, az "információbiztonság szerepei és felelősségei" részben teszi kifejezessé, ahol ugyan szerepet kérnek, de nem adnak meg konkrét megnevezést. Ha ezt a listát ISO-tanúsítvány nélkül töltöd ki, akkor különösen fontos, hogy a szerepfelosztás valahol írásban rögzített legyen — ez segít abban, hogy a vállalkozás ISO 27001-tanúsítvánnyal rendelkezik-e, ahol különben üres kézzel állnál.