az ügyfél megkérdezi, ki a CISO-nk, de nincs külön funkcióban illetékes

A CISO hiánya nem jelent problémát

A CISO-ra vonatkozó kérdés nem egy névjegykártyán szereplő beosztásról szól, hanem a szerepről: ki felelős az információbiztonságért és a kiberbiztonsági kérdésekért, és kit tud megkeresni az ügyfél, ha valami történik. A kisebb vállalkozásoknál ez a szerep gyakran az igazgatóhoz, az IT-menedzserhez vagy valakihez tartozik, aki ezt "mellesleg végzi". Ez egy érvényes válasz, amíg meg tudod jelölni, hogy ki az és mit csinál az illető.

Válaszolj tehát azzal a funkcióval, amely a szerepet valóban betölti, ne az "n.a." válasszal. Tipikus kitöltés: "a CISO-szerep [funkció] által betöltött, felelős [feladatokért]". Ez összhangban van azzal, amit az ügyfelek a gyakorlatban vizsgálnak: nem a beosztás, hanem hogy van-e felügyelet hozzáférés-ellenőrzésről és az üzleti eszközökről és hogy az biztonságintézkedéseket rendszeres időközönként vizsgálják-emeg. Az irányítás az alapvető téma, nem pedig egy személyzeti kérdés.

Az irányítás független a funkcióbeosztástól

A NIS2-irányelv (2022/2555 (EU) irányelv) 21. cikk (2) bekezdése tíz kategóriájú intézkedéseket sorol fel, ideértve a kockázatelemzési és informatikai rendszer-biztonsági politikát – a CISO-beosztás nem szerepel ebben a felsorolásban. Az ISO/IEC 27001 ugyanezzel a logikával működik: az Annex A az információbiztonság felelőseinek kijelölésére irányuló követelményeket tartalmaz (gyakran az A.5-ben, az információbiztonság szervezete alatt), nem pedig egy konkrét funkcióra. Az ügyfél kérdőíve ezt az követelményt jellemzően "ki a CISO"-ra fordítja, mert ez a szokásos kifejezés a nagyobb szervezeteknél, de az alapvető kérdés változatlan marad: hozzá van-e rendelve a felelősség. Amint ez dokumentálva van – még akkor is, ha az igazgató munkaköri leírásában szerepel – létezik egy tényszerű alap egy válaszhoz, a beosztás nélkül is.