klient pyta, kto jest naszym CISO, ale nie mamy oddzielnego stanowiska na to

Brak CISO w zatrudnieniu nie stanowi problemu

Pytanie o CISO nie dotyczy tytułu na wizytówce, ale roli: kto jest odpowiedzialny za bezpieczeństwo informacji i cyberbezpieczeństwo i kto może być kontaktowany przez klienta w przypadku problemów. W mniejszych przedsiębiorstwach rola ta często przypada dyrektorowi, kierownikowi IT lub komuś, kto zajmuje się tym „dodatkowo". To jest ważna odpowiedź, o ile można wskazać konkretną osobę i opisać jej zadania.

Odpowiedz na pytanie zatem wskazując funkcję, która rzeczywiście spełnia tę rolę, a nie "n.d." (nie dotyczy). Typowy sposób wypełnienia: "rolę CISO pełni [funkcja], odpowiedzialny za [zadania]". Jest to zgodne z tym, co klienci w praktyce sprawdzają: nie tytuł, ale czy istnieje nadzór nad analiza ryzyka i ochrona systemów informacyjnych i czy środkami bezpieczeństwa są okresowo weryfikowane. Governance jest tematem przewodnim, a nie pytaniem o personel.

Governance jest niezależna od tytułu funkcji

Artykuł 21 ust. 2 dyrektywy NIS2 (Dyrektywa (UE) 2022/2555) wymienia dziesięć kategorii środków, w tym politykę dotyczącą analizy ryzyka i bezpieczeństwa systemów informatycznych — tytuł CISO nie pojawia się na tej liście. ISO/IEC 27001 działa zgodnie z tą samą logiką: Załącznik A wymaga przydzielonych odpowiedzialności za bezpieczeństwo informacji (często w punkcie A.5, organizacja bezpieczeństwa informacji), ale nie wymaga konkretnej nazwy funkcji. Kwestionariusz klienta zwykle przekłada ten wymóg na "kto jest CISO", ponieważ jest to termin powszechnie stosowany w większych organizacjach, ale pytanie zasadnicze pozostaje: czy odpowiedzialność została przydzielona. Gdy tylko zostanie to udokumentowane — nawet w opisie funkcji dyrektora — istnieje faktyczna podstawa do udzielenia odpowiedzi, nawet bez samego tytułu.