neturime CISO, ką rašau atsakyme, kas yra atsakingas už saugumą

Nereikalinga pareigybė, tačiau reikalingas identifikuojamas vaidmuo

Straipsnis 21 (2) NIS2 nereikalauja CISO. Niekur nenurodyta, kad pareigybė privaloma — direktyva reikalauja "tinkamų ir proporcingų techninių, operacinių ir organizacinių priemonių", o virš jų — valdymo. Ką turėsite galėti užpildyti, yra kas viduje sprendžia apie informacijos saugą ir kas susisiekia su vadovybe. Mažesnėje organizacijoje tai dažnai yra pats direktorius, IT vadybininkas, kurio dalis pareigybės yra saugumas, arba išorinis subjektas, kuris nuolat samdintas. Nurodykite tą vaidmenį pagal vardą arba pareigybę, o ne "niekam" ir ne pagal pareigybę, kurios nėra.

Į ką turėtumėte atkreipti dėmesį: kliento svarbi ne pareigybė, o atskaitingumas. Ar galite parodyti, kad kažkas yra atsakingas už atsargines kopijas ir neišvengiamą paslaugų teikimo atkūrimo priemonęir kad tą patį arba kitą paskirta asmenį galima pasiekti saugumo incidentų? Tai yra įrodymas, kurio dažnai prašoma: organigrama, RACI lentelė arba tiesiog punkte politikos dokumente, kuriame nurodomas vaidmuo ir kompetencija. Jei to nepateikėte, atsakymas "ne" su pastaba, kad vadovybė prisiima šią atsakomybę, yra teisingesnis nei sugalvota pareigybė.

Iš kur tai seka: Straipsnis 21 (2) (a) NIS2 ir Priedas A 5.2 ISO 27001

Straipsnis 21 (2) (a) nurodo "rizikos vertinimo ir informacinių sistemų saugumo politiką" kaip pirmąją iš dešimties priemonių, o valdymas yra jame nealternatyvus komponentas: be paskirto atsakingo asmens politika nėra įgyvendinama ir neverifikuojama. ISO/IEC 27001 tai paaiškina Priede A 5.2 "informacijos saugumo vaidmenys ir atsakomybės", kur vaidmuo nurodomas, bet nenurodoma speciali pareigybė. Jei šį sąrašą pildote be ISO sertifikato, ypač svarbu, kad vaidmenų paskirstymas būtų kažkur dokumentuotas — tai padeda kai klausiama, ar organizacija turi ISO 27001 sertifikatąjei kitaip liksite be jokių įrodymų.