klientas klausia, kas yra mūsų CISO, bet mūsų nėra atskiros pareigos

Jei CISO nėra darbuotojų sąraše, tai nėra problema

Klausimas apie CISO nėra apie titulą vizitinėje kortelėje, o apie vaidmenį: kas yra atsakingas už informacijos saugumą ir kibernetinį saugumą, ir ką gali pasiskambinti klients, jei kažkas atsitiktų. Mažesnėse įmonėse šis vaidmuo dažnai patenka direktoriui, IT vadovui arba tam, kuris tai daro „šalia kito darbo". Tai yra galiamas atsakymas, kol galite nurodyti, kas tai yra ir ką ši žmona daro.

Atsakykite į klausimą nurodymu funkcija, kuri šį vaidmenį iš tikrųjų atlieka, o ne "n.a.". Tipinis atsakymas: "CISO vaidmenį atlieka [funkcija], atsakinga už [užduotis]". Tai atitinka tai, ką klientai praktikoje tikrina: ne titulą, bet ar yra priežiūra rizikos vertinimas ir informacinių sistemų apsauga ir ar saugumo priemonės yra periodiškai tikrinamos. Valdymas yra pagrindinė tema, o ne personalo klausimas.

Valdymas nesusietas su funkcijos titulu

2 straipsnio 2 dalis NIS2 direktyvos (Direktyva (ES) 2022/2555) nurodo dešimt kategorijų priemonių, kurioms priklauso politika dėl rizikos analizės ir informacinių sistemų apsaugos — CISO titulas šiame sąraše nefigūruoja. ISO/IEC 27001 veikia pagal tą pačią logiką: A priedas reikalauja priskirti atsakomybes už informacijos saugumą (dažnai pagal A.5, informacijos saugumo organizavimas), o ne konkrečias funkcijos pavadinimus. Kliento klausimynas paprastai vertina šį reikalavimą į "kas yra CISO", nes tai yra įprastas terminas didesnėse organizacijose, bet pagrindinį klausimas išlieka: ar atsakomybė yra priskirta. Kai tik tai bus įrašyta — net jei tai yra direktoriaus funkcijos aprašymo dalis — yra faktinis pagrindas atsakymui, net be paties titulo.