mums nav CISO, kuru personu norādīt, kad jautā, kurš atbild par drošību

Nav nepieciešams amata nosaukums, bet jābūt norādāmai lomai

Direktīvas NIS2 21. panta 2. punkts neprasīs CISO. Nekur nav teikts, ka amata nosaukums ir obligāts — direktīvā tiek prasītas "atbilstošas un proporcionālas tehniskas, operacionālas un organizatoriskas pasākumi" un pārvaldības shēma virs tiem. Tas, kas jāvar aizpildīt, ir tas, kurš organizācijas iekšienē lēmj par informācijas drošību un kurš vadībai to paziņo. Mazākā uzņēmumā tas bieži ir pats vadītājs, IT vadītājs ar drošību kā daļēju uzdevumu, vai ārējā puse, kas tiek regulāri piesaistīta. Aizpildiet šo lomu ar vārdu vai amata nosaukumu, nevis ar "neviens" un nevis ar titulu, kura nav.

Uz ko jāpievērš uzmanība: klientu interesē ne tik daudz tituls, bet gan pierādāmība. Vai jūs varat parādīt, ka kāds ir atbildīgs par politikas riska analīzes un informācijas sistēmu drošības jomā, un ka tas pats vai cita norādīta persona ir arī kontaktpersona drošības incidentiem? Tas ir pierādījums, ko parasti pieprasa: organizācijas diagramma, RACI tabula vai vienkārši rindkopa politikas dokumentā, kurā norādīta loma un pilnvaras. Ja to neesat dokumentējuši, tad "nē" ar paskaidrojumu, ka vadība pilda šo atbildību, ir godīgāka atbilde nekā izdomāta amata vieta.

Kur tas izriet no: NIS2 direktīvas 21. panta 2. punkts a) apakšpunkts un ISO 27001 A pielikums 5.2

NIS2 direktīvas 21. panta 2. punkts a) apakšpunktā minēts "riska analīzes un informācijas sistēmu drošības politika" kā pirmais no desmit pasākumiem, un pārvaldība ir tur netiešā daļa: bez norādītas atbildīgās personas politika nav īstenojama un nav kontrolējama. ISO/IEC 27001 to dara skaidru A pielikuma 5.2. punktā, "informācijas drošības lomas un atbildības", kur tiek prasīta loma, bet ne specifisks tituls. Ja aizpildāt šo sarakstu bez ISO sertifikāta, tad ir īpaši svarīgi, ka lomu sadalījums ir kaut kur uz papīra — tas palīdz ar jautājumu, vai uzņēmums ir ISO 27001 sertificēts, kur pretējā gadījumā jūs stāvat ar tukšām rokām.