δεν έχουμε CISO, ποιον συμπληρώνω ως υπεύθυνο για την ασφάλεια

Δεν χρειάζεται τίτλος θέσης, αλλά ένας καθορισμένος ρόλος

Το άρθρο 21 παράγραφος 2 NIS2 δεν απαιτεί CISO. Δεν αναφέρεται πουθενά ότι ένας τίτλος θέσης είναι υποχρεωτικός — η οδηγία ζητά "κατάλληλα και ανάλογα τεχνικά, λειτουργικά και οργανωτικά μέτρα", και governance πάνω από αυτά. Αυτό που πρέπει να δυνηθείς να συμπληρώσεις είναι ποιος αποφασίζει εσωτερικά για την ασφάλεια πληροφοριών και ποιος απευθύνεται στη διοίκηση. Σε μια μικρότερη επιχείρηση, αυτό είναι συχνά ο ίδιος ο διευθυντής, ένας IT manager με την ασφάλεια ως μερικής απασχόλησης καθήκον, ή ένα εξωτερικό μέρος που έχει συμβατικά καταπιστευθεί. Συμπλήρωσε αυτόν τον ρόλο με όνομα ή θέση, όχι με "κανένα" και όχι με έναν τίτλο που δεν υπάρχει.

Αυτό στο οποίο πρέπει να προσέξεις: ο πελάτης δεν ενδιαφέρεται για τον τίτλο, αλλά για την αποδειξιμότητα. Μπορείς να αποδείξεις ότι υπάρχει κάποιος υπεύθυνος για πολιτική για την ανάλυση κινδύνου και την ασφάλεια συστημάτων πληροφοριών, και ότι το ίδιο ή ένα άλλο καθορισμένο πρόσωπο είναι επίσης το σημείο επικοινωνίας σε συμβάντα ασφάλειας; Αυτό είναι το στοιχείο απόδειξης που συνήθως ζητείται: ένα οργανόγραμμα, ένας πίνακας RACI, ή απλώς μια παράγραφος στο έγγραφο πολιτικής που ονοματίζει τον ρόλο και τις αρμοδιότητες. Αν δεν το έχεις καταγράψει, τότε το "όχι" με μια εξήγηση ότι η διοίκηση φέρει αυτή την ευθύνη είναι ένα πιο ειλικρινές απάντηση από μια επινοημένη θέση.

Από όπου προέρχεται αυτό: άρθρο 21 παράγραφος 2 στοιχείο α NIS2 και Παράρτημα Α 5.2 ISO 27001

Το άρθρο 21 παράγραφος 2 στοιχείο α αναφέρει "πολιτική σχετικά με την ανάλυση κινδύνου και την ασφάλεια συστημάτων πληροφοριών" ως πρώτο από τα δέκα μέτρα, και η governance είναι ένα σιωπηρό μέρος αυτού: χωρίς καθορισμένο υπεύθυνο η πολιτική δεν είναι εκτελέσιμη και όχι ελέγξιμη. Το ISO/IEC 27001 το κάνει αυτό ρητό στο Παράρτημα Α 5.2, "information security roles and responsibilities", όπου ένας ρόλος ζητείται αλλά όχι ένας συγκεκριμένος τίτλος. Αν συμπληρώνεις αυτή τη λίστα χωρίς πιστοποίηση ISO, τότε είναι ιδιαίτερα σημαντικό ότι η κατανομή ρόλων είναι καταγεγραμμένη κάπου — αυτό βοηθά στο η ερώτηση αν η επιχείρηση είναι ISO 27001 πιστοποιημένη, όπου διαφορετικά στέκεσαι με άδεια χέρια.