ο πελάτης ρωτά ποιος είναι ο CISO μας αλλά δεν έχουμε ξεχωριστή θέση για αυτό

Η απουσία CISO δεν είναι πρόβλημα

Το ερώτημα σχετικά με έναν CISO δεν αφορά έναν τίτλο σε μια επαγγελματική κάρτα, αλλά τον ρόλο: ποιος είναι υπεύθυνος για την ασφάλεια της πληροφορίας και την κυβερνοασφάλεια, και ποιον μπορεί να ειδοποιήσει ο πελάτης εάν υπάρξει κάποιο πρόβλημα. Σε μικρότερες επιχειρήσεις, αυτός ο ρόλος συχνά ανήκει στον διευθυντή, τον διαχειριστή πληροφοριακών συστημάτων ή σε κάποιον που το «αναλαμβάνει επιπλέον». Αυτή είναι μια έγκυρη απάντηση, εφόσον μπορείς να προσδιορίσεις ποιος είναι και τι κάνει αυτό το άτομο.

Απάντησε λοιπόν στο ερώτημα με τη λειτουργία που εκπληρώνει τον ρόλο, όχι με «δ/υ». Τυπική συμπλήρωση: «ο ρόλος του CISO εκπληρώνεται από [λειτουργία], υπεύθυνος για [καθήκοντα]». Αυτό είναι σύμφωνο με αυτό που οι πελάτες στην πράξη ελέγχουν: όχι ο τίτλος, αλλά εάν υπάρχει εποπτεία επί ανάλυση κινδύνου και η προστασία των συστημάτων πληροφοριών και εάν η τα μέτρα ασφάλειας αξιολογούνται περιοδικά. Η διακυβέρνηση είναι το υποκείμενο θέμα, όχι ένα ερώτημα για το προσωπικό.

Η διακυβέρνηση είναι ανεξάρτητη από τον τίτλο της θέσης

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 (Οδηγία (ΕΕ) 2022/2555) αναφέρει δέκα κατηγορίες μέτρων, συμπεριλαμβανομένης της πολιτικής σχετικά με την ανάλυση κινδύνου και την ασφάλεια συστημάτων πληροφοριών — ένας τίτλος CISO δεν εμφανίζεται σε αυτόν τον κατάλογο. Το ISO/IEC 27001 λειτουργεί με την ίδια λογική: το Παράρτημα A ζητά καθορισμένες ευθύνες για την ασφάλεια πληροφοριών (συχνά στο A.5, οργάνωση της ασφάλειας πληροφοριών), όχι ένα συγκεκριμένο όνομα θέσης. Το ερωτηματολόγιο του πελάτη συνήθως μεταφράζει αυτήν την απαίτηση σε «ποιος είναι ο CISO» επειδή αυτός είναι ο κοινός όρος στους μεγαλύτερους οργανισμούς, αλλά το υποκείμενο ερώτημα παραμένει: έχει ανατεθεί η ευθύνη. Μόλις ορισθεί αυτό — ακόμα και σε μια περιγραφή θέσης του διευθυντή — υπάρχει μια πραγματική βάση για μια απάντηση, ακόμα και χωρίς τον ίδιο τον τίτλο.