meil pole CISO-t, kes ma täidan turvalisuse eest vastutavaks

Funktsioonititle pole vajalik, kuid vajalik on määratav roll

Artikkel 21 lõige 2 NIS2 ei nõua CISOt. Kusagil ei ole kirjutatud, et funktsioonititle on kohustuslik — direktiiv nõuab "asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja organisatsioonilisi meetmeid" ning nende kohal olevat juhtimist. Mida sa peaksid suutma täita, on see, kes siseselt otsustab infoturbealaseid küsimusi ja kes sellest direktsioonile raporteerimisel vastutab. Väiksemas ettevõttes on see sageli direktsioon ise, IT-juhataja, kellel on turvalisus osalise ülesandena, või väliselt järjepidevalt palgatud osapool. Täida see roll nime või funktsiooniga, mitte sõnadega "keegi" ja mitte funktsioonititlega, mis tegelikult ei olemas.

Millele peaksid tähelepanu pöörama: klienti ei huvita titel, vaid tõendatavus. Kas sa saad näidata, et keegi vastutab riskianalüüsi ja infosüsteemide turvamise poliitikaja et sama või teine määratud isik on ka kontaktisik turvaintsidentide? See on üldjuhul nõutav tõenduskandja: organisatsioonistruktuur, RACI-tabel või lihtsalt osa poliitikadokumendist, kus roll ja volitused on määratletud. Kui sa pole seda fikseerinud, siis vastus "ei" koos selgitusega, et direktsioon kannab seda vastutust, on ausam vastus kui väljamõeldud funktsioon.

Kust see tuleneb: artiklist 21 lg 2 alajaotis a NIS2 ja Lisast A 5.2 ISO 27001

Artikli 21 lg 2 alajaotis a nimetab "riskianalüüsi ja infosüsteemide turvalisuse poliitikat" kümne meetme esimesena, ja juhtimis- ja haldusfunktsioon on selle puhul kaudne osa: ilma määratud vastutavata isikuta pole poliitika rakendatav ega kontrollitav. ISO/IEC 27001 muudab selle otseseks Lisas A 5.2 "information security roles and responsibilities", kus küll rolli küsitakse, kuid mingit konkreetset ametinimetust ei nõuta. Kui täidad seda nimekirja ilma ISO-sertifikaadita, on eriti oluline, et rollide jaotus kuhugi kirjalikult fikseeritud oleks — see aitab vastata küsimusele kas ettevõte on ISO 27001-sertifikaadiga, kus sul muidu käed tühjad jäävad.