klient küsib, kes on meie CISO, kuid meil ei ole sellist eraldi funktsiooni

CISO puudumine teenistuses pole probleem

CISO-lt küsimine käib mitte tiitli kohta külastuskaardil, vaid rolli kohta: kes vastutab infosüsteemide turvalisuse ja küberjulgeoleku eest, ja kes on kliendiega ühenduses, kui midagi juhtub. Väiksematel ettevõtetel asub see roll sageli direktoril, IT-halduril või kellelgi, kes teeb seda "kõrval". See on kehtiv vastus, kui saate nimetada, kes see on ja mida see isik teeb.

Vastake seega küsimusele funktsiooniga, mis rolli tegelikult täidab, mitte "k.a.". Tüüpiline täitmine: "CISO roll täidetakse [funktsioon], vastutab [ülesanded]". See vastab sellele, mida kliendid praktikas kontrollida soovivad: mitte tiitlit, vaid kas järelevalve toimib riskianalüüs ja infosüsteemide kaitse ja kas turvameetmeid kontrollitakse perioodiliselt. Valitsemine on aluseks olev teema, mitte personaliotsus.

Valitsemine on sõltumatu funktsioonipealkirjast

NIS2-direktiivi artikli 21 lõige 2 (direktiiv (EL) 2022/2555) nimetab kümme meetmete kategooriat, sealhulgas riskianalüüsi ja infosüsteemide turvalisuse poliitika — CISO-tiitlit selles loendis ei ole. ISO/IEC 27001 rakendab sama loogikat: Lisa A nõuab infosüsteemide turvalisuse jaoks määratud vastutust (sageli Lisa A.5 jaotises, infosüsteemide turvalisuse korraldus), mitte konkreetset funktsiooninimetust. Kliendi küsimustik tõlgib selle nõude tavaliselt "kes on CISO"-ks, kuna see on suurematel organisatsioonidel levinud termin, kuid aluseks jääv küsimus: kas vastutus on määratud. Niipea kui see on dokumenteeritud — isegi kui see sisaldub direktori funktioonikirjelduses — on faktilise vastuse jaoks olemas alus, isegi ilma tiitlita.