il cliente chiede chi è il nostro CISO ma non abbiamo una funzione separata per questo

Non avere un CISO in servizio non è un problema

La domanda su un CISO non riguarda un titolo su un biglietto da visita, ma il ruolo: chi è responsabile della sicurezza delle informazioni e della cybersecurity, e chi può contattare il cliente se c'è un problema. Nelle aziende più piccole, questo ruolo spesso ricade sul direttore, sul manager IT o su qualcuno che lo "fa in aggiunta". Questa è una risposta valida, purché tu possa indicare chi è e cosa fa quella persona.

Rispondi quindi alla domanda con la funzione che effettivamente ricopre il ruolo, non con "n.a.". Compilazione tipica: "il ruolo di CISO è ricoperto da [funzione], responsabile di [compiti]". Questo corrisponde a ciò che i clienti verificano nella pratica: non il titolo, ma se esiste una supervisione su analisi dei rischi e protezione dei sistemi informativi e se la le misure di sicurezza sono verificate periodicamente. La governance è il tema di fondo, non una questione di personale.

La governance è indipendente dal titolo della funzione

L'articolo 21, paragrafo 2, della direttiva NIS2 (Direttiva (UE) 2022/2555) elenca dieci categorie di misure, tra cui la politica in materia di analisi dei rischi e di protezione dei sistemi informativi — un titolo di CISO non figura in questo elenco. ISO/IEC 27001 utilizza la stessa logica: l'Allegato A richiede responsabilità assegnate per la sicurezza delle informazioni (spesso secondo A.5, organizzazione della sicurezza delle informazioni), non un nome di funzione specifico. Il questionario del cliente di solito traduce questo requisito in "chi è il CISO" perché questo è il termine comune nelle organizzazioni più grandi, ma la domanda sottostante rimane: la responsabilità è stata assegnata. Non appena ciò è documentato — anche se solo nella descrizione della funzione del direttore — esiste una base fattuale per una risposta, anche senza il titolo stesso.