klients jautā, kurš ir mūsu CISO, bet mums nav atsevišķas funkcijas tam

Nav CISO darbinieka — tas nav problēma

Jautājums par CISO nav par titulu uz vizītkartes, bet par lomu: kurš ir atbildīgs par informācijas drošību un kiberdrošību, un kurš var runāt ar klientu, ja kaut kas notiek. Mazākos uzņēmumos šo lomu bieži pilda direktors, IT vadītājs vai kāds, kurš to dara "papildus". Tas ir derīgs atbildums, ja tu vari norādīt, kurš tas ir un ko viņš dara.

Atbildi uz jautājumu ar tās funkcijas, kura lomu patiešam pilda, nevis ar "nav attiecināms". Tipiski aizpildījums: "CISO lomu pilda [funkcija], atbildīgs par [uzdevumiem]". Tas saskan ar to, ko klients praksē pārbauda: nevis titulu, bet vai ir uzraudzība riska analīzi un informācijas sistēmu aizsardzību un vai drošības pasākumi tiek periodiski pārbaudīti. Pārvaldība ir pamatjautājums, nevis personāla jautājums.

Pārvaldība nav atkarīga no funkcijas titula

NIS2 direktīvas (Direktīva (ES) 2022/2555) 21. panta 2. punkts nosaka desmit pasākumu kategorijas, tajā skaitā politiku attiecībā uz risku analīzi un informācijas sistēmu aizsardzību — CISO tituls šajā sarakstā neparādās. ISO/IEC 27001 darbojas pēc tāda paša principa: A pielikums prasa piešķirtās atbildības par informācijas drošību (bieži vien A.5 sadaļā, informācijas drošības organizācijā), nevis konkrētu funkcijas nosaukumu. Klienta jautājumu saraksts parasti to pārtulko kā "kurš ir CISO", jo tas ir izplatīts termins lielākās organizācijas, bet pamatjautājums paliek tas pats: vai atbildības ir piešķirtas. Tiklīdz tas ir dokumentēts — pat ja tas atrodas direktora funkcijas aprakstā — pastāv faktiski pamats atbildei, arī bez paša titula.