client întreabă cine este CISO-ul nostru dar noi nu avem o funcție separată pentru asta

Lipsa unui CISO angajat nu este o problemă

Întrebarea cu privire la un CISO nu se referă la un titlu pe o vizită de cărți, ci la rol: cine este responsabil pentru securitatea informațiilor și securitatea cibernetică, și cui poate clientul să se adreseze dacă ceva se întâmplă. La întreprinderile mai mici, acest rol se află adesea la director, managerul IT sau la cineva care o face "în plus". Acesta este un răspuns valid, atâta timp cât poți desemna cine este și ce face persoana respectivă.

Răspundeți deci la întrebare cu funcția care îndeplinește efectiv rolul, nu cu "n.a.". Completare tipică: "rolul CISO este îndeplinit de [funcție], responsabil pentru [sarcini]". Aceasta se aliniază cu ceea ce clienții testează în practică: nu titlul, ci dacă există supraveghere asupra analiza riscurilor și securitatea sistemelor informaționale și dacă măsurile de securitate sunt testate periodic. Governance este tema de bază, nu o chestiune de personal.

Governance este independent de titlul funcției

Articolul 21 alineatul 2 al Directivei NIS2 (Directiva (UE) 2022/2555) enumeră zece categorii de măsuri, inclusiv politică privind analiza riscurilor și securitatea sistemelor informatice — titlul CISO nu apare în această listă. ISO/IEC 27001 funcționează cu aceeași logică: Anexa A cere responsabilități atribuite pentru securitatea informațiilor (adesea conform A.5, organizarea securității informațiilor), nu un anumit nume de funcție. Chestionarul clientului traduce de obicei această cerință în "cine este CISO-ul" pentru că acesta este termenul obișnuit în organizațiile mai mari, dar întrebarea de bază rămâne: este responsabilitatea atribuită. De îndată ce aceasta este documentată — chiar și într-o descriere de funcție a directorului — există o bază de fapt pentru un răspuns, chiar fără titlul în sine.