Zákazník sa pýta, kto je nášou CISO, ale nemáme na to samostatnú funkciu

Nemať CISO v službe nie je problém

Otázka týkajúca sa CISO nejde o názov na vizitke, ale o úlohu: kto je zodpovedný za bezpečnosť informácií a kybernetickú bezpečnosť a koho môže klient kontaktovať, ak sa niečo stane. V menších podnikoch často túto úlohu plní riaditeľ, IT manažér alebo osoba, ktorá to "robí okrem toho". To je platná odpoveď, pokiaľ viete náznak, kto to je a čo táto osoba robí.

Odpoveďte teda na otázku funkciou, ktorá úlohu skutočne plní, nie s "n.v.t.". Typické vyplnenie: "úlohu CISO plní [funkcia], zodpovedná za [úlohy]". To korešponduje s tým, čo klienti v praxi testujú: nie titulom, ale či existuje dohľad nad analýza rizík a bezpečnosť informačných systémov a či bezpečnostné opatrenia sú periodicky testované. Governance je základnou témou, nie otázkou týkajúcou sa personálu.

Governance je nezávislá od názvu funkcie

Článok 21 odsek 2 smernice NIS2 (Smernica (EÚ) 2022/2555) uvádza desať kategórií opatrení, vrátane politík týkajúcich sa analýzy rizík a bezpečnosti informačných systémov — CISO titul sa v tomto zozname nevyskytuje. ISO/IEC 27001 pracuje s rovnakou logikou: Príloha A vyžaduje pridelené zodpovednosti za bezpečnosť informácií (často v časti A.5, organizácia bezpečnosti informácií), nie špecifické meno funkcie. Zoznam otázok klienta zvyčajne preloží túto požiadavku na "kto je CISO" pretože ide o bežný výraz vo väčších organizáciách, ale základná otázka zostáva: je zodpovednosť pridelená. Akonáhle je to zaznamenaté — aj keď ide o popis funkcie riaditeľa — existuje faktický základ pre odpoveď, aj bez samotného titulu.