Stranka vprašuje, kdo je naš CISO, vendar nimamo posebne funkcije zanj

Brez CISO v službi ni problem

Vprašanje po CISO-ju ne gre za naslov na vizitki, temveč za vlogo: kdo je odgovoren za varnost informacij in kibernetsko varnost ter koga lahko stranka kontaktira, če se kaj zgodi. Pri manjših podjetjih ta vloga pogosto pripada direktorju, IT-managerju ali komu, ki to "počne ob strani". To je veljaven odgovor, dokler lahko nakažeš, kdo je in kaj ta oseba počne.

Odgovori na vprašanje torej s funkcijo, ki vlogo dejansko opravlja, ne z "n.v.t.". Tipična izpolnitev: "vlogo CISO-ja opravlja [funkcija], odgovoren/-a za [naloge]". To se ujema s tem, kar stranke v praksi preverjajo: ne naslov, temveč ali obstaja nadzor nad analizo tveganja in zaščito informacijskih sistemov in ali so varnostni ukrepi periodično preverjeni. Upravljanje je temeljna tema, ne vprašanje kadrov.

Upravljanje je neodvisno od funkcijskega naslova

Člen 21(2) Direktive NIS2 (Direktiva (EU) 2022/2555) navaja deset kategorij ukrepov, vključno s politiko analize tveganja in varnosti informacijskih sistemov — naslov CISO se v tem seznamu ne pojavi. ISO/IEC 27001 uporablja isto logiko: Prilog A zahteva deljene odgovornosti za varnost informacij (pogosto pod A.5, organizacija varnosti informacij), ne pa določenega funkcijskega naziva. Vprašalnik stranke to zahtevo običajno prevede v "kdo je CISO" ker je to običajni izraz v večjih organizacijah, vendar osnovnega vprašanja ostaja: ali je odgovornost dodeljena. Takoj ko je to določeno — tudi če je le v opisu funkcije direktorja — obstaja dejanska osnova za odgovor, tudi brez samega naslova.