Kim jest CISO? Portret współczesny

Pod skrótem składającym się z czterech liter CISO ukrywa się pracownik, który pełni jedną z ważniejszych ról w organizacji. To szef bezpieczeństwa informacji (ang. CISO – Chief Information Security Officer), którego zadaniem jest zapewnienie kompleksowego podejścia do cyberbezpieczeństwa. CISO wspiera wykrywanie zagrożeń, zapobiega ich materializacji i łagodzi skutki, jednocześnie pamiętając o misji organizacji. Dlaczego o nim dziś piszemy? 

Prognozy IDC wskazują, że 2022 rok może być punktem zwrotnym dla CISO.

Rola szefa bezpieczeństwa informacji będzie zyskiwała na znaczeniu, szczególnie w wyniku nowej, „zdalnej” rzeczywistości. CISO stanie się liderem biznesu, który zapewni zaufanie do organizacji pod wszystkimi względami, włączając bezpieczeństwo, zarządzanie ryzykiem i reputację.Takie są przewidywania. Rzućmy okiem, jak współcześnie postrzegany jest CISO. 

Tło do portretu

W ciągu ostatnich 12 miesięcy z zagrożeniem cyberatakiem miało do czynienia prawie 60% organizacji. Tymczasem, jak pokazuje badanie 22. Ogólnoświatowe Badanie Bezpieczeństwa Informacji EY (GISS – Global Information Security Survey), tylko co piąty zarząd firmy jest przekonany, że ma efektywne narzędzia chroniące przed cyberatakami, a prawie połowa nadal nie rozumie w pełni zagrożenia cyberataku na działalność swojej organizacji. W wielu organizacjach rola strażnika cyberbezpieczeństwa jest spychana na dalszy plan, niekiedy pełni ją np. zespół IT - ten sam, który odpowiada za działanie drukarek czy myszek. CISO to koszt dla organizacji, ale problemem, jak wskazują niektórzy, jest też znalezienie odpowiedniej osoby, posiadajacej wymagane kwalifikacje. 

Portret współczesnego CISO

Badanie EY pokazuje, że rola CISO powinna wyjść nieco daleko poza samą ochronę organizacji przed cyberatakami. Chociaż to wciąż powinna być część pracy szefa i zespołów bezpieczeństwa informacji, to jednak powinni oni pójść krok dalej i mieć wpływ na zmiany dokonywane w firmie. Przestać być hamulcem, a zacząć - motorem innowacji! 

Do tego, by CISO mogli wspierać mocniej biznes, potrzebna jest wiedza biznesowa, umiejętności komunikacyjne oraz ścisłej i proaktywnej współpracy z innymi działami firmy. Badanie EY pokazuje, że dziś tylko 7% z CISO potrafi ocenić z biznesowego punktu widzenia skutki finansowe cyberataków, 39% musi się doszkolić, a aż 23% w ogóle nie potrafi tego zrobić. 

Jak zauważają autorzy badania EY, CISO często stoi na samym końcu łańcucha danej zmiany w firmie, cyberbezpieczeństwo pozostaje jedynie dodatkiem, o którym myśli się kończąc projekt. Tymczasem powinno być zupełnie inaczej. 

Źródła:

• IDC Predictions 2020: prognozy technologiczne dla kadry zarządzającej, itwiz.pl, 

• Cyberbezpieczeństwo w centrum przemian biznesowych, EY.