PODROČJE: RAZUMEVANJE VLOGE CISO – LEKCIJA 3/100
Ko govorimo o kibernetski varnosti, pogosto najprej pomislimo na požarne zidove (firewall), sisteme SIEM ali penetracijska testiranja. Vse to so pomembni elementi sodobne varnostne strategije, vendar predstavljajo le del celotne slike.
Številni CISO-ji na začetku svoje poti hitro zapadejo v razmišljanje, da je njihovo delo predvsem upravljanje varnostnih orodij, spremljanje opozoril, odpravljanje ranljivosti in reševanje tehničnih izzivov.
V resnici je to le eden od vidikov njihove odgovornosti.
Uspešen CISO mora enako pozornost nameniti tudi področjem, kot so:
- upravljanje kibernetske varnosti (governance),
- lastništvo in upravljanje tveganj,
- pripravljenost na varnostne incidente,
- upravljanje tveganj tretjih ponudnikov,
- skladnost z regulatornimi zahtevami,
- razvoj varnostne kulture,
- načrtovanje proračuna,
- določanje prioritet,
- zagotavljanje dokazljivosti varnostnih ukrepov,
- komunikacija z vodstvom,
- odgovornost in odločanje.
Požarni zid lahko zmanjša določeno tveganje.
Sistem SIEM lahko zazna sumljive aktivnosti.
Penetracijsko testiranje lahko odkrije varnostne pomanjkljivosti.
Vendar nobena od teh rešitev sama po sebi še ne pomeni zrelega programa kibernetske varnosti.
Resnična zrelost nastane takrat, ko so tehnični varnostni ukrepi povezani z jasno določenimi procesi, odgovornostmi, poročanjem in poslovnimi odločitvami.
Ključno vprašanje zato ni zgolj:
»Ali imamo ustrezno varnostno orodje?«
Temveč:
»Ali razumemo, katero tveganje to orodje zmanjšuje? Kdo je odgovoren za proces? Kdo pregleduje rezultate? In kako bomo ukrepali, če gre kaj narobe?«
Tehnologija je nedvomno pomembna.
Toda tehnologija brez učinkovitega upravljanja je zgolj drag alarmni sistem.