PODROČJE: RAZUMEVANJE VLOGE CISO – LEKCIJA 5/100
Ena prvih napak, ki jih naredijo novi CISO-ji, je, da želijo odpraviti vse težave takoj. Takšen odziv je povsem razumljiv.
Prevzamejo novo vlogo in hitro opazijo zastarele sisteme, pomanjkljivo dokumentacijo, šibke varnostne ukrepe, nejasno določene odgovornosti, odprta tveganja, nedokončane projekte ter leta nakopičenega varnostnega dolga.
Prvi instinkt je običajno preprost; odpraviti vse, pospešiti vse aktivnosti, začeti čim več novih projektov, vendar lahko prav takšen pristop hitro postane težava. Če je vse nujno, potem v resnici nič ni zares prednostna naloga.
Zato se mora CISO že na začetku naučiti razlikovati med tem:
- kaj je kritično,
- kaj je pomembno,
- kaj predstavlja zgolj nepotreben šum,
- kaj je posledica organizacijskih ali političnih okoliščin,
- kaj je organizaciji že znano,
- kaj lahko še počaka,
- kaj zahteva poslovno odločitev,
- kaj zahteva dodatna finančna sredstva,
- in kdo je odgovoren za posamezno tveganje.
Poskus, da bi vse težave odpravili hkrati, lahko povzroči izgubo zaupanja, preobremeni ekipo in ustvari odpor do sprememb.
Prva naloga CISO-ja ni ustvariti kaosa v imenu varnosti. Njegova prva naloga je razumeti dejansko stanje organizacije, določiti prednostne naloge in ustvariti zagon za dolgoročne izboljšave.
Napredek na področju kibernetske varnosti ni odvisen samo od hitrosti. Odvisen je predvsem od pravilne usmeritve.
Dober CISO ne poskuša rešiti vseh težav že prvi dan ampak pripravi načrt, ki mu organizacija lahko dejansko sledi.