PODROČJE: RAZUMEVANJE VLOGE CISO – LEKCIJA 8/100
CISO ni lastnik vseh kibernetskih tveganj.
To je ena najpomembnejših stvari, ki jih morajo organizacije razumeti.
CISO lahko prepozna:
- Tveganje
- Oceni tveganje.
- Priporoči varnostne ukrepe.
- Poroča o tveganjih.
- Opozori na slabe odločitve.
- Pomaga določiti, kaj je treba storiti.
Vendar CISO ne more biti lastnik vseh poslovnih tveganj, ki nastajajo zaradi tehnologije, procesov, dobaviteljev, zaposlenih in odločitev v organizaciji.
Če ima kritična poslovna aplikacija pomanjkljive varnostne kontrole, CISO ni samodejno lastnik tega tveganja.
Če je poslovni proces odvisen od nevarnega ali nezadostno varnega začasnega načina dela, mora biti v odločanje vključen tudi lastnik poslovnega procesa.
Če dobavitelj predstavlja operativno ali varnostno tveganje, imajo svojo vlogo nabava, pravna služba, informatika in lastnik poslovnega procesa.
Če vodstvo sprejme preostalo tveganje, mora biti takšna odločitev jasno vidna in zanjo mora obstajati odgovornost.
Tveganja informacijske varnosti so odgovornost celotne organizacije.
Naloga CISO je, da ta tveganja naredi vidna, razumljiva in obvladljiva.
To ne pomeni izogibanja odgovornosti ampak pomeni vzpostavljanje dejanske odgovornosti.
Če organizacija vsa tveganja prenese na CISO, se v resnici izogne lastni odgovornosti.
Ko je lastništvo tveganj jasno določeno, so tudi odločitve na področju informacijske varnosti bistveno boljše.