Tai veikimo modelis, o ne tik pareigybė
Informacijos saugos vadovas sujungia verslo prioritetus, technologines priklausomybes, reguliacinius įsipareigojimus ir realią grėsmių aplinką. Jo vertė atsiranda tuomet, kai vadovybė gauna aiškų rizikos vaizdą, komandos žino savo atsakomybes, o saugumo darbai turi savininkus ir terminus.
Virtualus CISO iš esmės atlieka tą pačią funkciją išoriniu arba dalinio etato modeliu. Strateginis akcentas gali būti stipresnis, tačiau praktiškai paslauga dažnai apima ir ISMS, incidentų, tiekėjų, auditų, mokymų bei klientų klausimynų koordinavimą.
Šeši požymiai, kad organizacijai jau reikia šio vaidmens
Reguliuojamose organizacijose šį poreikį papildomai sustiprina tiesioginė vadovybės atsakomybė. DORA valdymo organui priskiria galutinę atsakomybę už ICT riziką, o NIS2 numato vadovybės dalyvavimą tvirtinant ir prižiūrint kibernetinio saugumo priemones. Tai nereiškia, kad vadovai turi tapti techniniais specialistais – jiems reikia patikimo valdymo mechanizmo ir tinkamos informacijos sprendimams.
- Saugumo užduotys išskaidytos tarp kelių komandų, bet niekas nevaldo bendro prioriteto ir pažangos.
- Klientų klausimynai, auditai ar reguliaciniai terminai nuolat sukelia skubius vienkartinius projektus.
- Vadovybė gauna techninių radinių sąrašus, tačiau nemato verslo poveikio, likutinės rizikos ir reikalingų sprendimų.
- Tiekėjų, debesijos ar svarbių technologinių pokyčių sprendimai priimami be nuoseklaus saugumo vertinimo.
- Politikos ir rizikų registras egzistuoja, bet kontrolės savininkai, įrodymai bei peržiūros nėra valdomi nuolat.
- Incidentai kartojasi, o jų pamokos nevirsta konkrečiais procesų, technologijų ar mokymų pakeitimais.
Kokį bendradarbiavimo modelį pasirinkti?
Svarbu iš anksto sutarti mandatą: kokius sprendimus vadovas rengia ar priima, kam atsiskaito, kokias komandas koordinuoja ir kokie rezultatai bus matuojami. Be aiškaus mandato išorinis vaidmuo gali tapti tik dar vienu konsultantu, pateikiančiu rekomendacijas be įgyvendinimo atsakomybės.
- Nuolatinė pareigybė tinka, kai saugumo darbų apimtis didelė, yra atskira komanda ir kasdien reikia daug vidinio koordinavimo.
- Dalinis arba išorinis informacijos saugos vadovas tinka, kai reikalinga nuosekli lyderystė, bet pilnos pareigybės apimtis dar nepagrįsta.
- Projektinis modelis tinka konkrečiam tikslui – pavyzdžiui, ISO 27001 diegimui, DORA ar NIS2 pasirengimui, auditui arba saugumo programos atkūrimui.
- Pereinamojo laikotarpio modelis tinka, kai nuolatinio vadovo ieškoma, tačiau saugumo valdymas negali sustoti.
Ko tikėtis per pirmąsias 90 dienų
Geras pradinis etapas nekuria dešimčių naujų politikų vien todėl, kad jų trūksta sąraše. Jis pirmiausia nustato, kokius sprendimus organizacija turi priimti ir kokios kontrolės priemonės svarbiausios jos paslaugoms bei rizikai.
- Svarbiausių paslaugų, informacinio turto, priklausomybių ir įsipareigojimų vaizdo.
- Atnaujinto svarbiausių rizikų registro ir vadovybei suprantamų rizikos scenarijų.
- Prioritetinio 6–12 mėnesių plano su savininkais, terminais ir priklausomybėmis.
- Aiškaus incidentų, tiekėjų, pažeidžiamumų, prieigų, mokymų ir kontrolės įrodymų peržiūros ritmo.
- Trumpos vadovybės ataskaitos, kurioje atskiriami faktai, sprendimai, pažanga ir priimta likutinė rizika.
Kaip atpažinti gerą rezultatą
Po kelių mėnesių organizacijoje turėtų būti mažiau netikėtų skubių darbų, aiškesni kontrolės savininkai ir geresnis vadovybės supratimas, kur rizika mažėja, kur ji išlieka ir kokio sprendimo reikia. Dokumentai yra svarbūs, tačiau tik kaip veikiančio valdymo įrodymai.
Jeigu saugumo vadovo paslauga matuojama tik parengtų dokumentų skaičiumi, greičiausiai vertinama ne tai, kas svarbiausia. Vertę geriau rodo sprendimų greitis, uždarytos esminės spragos, veikiančios kontrolės, incidentų pasirengimas ir vadovybės gebėjimas sąmoningai priimti likutinę riziką.
Oficialūs šaltiniai
Glesum