CISO Berjuang untuk Mendapatkan Status C-Suite Meski Ekspektasinya Meroket

CISO Berjuang untuk Mendapatkan Status C-Suite Meski Ekspektasinya Meroket

Stempel Waktu: 19 Januari 2024 1:05
Node Sumber: 3074236

CISO semakin banyak diminta untuk memikul tanggung jawab yang biasanya dianggap sebagai peran C-suite, namun tidak dianggap atau diperlakukan seperti itu di banyak organisasi, berdasarkan survei terbaru terhadap 663 eksekutif keamanan.

Survei ini dilakukan oleh IANS bekerja sama dengan Artico Search, dan menyurvei CISO mengenai berbagai isu terkait pekerjaan, tanggung jawab, dukungan manajemen, dan topik lainnya.

Sebanyak 75% dari mereka mengatakan mereka sedang mencari perubahan pekerjaan.

Harapan terhadap Peran CISO Telah Berubah

Tanggapan yang diberikan menunjukkan bahwa ekspektasi terhadap peran CISO telah berubah secara dramatis di organisasi sektor publik dan swasta, antara lain karena meningkatnya pengawasan dari regulator, dan meningkatnya tuntutan akan akuntabilitas atas pelanggaran keamanan.

Sebagai contoh, the Laporan survei menunjuk pada aturan-aturan seperti yang diadopsi oleh Securities and Exchange Commission (SEC) pada bulan Juli lalu yang mewajibkan perusahaan publik untuk melaporkan semua insiden keamanan material dalam waktu empat hari sejak insiden tersebut terjadi. Contoh lainnya adalah penerbitan Departemen Jasa Keuangan Negara Bagian New York (NYDFS). persyaratan keamanan siber baru untuk perusahaan jasa keuangan.

“Regulator kini meminta pertanggungjawaban CISO atas transparansi dan bahkan penipuan atas nama organisasi mereka,” kata laporan IANS dan Artico. Ada harapan yang semakin besar bahwa CISO terutama akan berfungsi sebagai fungsi manajemen risiko bisnis, dengan suara yang jelas pada pertemuan kepemimpinan eksekutif dan jalur komunikasi langsung dengan CEO dan C-suite. Namun, “meskipun ekspektasi peran dinaikkan ke Tingkat C, CISO kesulitan untuk dipandang seperti itu, dan peran CISO sering kali bukan bagian dari tim kepemimpinan senior.”

Survei tersebut misalnya menunjukkan bahwa meskipun lebih dari 63% CISO memiliki posisi setingkat wakil presiden atau direktur, hanya 20% yang berada di tingkat C-suite meskipun memiliki jabatan “kepala”. Dalam kasus organisasi dengan pendapatan lebih dari $1 miliar, jumlah tersebut bahkan lebih kecil lagi, yaitu 15%. Dari sudut pandang pelaporan, 90% CISO yang bermasalah setidaknya kehilangan dua atau lebih level organisasi dari CEO dan C-suite. Hanya 50% yang terlibat dengan dewan direksi perusahaan mereka setiap triwulan. Seperempat orang terlibat dengan dewan direksi hanya sekali atau dua kali per tahun, 12% bertemu dengan dewan hanya secara ad hoc, dan 13% melaporkan tidak memiliki kontak sama sekali dengan dewan.

Kurangnya Panduan untuk Tanggung Jawab CISO

Dalam banyak kasus, CISO yang menginginkan panduan risiko yang jelas dari dewan direksinya tidak memahaminya. Hampir sepertiga (36%) menggambarkan dewan direksi mereka memberikan wawasan yang cukup jelas mengenai tingkat toleransi risiko organisasi agar dapat ditindaklanjuti.

“Evolusi peran CISO selama beberapa tahun terakhir telah meningkat secara dramatis,” kata Nick Kakolowski, direktur penelitian di IANS. Dengan semakin banyaknya organisasi yang mendigitalkan operasi mereka, CISO mengambil lebih banyak tanggung jawab dan secara de facto menjadi pemilik risiko digital, katanya. “[Tetapi] organisasi-organisasi belum menemukan cara untuk mendukung dan memberdayakan mereka seiring dengan berkembangnya cakupan peran mereka.”

Kekhawatiran telah berkembang dalam komunitas CISO dalam beberapa tahun terakhir mengenai meningkatnya ekspektasi terhadap peran tersebut, meskipun kemampuan mereka untuk memenuhi ekspektasi tersebut sebagian besar tidak berubah. Insiden seperti yang terjadi pada Oktober lalu di mana SEC mendakwa CISO SolarWinds Tim Brown penipuan dan kegagalan pengendalian internal atas pelanggaran tahun 2020 di perusahaan, dan di mana hakim menghukum mantan Uber CISO Joe Sullivan hingga tiga tahun masa percobaan atas pelanggaran tahun 2016, telah memicu kekhawatiran tersebut. Meskipun ada perdebatan mengenai apakah tindakan terhadap eksekutif keamanan dalam insiden ini dapat dibenarkan, banyak yang berpendapat bahwa tidak adil jika meminta pertanggungjawaban mereka saja atas pelanggaran yang terjadi.

Bias Historis Terhadap Keamanan Sebagai Fungsi C-Level

Salah satu alasan mengapa banyak organisasi masih tidak menganggap peran CISO sebagai bagian dari C-suite adalah bias sejarah, kata Kakolowski. “CISO cenderung dianggap – sering kali secara tidak adil – sebagai teknisi yang tidak bisa memahami bahasa bisnis,” katanya, seraya menambahkan bahwa mereka sering kali cenderung dikucilkan dalam hal pengembangan keterampilan. Upaya-upaya yang dilakukan seringkali cenderung berfokus pada kemampuan teknis dan kepemimpinan tim, dibandingkan pada pengembangan keterampilan eksekutif.

Beberapa di antaranya juga merupakan kelembaman. Organisasi yang besar dan kompleks memerlukan waktu untuk menyesuaikan diri dengan tantangan baru dan perubahan organisasi.

“Tantangan terbesarnya adalah perjuangan untuk menemukan keselarasan antara CISO dan seluruh C-suite,” kata Kakolowski. “Para pemimpin bisnis mulai menyadari risiko kurang memanfaatkan CISO sebagai eksekutif bisnis, dan ada peluang bagi CISO untuk menunjukkan kemampuan mereka dalam menawarkan nilai kepada organisasi di luar back office.”

Meningkatkan peran CISO sebagaimana mestinya, di C-suite, dapat memberikan banyak manfaat, menurut Kakolowski. Menjadi bagian dari manajemen puncak memberikan CISO kesadaran dan visibilitas yang lebih baik mengenai tujuan organisasi, dan memudahkan mereka untuk berkolaborasi dengan pemangku kepentingan lainnya dalam manajemen risiko digital.

“Hal ini memposisikan CISO untuk lebih maju dalam menghadapi risiko, sehingga mengurangi gesekan yang mungkin terjadi ketika melakukan mitigasi risiko,” ujarnya.

Stempel Waktu:

Lebih dari Bacaan gelap