CISO walczą o status dyrektora naczelnego, mimo że oczekiwania gwałtownie rosną

CISO walczą o status dyrektora naczelnego, mimo że oczekiwania gwałtownie rosną

Znacznik czasu: 19 stycznia 2024 1:05
Węzeł źródłowy: 3074236

Nowe badanie przeprowadzone wśród 663 dyrektorów ds. bezpieczeństwa wykazało, że od CISO coraz częściej wymaga się podejmowania obowiązków, które normalnie uważa się za stanowiska na stanowiskach kierowniczych, ale w wielu organizacjach nie są oni postrzegani ani traktowani jako tacy.

Ankieta została przeprowadzona przez IANS we współpracy z Artico Search i obejmowała ankiety wśród CISO dotyczące różnych kwestii związanych z ich pracą, obowiązkami, wsparciem kierownictwa i innymi tematami.

Aż 75% z nich stwierdziło, że szuka zmiany pracy.

Oczekiwania wobec roli CISO uległy zmianie

Odpowiedzi pokazały, że oczekiwania dotyczące roli CISO zmieniły się dramatycznie w organizacjach sektora publicznego i prywatnego, między innymi ze względu na wzmożoną kontrolę ze strony organów regulacyjnych i rosnące wymagania dotyczące odpowiedzialności za naruszenia bezpieczeństwa.

Na przykład Raport z badania wskazał na zasady takie jak te przyjęte przez Papierów Wartościowych i Giełd (SEC) z lipca ubiegłego roku, które nakładają na spółki notowane na giełdzie obowiązek zgłaszania wszystkich istotnych incydentów związanych z bezpieczeństwem w ciągu czterech dni od zdarzenia. Innym przykładem jest wydawanie dokumentów przez Departament Usług Finansowych stanu Nowy Jork (NYDFS). nowe wymagania w zakresie cyberbezpieczeństwa dla firm świadczących usługi finansowe.

„Organy regulacyjne pociągają obecnie CISO do odpowiedzialności za przejrzystość, a nawet oszustwa w imieniu swoich organizacji” – stwierdzono w raporcie IANS i Artico. Rośnie oczekiwanie, że CISO będzie przede wszystkim pełnić funkcję osoby zarządzającej ryzykiem biznesowym, dysponującej wyraźnym głosem na spotkaniach kierownictwa wykonawczego i bezpośrednią linią komunikacji z dyrektorem generalnym i kadrą kierowniczą. Jednak „pomimo podniesienia oczekiwań związanych z rolą do poziomu C, CISO walczą o to, aby być postrzegani w ten sposób, a rola CISO często nie jest częścią wyższego zespołu kierowniczego”.

Badanie wykazało na przykład, że chociaż ponad 63% CISO zajmuje stanowisko wiceprezesa lub dyrektora, tylko 20% zajmuje stanowiska na stanowiskach kierowniczych pomimo posiadania w tytule słowa „szef”. W przypadku organizacji o przychodach przekraczających 1 miliard dolarów liczba ta jest jeszcze mniejsza i wynosi 15%. Z punktu widzenia raportowania niepokojące jest to, że 90% CISO nie ma co najmniej dwóch poziomów organizacyjnych usuniętych z dyrektora generalnego i kadry kierowniczej. Tylko 50% z nich kontaktuje się z zarządem swojej firmy raz na kwartał. Jedna czwarta współpracuje z zarządem tylko raz lub dwa razy w roku, 12% spotyka się z zarządem wyłącznie doraźnie, a 13% twierdzi, że w ogóle nie ma kontaktu z zarządem.

Brak wytycznych dotyczących odpowiedzialności CISO

W wielu przypadkach CISO, którzy chcą od zarządu jasnych wskazówek dotyczących ryzyka, nie dostają ich. Zaledwie ponad jedna trzecia (36%) określiła swój zarząd jako zapewniający im wystarczająco jasny wgląd w poziomy tolerancji ryzyka organizacji, aby mogli podjąć działania.

„Ewolucja roli CISO w ciągu ostatnich kilku lat dramatycznie przyspieszyła” – mówi Nick Kakolowski, dyrektor ds. badań w IANS. W miarę jak organizacje digitalizują coraz więcej swoich operacji, CISO przyjmują na siebie więcej obowiązków i stają się de facto właścicielami ryzyka cyfrowego – mówi. „[Ale] organizacje nie wymyśliły, jak je wspierać i wzmacniać pozycję w miarę zwiększania się zakresu ich roli”.

W ostatnich latach w społeczności CISO narosły obawy związane z rosnącymi oczekiwaniami dotyczącymi stanowiska, mimo że ich zdolność do spełnienia tych oczekiwań pozostała w dużej mierze niezmieniona. Incydenty takie jak ten w październiku ubiegłego roku, kiedy SEC oskarżyła Tima Browna, CISO SolarWinds oszustwa i błędy kontroli wewnętrznej w sprawie naruszenia w spółce w 2020 r. i gdzie sędzia skazał byłego CISO Ubera Joe Sullivana do trzech lat w zawieszeniu za naruszenie z 2016 r., podsyciły te obawy. Chociaż toczy się debata na temat tego, czy działania wobec osób odpowiedzialnych za bezpieczeństwo w tych incydentach były uzasadnione, wiele osób twierdzi, że niesprawiedliwe jest pociąganie ich wyłącznie do odpowiedzialności za naruszenia.

Historyczne uprzedzenia przeciwko bezpieczeństwu jako funkcji poziomu C

Jednym z powodów, dla których wiele organizacji nadal nie postrzega roli CISO jako przynależnej do kadry kierowniczej, są uprzedzenia historyczne, mówi Kakołowski. „CISO są zwykle postrzegani – często niesprawiedliwie – jako technicy, którzy nie znają języka biznesowego” – mówi, dodając, że często ignorują ich, jeśli chodzi o rozwój umiejętności. Wysiłki tam często skupiają się na możliwościach technicznych i kierowaniu zespołem, a nie na rozwoju umiejętności wykonawczych.

Część z nich to także bezwładność. Duże, złożone organizacje potrzebują czasu, aby dostosować się do nowych wyzwań i zmian organizacyjnych.

„Największym wyzwaniem jest walka o znalezienie porozumienia między CISO a resztą kadry kierowniczej” – mówi Kakołowski. „Liderzy biznesowi zaczynają zdawać sobie sprawę z ryzyka niedostatecznego wykorzystania CISO w roli dyrektorów biznesowych i istnieje dla nich szansa na wykazanie się zdolnością do oferowania wartości organizacji poza zapleczem.”

Podniesienie roli CISO tam, gdzie należy, czyli do kierownictwa, może przynieść wiele korzyści, argumentuje Kakołowski. Bycie częścią najwyższego kierownictwa zapewnia CISO lepszą świadomość i widoczność tego, dokąd zmierza organizacja, a także ułatwia współpracę z innymi interesariuszami w zakresie cyfrowego zarządzania ryzykiem.

„Dzięki temu CISO może wyprzedzać ryzyko, zmniejszając w ten sposób tarcia, które mogą wystąpić podczas łagodzenia ryzyka” – zauważa.

Znak czasu:

Więcej z Mroczne czytanie