CISO se luptă pentru statutul C-Suite, chiar dacă așteptările cresc vertiginos

CISO se luptă pentru statutul C-Suite, chiar dacă așteptările cresc vertiginos

Marca temporală: 19 ianuarie 2024 1:05
Nodul sursă: 3074236

CISO li se cere din ce în ce mai mult să-și asume responsabilitățile a ceea ce ar fi în mod normal considerat un rol C-suite, dar fără a fi priviți sau tratați ca atare în multe organizații, a arătat un nou sondaj efectuat pe 663 de directori de securitate.

Sondajul a fost realizat de IANS în colaborare cu Artico Search și a chestionat CISO cu privire la o varietate de probleme legate de locurile lor de muncă, responsabilitățile lor, suportul de management și alte subiecte.

75% dintre ei au spus că caută o schimbare de loc de muncă.

Așteptările pentru rolul CISO s-au schimbat

Răspunsurile au arătat că așteptările pentru rolul CISO s-au schimbat dramatic la organizațiile din sectorul public și privat din cauza, printre altele, a controlului sporit din partea autorităților de reglementare și a cererilor tot mai mari de răspundere pentru încălcările de securitate.

Ca exemplu, raport al sondajului a subliniat reguli precum cele adoptate de Securities and Exchange Commission (SEC) în iulie anul trecut, care solicită companiilor cotate la bursă să raporteze toate incidentele materiale de securitate în termen de patru zile de la producerea incidentului. Un alt exemplu este emiterea Departamentului de Servicii Financiare de Stat din New York (NYDFS). noi cerințe de securitate cibernetică pentru companiile de servicii financiare.

„Acum, autoritățile de reglementare îi țin la răspundere pe CISO pentru transparență și chiar pentru fraudă în numele organizațiilor lor”, se arată în raportul IANS și Artico. Există o așteptare din ce în ce mai mare că CISO va servi în primul rând ca o funcție de management al riscului de afaceri, cu o voce clară la întâlnirile conducerii executive și o linie directă de comunicare cu CEO și C-suite. Cu toate acestea, „în ciuda faptului că așteptările privind rolurile sunt ridicate la nivel C, CISO se luptă să fie văzuți ca atare, iar rolul CISO nu face adesea parte din echipa de conducere senior”.

Sondajul a arătat, de exemplu, că, în timp ce mai mult de 63% dintre CISO au o funcție de vicepreședinte sau de director, doar 20% sunt la nivel de conducere, în ciuda faptului că au „șef” în titlu. În cazul organizațiilor cu venituri de peste 1 miliard de dolari, acest număr este și mai mic, de 15%. Din punct de vedere al raportării, 90% dintre CISO sunt cel puțin două sau mai multe niveluri organizaționale îndepărtate de CEO și C-suite. Doar 50% interacționează trimestrial cu consiliul companiei lor. Un sfert se interacționează cu consiliul doar o dată sau de două ori pe an, 12% se întâlnesc cu consiliul doar ad-hoc, iar 13% raportează că nu au niciun contact cu consiliul.

O lipsă de îndrumări pentru responsabilitatea CISO

În multe cazuri, CISO care doresc îndrumări clare privind riscurile din partea consiliului lor de administrație nu o primesc. Abia mai mult de o treime (36%) și-au descris consiliul de administrație ca oferindu-le o perspectivă suficient de clară asupra nivelurilor de toleranță la risc ale organizației lor pentru ca aceștia să acționeze.

„Evoluția rolului CISO în ultimii ani s-a accelerat dramatic”, spune Nick Kakolowski, director de cercetare la IANS. Cu organizațiile care își digitalizează mai multe operațiuni, CISO își asumă mai multe responsabilități și au devenit de facto proprietari ai riscului digital, spune el. „[Dar] organizațiile nu și-au dat seama cum să le susțină și să le împuternicească pe măsură ce sfera rolului crește.”

Preocupările au crescut în cadrul comunității CISO în ultimii ani cu privire la creșterea așteptărilor în jurul rolului, chiar dacă capacitatea lor de a îndeplini aceste așteptări a rămas în mare parte neschimbată. Incidente precum unul din octombrie anul trecut, în care SEC l-a acuzat pe Tim Brown de CISO SolarWinds fraudă și eșecuri ale controlului intern peste încălcarea din 2020 la companie și unde un judecător l-a condamnat pe fostul CISO Uber Joe Sullivan la trei ani de încercare pentru o încălcare din 2016, au alimentat aceste preocupări. Deși există o anumită dezbatere cu privire la faptul dacă acțiunile împotriva directorilor de securitate în aceste incidente au fost justificate, mulți au susținut că este nedrept să-i tragem singuri la răspundere pentru încălcări.

Prejudecăți istorice împotriva securității ca funcție de nivel C

Unul dintre motivele pentru care multe organizații încă nu percep rolul CISO ca aparținând grupului C este părtinirea istorică, spune Kakolowski. „CISO tind să fie percepuți – adesea în mod incorect – ca tehnicieni care nu pot vorbi limbajul afacerii”, spune el, adăugând că deseori au tendința de a fi izolat atunci când vine vorba de dezvoltarea competențelor. Eforturile de acolo tind adesea să se concentreze pe capacitățile tehnice și conducerea echipei, mai degrabă decât pe dezvoltarea abilităților executive.

O parte din ea este și inerție. Organizațiile mari și complexe au nevoie de timp pentru a se adapta la noile provocări și schimbări organizaționale.

„Cea mai mare provocare este lupta de a găsi alinierea între CISO și restul C-suite”, spune Kakolowski. „Liderii de afaceri încep să devină conștienți de riscul de subutilizare a CISO ca directori de afaceri și există o oportunitate pentru CISO de a-și demonstra capacitatea de a oferi valoare organizației dincolo de back office.”

Ridicarea rolului CISO acolo unde îi aparține, în C-suite, poate avea multe beneficii, susține Kakolowski. A face parte din managementul de vârf oferă CISO o mai bună conștientizare și vizibilitate în direcția în care se îndreaptă organizația și îi facilitează colaborarea cu alte părți interesate în managementul riscului digital.

„Pozitionează CISO pentru a trece înaintea riscurilor, reducând astfel frecarea care poate apărea atunci când atenuează riscurile”, notează el.

Timestamp-ul:

Mai mult de la Lectură întunecată