CISO a zarządzanie ryzykiem cyberbezpieczeństwa to temat, który coraz wyraźniej wykracza poza kompetencje działów IT i trafia na poziom zarządów. Jarosław Chałas w najnowszym artykule zwraca uwagę na właściwe zdefiniowanie funkcji CISO oraz jej znaczenie w kontekście regulacji takich jak NIS2, DORA czy AI Act.
Cyberbezpieczeństwo przez lata było postrzegane przede wszystkim jako zagadnienie techniczne, związane z ochroną infrastruktury, systemów i danych. Dziś takie podejście jest zbyt wąskie. Technologie są integralną częścią działalności przedsiębiorstw, a związane z nimi zagrożenia mogą wpływać na ciągłość działania, relacje z kontrahentami, bezpieczeństwo informacji, zgodność regulacyjną, a w konsekwencji także na decyzje podejmowane przez zarząd. Z tego powodu zmienia się również sposób, w jaki należy patrzeć na funkcję Chief Information Security Officera.
CISO a zarządzanie ryzykiem cyberbezpieczeństwa to relacja, której nie należy sprowadzać do odpowiedzialności za infrastrukturę IT. Jak wskazuje Jarosław Chałas, zadaniem CISO powinna być niezależna ocena ryzyka, identyfikowanie słabych punktów organizacji i stawianie pytań dotyczących bezpieczeństwa technologicznego z perspektywy całego przedsiębiorstwa. CISO nie zarządza więc wyłącznie technologią. Jego rola dotyczy przede wszystkim ryzyka, jakie wykorzystanie technologii tworzy dla organizacji.
Ma to praktyczne znaczenie dla sposobu umiejscowienia CISO w strukturze firmy. Jeżeli osoba odpowiedzialna za ocenę ryzyka jest jednocześnie odpowiedzialna za obszary, które tej ocenie podlegają, może pojawić się problem z zachowaniem odpowiedniej niezależności funkcji. Dlatego przedsiębiorcy powinni analizować nie tylko sam fakt powołania CISO, lecz także zakres jego kompetencji, sposób raportowania, relacje z działem IT oraz dostęp do osób podejmujących decyzje na poziomie zarządczym. Istotne jest jasne rozdzielenie odpowiedzialności operacyjnej od funkcji identyfikowania, oceny i komunikowania ryzyka.
Takie spojrzenie nabiera dodatkowego znaczenia w związku z regulacjami dotyczącymi technologii i bezpieczeństwa, w tym NIS2, DORA czy AI Act. Punkt ciężkości przesuwa się z pytania o to, czy konkretne systemy są odpowiednio zabezpieczone, na szerszą kwestię: czy organizacja potrafi właściwie identyfikować ryzyka technologiczne, przypisywać odpowiedzialność, zapewniać odpowiedni przepływ informacji oraz umożliwiać zarządowi rzeczywisty nadzór nad bezpieczeństwem. W praktyce oznacza to, że cyberbezpieczeństwo staje się elementem zarządzania przedsiębiorstwem, a nie wyłącznie domeną specjalistów technicznych.
Samo utworzenie stanowiska CISO nie rozwiązuje zatem problemu. Znaczenie ma to, jakie zadania zostaną przypisane tej funkcji i czy przyjęty model organizacyjny pozwala na niezależną ocenę zagrożeń. Jeżeli CISO ma dostarczać zarządowi informacji potrzebnych do podejmowania świadomych decyzji, powinien mieć możliwość przedstawiania ryzyk również wtedy, gdy ich ograniczenie wiąże się z kosztami, zmianą procesów albo koniecznością zakwestionowania wcześniej przyjętych rozwiązań. Z perspektywy przedsiębiorcy cyberbezpieczeństwo wymaga więc połączenia kompetencji technicznych, organizacyjnych i prawnych. Analiza obowiązków wynikających z regulacji powinna iść w parze z oceną wewnętrznego podziału odpowiedzialności, procedur raportowania i zasad nadzoru nad ryzykiem technologicznym. W tym zakresie prawo cyberbezpieczeństwa dla firm obejmuje nie tylko interpretację wymogów regulacyjnych, lecz także ich przełożenie na sposób funkcjonowania organizacji i odpowiedzialność poszczególnych osób.
O tym, dlaczego właściwe zdefiniowanie funkcji CISO ma dziś znaczenie nie tylko dla działów IT, ale przede wszystkim dla zarządów, Jarosław Chałas pisze w swoim najnowszym artykule.
