Ne dobite vodje kibernetske varnosti? Imamo rešitev.

NIS2 in sorodna zakonodaja jasno sporočajo: kibernetska varnost ni več zgolj naloga IT-oddelka. Gre za odgovornost uprave in vodstva za ustrezno upravljanje kibernetske varnosti, kjer se od vodstev pričakuje aktivna vloga, razumevanje tveganj in sprejemanje utemeljenih odločitev.

Neustrezno upravljanje informacijske varnosti tako ni več zgolj operativno tveganje, temveč lahko pomeni tudi osebno odgovornost vodstvenih oseb, vključno z nadzornimi ukrepi ali sankcijami.

Vprašanje torej ni več, ali mora podjetje poskrbeti za celovito kibernetsko varnost, temveč kako jo bo zagotovilo na učinkovit in vzdržen način.

Kaj CISO pomeni v praksi?

Nove zahteve v praksi pomenijo, da morajo organizacije poskrbeti za imenovanje osebe ali funkcije, ki celovito pokriva področje kibernetske varnosti – najpogosteje v obliki vloge CISO (Chief Information Security Officer).

CISO ni le strokovnjak za tehnično področje kibernetske varnosti, pač pa njegove naloge povezujejo poslovne cilje, zakonodajne zahteve in obvladovanje tveganj. Deluje kot vezni člen med upravo, IT-jem, pravno službo in zunanjimi partnerji, ob tem pa skrbi, da so varnostni ukrepi sorazmerni dejanskim tveganjem.

To pomeni, da mora med drugim poskrbeti za:

• razvoj in nadzor izvajanja strategije informacijske varnosti
• ocenjevanje in obvladovanje kibernetskih tveganj
• spremljanje skladnosti z zakonodajo in standardi
• koordinacijo odziva na incidente ter poročanje vodstvu

Idealna rešitev za vsa podjetja

Ob vseh teh novostih pa se številne organizacije – zlasti mala in srednja podjetja ter javni subjekti – soočajo z zelo realnim problemom: izkušenega CISO kadra je na trgu malo, poleg tega pa je redna zaposlitev takšnega strokovnjaka zanje pogosto prevelik strošek.

Vloga CISO je v teh primerih zato pogosto razdrobljena in urejena le toliko, da ustreza formalnostim, a brez prave vsebine. Posledično je pripravljenost na incidente pogosto pomanjkljiva, kar predstavlja tudi povečano osebno tveganje za vodstva.

Pri takšnih izzivih je ena od rešitev model CISO na zahtevo. Gre za pristop, pri katerem podjetje za vlogo vodje informacijske varnosti vključi zunanjega strokovnjaka le v določenem obsegu.

Kaj vse omogoča CISO na zahtevo?

• dostop do izkušenega strokovnega znanja brez zaposlovanja
• neodvisen in objektiven pogled na varnostno stanje
• podporo pri izpolnjevanju zahtev NIS2, ZInfV-1 in GDPR
• strokovno podporo vodstvu pri varnostnih in investicijskih odločitvah

Zanesljiva varnost in strokovnost z nižjimi stroški

Model CISO na zahtevo se v praksi izkaže predvsem pri manjših podjetjih in organizacijah, ki nimajo lastnega internega CISO kadra ter v podjetjih, ki so v procesu usklajevanja z NIS2 in ZInfV-1.

Hkrati je lahko močna podpora tudi za vodstva, ki želijo jasne in razumljive informacije o varnostnih tveganjih, ter za varnostne ekipe, ki potrebujejo podporo pri presojah, incidentih ali uvajanju varnostnih ukrepov.

Pomanjkanje sredstev in kadra tako ni več ovira pri zagotavljanju kibernetske varnosti podjetja – s CISO na zahtevo poskrbite, da bo to področje v vašem podjetju urejeno, stroškovno učinkovito in v rokah izkušenih strokovnjakov.