Még mindig előfordul, hogy a kiberbiztonsági projektek amolyan „kötelező” kiadásként jelennek meg a céges költségek között, ugyanakkor a board szintű nyitottság már egyre inkább jelen van, és az üzleti döntéshozók is tapasztalják az IT-biztonság növekvő fontosságát. Noha a Chief Information Security Officer így már nem magányos lovag, mégsem egyszerű keresztülvinni az akaratát a vezetésen, ha a kiberbiztonsági projektek „eladásáról” van szó. A CIO-val ápolt szövetségéről, a sikeres „eladás” rejtelmeiről, és a 21. században érvényesülést nyújtó eszköztárról három tapasztalt CISO-val beszélgettünk.
Az elmúlt egy évben nagyot változott a világ, nemcsak az üzleti döntéshozók, hanem a felhasználók is szembesültek az online tér kifogyhatatlan veszélyforrásaival, ennek számlájára írható, hogy az IT-biztonság és a CISO fogalma már nem beazonosíthatatlan kifejezésként lebeg az informatikát övező misztikus felhőben. Summa summarum: a koronavírus következtében senkit nem kell meggyőzni arról, hogy az IT-biztonság fontos, ugyanakkor vannak tényezők, amelyek hátráltatják ezen meggyőződés gyakorlatba való átültetését.
„Az elmúlt időszakban abszolút megváltozott a szervezetek biztonságfelfogása. Azt gondolom, hogy most már nem „eladni” kell az ötleteket, hanem megtanulni együttműködni a szervezeten belül a többi terület szereplőjével, és közösen meghozni azokat a döntéseket, amelyek összességében előre viszik az adott céget. Ezért minden esetben arra kell törekednie a CISO-nak, hogy meg tudja mutatni a többi stakeholdernek az előnyét az adott fejlesztésnek. De fontos látni azt is, hogy az IT-security nem öncélú, hanem a vállalat működését, előre jutását támogató terület”, fogalmazta meg Ragó István, az Erste Bank CISO-ja.
Az IT-biztonsági vezetők azonban nincsenek könnyű helyzetben. Egyrészt, mert a biztonsági fejlesztések többnyire költségesek, másrészt, mert ha jól végzik a feladatukat, akkor tevékenységük „láthatatlan”. Ez a két tényező már önmagában megnehezíti az „eladást”, hiszen a menedzsment csupán annyit érzékel, hogy óriási ráfordítást szántak a „semmire”.
Az „eladás” sikerének indikátorai
„Le kell jönni az elefántcsonttoronyból, és érthetően el kell mondani, alaposan meg is indokolni a különböző területek vezetőinek, hogy az adott informatikai környezetet miként és miért kell javítani. Azt gondolom, hogy egy jól előkészített prezentációt egy IT-biztonsági termékről szinte bárkinek el lehet adni, nem pozíciófüggő a megoldásra való nyitottság. Sokkal inkább az befolyásolja a fogadtatást, hogy a befogadó fél üzleti szemszögből tapasztalta-e már a saját bőrén a biztonsági incidensek következményeit. Ha nem, akkor az ehhez társuló szemléletmód az, ami megnehezíti a kiberbiztonsági projekt keresztülvitelét”, tette hozzá Hack András, a Stelius CISO-ja.
Az Egis Information Security Managere, Bódis Péter abban látja a CISO legfontosabb feladatát, hogy az felhívja a vállalatvezetés figyelmét a kockázatelemzések alapján a valós fenyegetésekre, és a lehető legmodernebb, komplex információs, elemző és értékelő rendszer segítségével megvédje a szervezetet a fenyegetésektől, biztosítva annak működését. „Fontos, hogy mindezt úgy tálaljuk a topmenedzsment felé, hogy megértse. Azt gondolom, hogy a CISO legfontosabb eszköze a kockázatelemzésen, a gyakorlatán és a szakmai tudásán túl a kommunikáció, kommunikáció a munkatársak felé, kommunikáció a döntéshozók felé, vagyis az információbiztonság tudatosítása, minden felelősségi szinten.”
A CISO-t három dolog segítheti az „eladásban”: a kockázatelemzés, a kommunikáció és a „történelem”, azaz olyan példák bemutatása, amelyekből a vállalatvezetés átérezheti az információbiztonság egyre fontosabb szerepét. A kommunikáció fontossága fentiek tükrében jól érthető, ugyanakkor a folyamatos kockázatelemzés szerepe mellett sem lehet elmenni szó nélkül, ugyanis ez az alapja a sikeres kommunikációnak”, mondta Bódis Péter.
CISO, mint a kockázatok ismerője, a megoldás szállítója és a CIO bajtársa
Ami a kockázatelemzést illeti, pozíció egyik lényege ebben ragadható meg. A CISO-nak a felső vezetés elé kell tárnia priorizálva, aktualizálva a kockázatokat, valamint melléjük kell tenni azokat a technológiákat és a hozzájuk tartozó költségeket, amelyekkel a kockázatot a megfelelő szintre lehet csökkenteni.
A CISO érdekérvényesítése kapcsán jogosan merül fel a CIO szerepköre és a kettejük kapcsolata. „A CIO-nak egyértelműen a CISO szövetségesének kell lennie. A bankszektorban ezek a szerepek függetlenek egymástól, és noha nem minden szektorban van így, de azt gondolom, hogy nem alá-fölérendeltségben, hanem egymás mellé rendelt viszonyban érdemes gondolkozni, hiszen a két szereplő nem az asztal ellentétes oldalán ül. Az IT-fejlesztések és kiberbiztonsági projektek keresztülvitele pedig csak együttműködés által valósulhat meg, emellett pedig a titok abban rejlik, hogy a CISO-nak is értenie kell az üzletet”, mondta Ragó István.
Hasonló véleményt fogalmazott meg Hack András is, aki a két IT-vezető együttműködésének értékét a fentieken túl abban látja, hogy a CIO az első, akihez a CISO a megfogalmazott biztonsági javaslattal fordulni tud, hiszen szakmai képzettségéből adódóan megérti azt, illetve rögtön véleményütköztetésre kerülhet sort, ami nagyban hozzájárul a végső javaslat kialakulásához.
Kiss Franciska
