Érdekes tapasztalat megfigyelni egy-egy technológiai szerep kapcsán az átalakuló elvárásokat és az ezekkel párhuzamosan felbukkanó lehetőségeket, amelyek aztán új trendekké válnak. Ez az átalakulás a CIO-kat és CISO-kat sem kerüli el, így felmerül a kérdés: lehet egy személyben képviselni és hatékonyan vezetni ezeket a területeket, megfelelve a belső üzleti elvárásoknak, miközben a külső megfelelési követelmények egyre szigorodnak? Erről beszélgettünk Horváth Tamással, a Brightdea ügyvezetőjével.
◼︎ Újraértelmezés, együttműködés vagy kiszervezés – a CISO helye a szervezetben
„Azt gondolom, hogy a CIO-k és a CISO-k különböző célokat és igényeket fogalmaznak meg, ennek ellenére a versengés helyett partnerként, egymást kiegészítve érdemes együttműködniük. Persze nem lehet szó nélkül elmenni a CISO-k mellett sem, akiknek látványosan felértékelődött a szerepe, hiszen a digitális tér kitágulásával a kiberbiztonsági fenyegetettségeket és a védekezés jelentőségét már mindenki megérti”, mondta Horváth Tamás.
Ennek ellenére a CISO-k sok esetben még keresik a helyüket a vállalaton belül: vannak szervezetek, ahol a CIO alá tartozik az IT-biztonsági vezető, míg máshol a vállalati kockázati, jogi vagy üzemeltetési osztályon belül helyezkedik el. Egyre inkább terjed azonban az a tendencia, hogy a CISO a vezérigazgatónak tartozik beszámolási kötelezettséggel, ami üdvözítő, mivel a CISO az egész vállalatra kiterjedő egyedi nézőpontot képvisel.
Adódik a kérdés, hogy ezeket a szerepköröket betöltheti-e egyazon személy? „Azoknál a szervezeteknél, ahol pillanatnyilag egyik pozíció sincs betöltve, egy erős kiberbiztonsági vénával rendelkező informatikai vezető jó választás lehet a két funkció kialakításához a szervezeten belül, természetesen ennek a kockázatait figyelembe véve. Hosszú távon azonban a két funkcióhoz kötött feladatok kezelése kontraproduktívvá válhat, azaz sem a technológiai fejlődés, sem a megfelelő szintű biztonsági kontroll nem valósítható meg hatékonyan. Ekkor a feladatok szétválasztása mind a felelősség, mind pedig az ellenőrizhetőség szempontjából elengedhetetlenné válik”, folytatta Horváth Tamás.
A megoldást itt a kiszervezés hozhatja el. Ugyanis ott, ahol a vállalat mérete – akár gazdasági okból, akár a feladatok mennyisége miatt – nem indokolja a teljes munkaidős biztonsági szakértő alkalmazását, a CIO feladatkör bővítése helyett, kiváló megoldás lehet a CISO funkció kiszervezése.
„Szolgáltatóként nap mint nap tapasztaljuk, hogy partnereink számára jelentős előnnyel jár, hogy mind az informatikai üzemeltetés, mind pedig a információbiztonság területén aktívak vagyunk. Akár informatikai vezetőként, akár kiberbiztonsági megbízottként járunk el, a két terület kiegészítő és naprakész tudása segíti a belső kommunikációt, javítja a vállalati hatékonyságot, és képes biztosítani a megfelelőséget valamint a fenyegetettségek elleni védelmet”, árulta el Horváth Tamás.
