vCISO - cóż to takiego?

Coraz więcej organizacji jest świadomych zagrożeń bezpieczeństwa czyhających na ich dane. Większość z nich nie posiada jednak do tego odpowiednich zasobów w postaci zespołu zarządzającego bezpieczeństwem nadzorowanego przez szefa bezpieczeństwa – CISO. Ze względu na to, że znalezienie kompetentnego CISO nie jest łatwe, wiele podmiotów próbuje zaangażować do tej roli szefa IT, co prowadzi do zmniejszenia efektywności działu IT i potencjalnego konfliktu interesu – CISO powinien nadzorować CIO.

• CISO jest osobą odpowiadającą za całość bezpieczeństwa w organizacji.
• CISO zwykle pełni rolę doradczą lub nadzorczą, dlatego w organizacji powinny być powołane inne role, które dostarczą CISO odpowiedniej wiedzy i będą realizowały zadania na poziomie operacyjnym, takie jak: IOD, CIO, audyt wewnętrzny i inne.

Bezpieczeństwo to gra zespołowa

Wiele organizacji nie jest w stanie poradzić sobie z budową efektywnego zespołu bezpieczeństwa. Powody są różne, ale najczęściej wymieniane są trzy:

• Brak kompetencji do budowy takiego zespołu
• Brak środków na jego utrzymanie
• Niski poziom dojrzałości organizacji

Dla takich organizacji najłatwiejszym i najszybszym w realizacji wyjściem jest skorzystanie z usługi wirtualnego CISO – vCISO. Nie mam tu na myśli body leasingu, jak zasugerowałem w tytule. Usługa vCISO jest kompleksowym podejściem do bezpieczeństwa informacji polegającym na dostarczeniu całego zespołu dla zapewnienia kompleksowego bezpieczeństwa.

Jakie role zastępuje szef bezpieczeństwa CISO

Wśród ról, jakie może zastąpić takie podejście są:

• Pełnomocnik zarządu ds. bezpieczeństwa (Information Security Officer, ISO) – doradca Zarządu w zakresie bezpieczeństwa na poziomie strategii organizacji
• Manager ds. zarządzania zgodnością (compliance manager) – zapewnia zgodność procedur z prawem i wytycznymi wewnętrznymi,
• Manager ds. zarządzania ryzykiem (Risk manager) – realizuje proces zarządzania ryzykiem w oparciu o ustaloną metodykę i strategię zarządzania bezpieczeństwem,
• Inspektor ochrony danych, IOD (Data Protection Officer, DPO) – odpowiada za zgodność procesów przetwarzania danych osobowych z wymaganiami RODO na poziomie nadzorczym,
• Koordynator ds. ochrony danych osobowych (Personal Data Coordinator) – realizuje operacyjne procedury zarządzania danymi osobowymi, np. uzupełnianie rejestrów, wspieranie działów biznesowych, obsługa zgłoszeń
• Inżynier ds. bezpieczeństwa – implementuje opracowane polityki bezpieczeństwa w rozwiązaniach technicznych mających wspierać zarządzania bezpieczeństwem
• Audytor – weryfikuje czy organizacja stosuje się do opracowanych wymagań i czy robi to w sposób właściwy,
• Pentester – weryfikuje czy systemy, na których pracuje organizacja zostały właściwie zaprojektowane i zabezpieczone.

Więcej na ten temat przeczytacie Państwo na stronie https://grantthornton.pl/