Kas yra CISO? Ši santrumpa reiškia „Chief Information Security Officer“ – informacijos arba kibernetinio saugumo vadovą. Jo užduotis nėra pačiam prižiūrėti kiekvieną serverį ar tirti visus įtartinus laiškus. CISO padeda vadovybei suprasti, kokios skaitmeninės rizikos gali sutrikdyti verslą ir ką reikia padaryti, kad jos būtų valdomos.
Dar prieš kelerius metus tokia funkcija daugiausia buvo siejama su bankais, telekomunikacijų bendrovėmis ir kitomis didelėmis organizacijomis. Dabar jos prireikia ir vidutinėms įmonėms, kurios dirba reguliuojamuose sektoriuose, tvarko jautrius duomenis arba turi atsakyti į vis išsamesnius klientų saugumo klausimynus.
Vis dėlto reguliavimas nebūtinai reikalauja pareigybės, kurios pavadinime būtų CISO. Jis reikalauja aiškios atsakomybės, rizikos valdymo, veikiančių procesų ir vadovybės priežiūros. CISO yra vienas iš būdų šias funkcijas organizuoti.
Ką sužinosite?
- Kuo CISO skiriasi nuo IT vadovo ar administratoriaus.
- Kokius darbus saugumo vadovas atlieka praktiškai.
- Ką NIS2 ir DORA pakeitė vadovybės atsakomybėje.
- Kada įmonei reikia vidinio, o kada išorinio CISO.
Kas yra CISO ir kuo jis skiriasi nuo IT vadovo?
IT ir saugumo funkcijos glaudžiai susijusios, tačiau jų pagrindinės atsakomybės skiriasi.
IT vadovas rūpinasi infrastruktūra, sistemų veikimu, technologijų diegimu ir paslaugų teikimu darbuotojams. CISO vertina, kokią riziką tos sistemos kelia verslui, kokios kontrolės priemonės reikalingos ir kaip įmonė elgtųsi įvykus incidentui.
Paprastai tariant:
- IT vadovas klausia: kaip šį sprendimą įdiegti ir užtikrinti, kad jis veiktų?
- CISO klausia: kokią riziką šis sprendimas sukuria ir ar ji įmonei priimtina?
- Vadovybė sprendžia: ar riziką mažinti, priimti, perduoti arba veiklos atsisakyti.
Šios funkcijos nebūtinai konfliktuoja, tačiau tarp jų natūraliai atsiranda kompromisų. Naujas prisijungimo būdas gali būti patogus darbuotojams, bet nepakankamai saugus. Greitas tiekėjo prijungimas padeda projektui, tačiau palieka neįvertintą prieigą prie svarbių duomenų.
Mažesnėje įmonėje IT ir saugumo funkcijas gali atlikti tas pats žmogus. Tai nėra savaime blogai. Svarbu aiškiai atskirti, kada jis veikia kaip technologijų administratorius, o kada – kaip riziką vertinantis saugumo specialistas.
Jeigu žmogus pats įdiegia sprendimą ir vėliau vienas pats vertina jo saugumą, verta numatyti nepriklausomą peržiūrą. Kuo didesnė rizika ir sudėtingesnė infrastruktūra, tuo svarbesnis tiesioginis saugumo funkcijos ryšys su vadovybe.
Ką CISO iš tikrųjų veikia?
CISO darbas nėra vienkartinis auditas ar dokumentų paketo parengimas. Tai pasikartojantis valdymo ciklas.
1. Supranta verslą
Prieš kalbėdamas apie technines priemones, saugumo vadovas turi suprasti, kaip įmonė uždirba pinigus, nuo kokių sistemų priklauso jos veikla ir kokių duomenų praradimas būtų skausmingiausias.
Gamybos įmonei kritinė gali būti valdymo sistema, sustabdanti liniją. Elektroninei parduotuvei – užsakymų ir mokėjimų platforma. Paslaugų bendrovei – klientų duomenys ir galimybė darbuotojams prisijungti nuotoliniu būdu.
2. Vertina rizikas
Toliau vertinama, kas gali nutikti, kokia būtų žala ir kokios apsaugos priemonės jau veikia. Ne kiekvieną teorinę spragą reikia taisyti pirmiausia.
CISO užduotis – atskirti kritinę riziką nuo problemos, kuri gali palaukti. Tai padeda saugumo biudžetą skirti ten, kur jis turės didžiausią poveikį.
3. Sudaro ir prižiūri planą
Saugumo vadovas nustato prioritetus, paskiria atsakingus žmones ir stebi terminus. Pats CISO nebūtinai diegia visas priemones. Dalį darbų atlieka IT komanda, teisininkai, personalo skyrius, išoriniai tiekėjai ar procesų savininkai.
Jo atsakomybė – užtikrinti, kad darbai nesustotų ties rekomendacijų sąrašu.
4. Ruošia įmonę incidentams
Net gerai apsaugota organizacija negali garantuoti, kad incidentų nebus. Todėl CISO rūpinasi, kad įmonė žinotų, kaip pastebėti sutrikimą, kas priims sprendimus ir kaip bus tęsiama veikla.
Incidentų planas turi būti išbandytas. Jeigu pirmą kartą jis skaitomas jau neveikiant sistemoms, realios naudos bus nedaug.
5. Teikia informaciją vadovybei
Vadovybei nereikia dar vienos techninių įvykių suvestinės. Jai reikia žinoti didžiausias rizikas, jų poveikį ir sprendimus, kurių negali priimti vien IT komanda.
Būtent toks ciklas – nuo būklės vertinimo ir politikų iki incidentų, tiekėjų bei veiklos tęstinumo valdymo – gali būti perkamas ir kaip išorinės CISO paslaugos. Tai viena iš alternatyvų įmonėms, kurioms reikia saugumo vadovo kompetencijos, bet dar nėra pagrindo kurti pilną vidinį etatą.
Ką pakeitė NIS2 ir DORA?
NIS2 ir DORA nepadarė CISO pareigybės privalomos kiekvienai įmonei. Tačiau abu teisės aktai sustiprino vadovybės atsakomybę už skaitmeninę riziką.
Lietuvoje NIS2 nuostatas perkėlusiame Kibernetinio saugumo įstatyme nustatyta, kad už saugumo reikalavimų įgyvendinimą atsako organizacijos vadovas. Jis taip pat turi pasirūpinti už kibernetinį saugumą atsakingų asmenų paskyrimu.
DORA finansų sektoriaus įmonėms nustato skaitmeninio atsparumo reikalavimus, apimančius informacinių ir ryšių technologijų rizikos valdymą, incidentus, veiklos tęstinumą, testavimą ir išorinių technologijų paslaugų teikėjų priežiūrą. Galutinė atsakomybė už šios rizikos valdymo sistemą tenka finansų įmonės valdymo organui.
Taigi atsakymo „saugumu rūpinasi IT“ nebepakanka. Reikia gebėti paaiškinti:
- kas atsakingas už rizikos vertinimą;
- kas tvirtina saugumo prioritetus;
- kaip stebimas trūkumų šalinimas;
- kaip vadovybė informuojama apie būklę;
- kokie įrodymai patvirtina, kad procesai veikia.
Dar rengiantis NIS2 perkėlimui portalas „Technologijos.lt“ atkreipė dėmesį, kad pasirengimo TIS2 nereikėtų palikti vien IT skyriui. Ši mintis išliko aktuali ir įsigaliojus nacionaliniam reguliavimui: dalis sprendimų priklauso technologijoms, tačiau atsakomybė ir rizikos priėmimas yra vadovybės klausimas.
Kaip turėtų atrodyti CISO ataskaita?
Prasta saugumo ataskaita būna pilna skaičių, bet nepadeda priimti sprendimų. Joje nurodoma, kiek laiškų užblokuota, kiek sistemų atnaujinta ir kiek perspėjimų užfiksuota. Šie duomenys gali būti naudingi specialistams, tačiau vadovybei trūksta konteksto.
Gera CISO ataskaita atsako į keturis klausimus:
- Kokios šiuo metu yra didžiausios įmonės rizikos?
- Kaip jos gali paveikti veiklą, pajamas, klientus ar reputaciją?
- Kas daroma rizikai sumažinti ir ar darbai nevėluoja?
- Kokio sprendimo reikia iš vadovybės?
Pavyzdžiui, vietoje teiginio „atsarginių kopijų sistema veikia“ vadovybei naudingiau žinoti:
Rizika: pagrindinės apskaitos sistemos atsarginės kopijos saugomos toje pačioje aplinkoje.
Galimas poveikis: išpirkos reikalaujanti programa galėtų pažeisti ir veikiančius duomenis, ir jų kopijas.
Veiksmas: suplanuotas kopijų atskyrimas ir atkūrimo bandymas.
Vadovybės sprendimas: patvirtinti papildomo saugojimo biudžetą ir darbų terminą.
Pagrindinė ataskaitos dalis gali būti trumpa, o techninė informacija pateikiama priede. Svarbiausia, kad vadovas po jos žinotų ne tik kas įvyko, bet ir ką turi nuspręsti.
CISO atsakomybėje atsiranda ir dirbtinis intelektas
Darbuotojai DI įrankius dažnai pradeda naudoti greičiau, nei įmonė spėja patvirtinti jų naudojimo taisykles. Į viešus įrankius gali būti keliami klientų laiškai, sutarčių ištraukos, programinis kodas ar vidinės ataskaitos.
Todėl pirmoji užduotis nėra viską uždrausti. Pirmiausia reikia suprasti, kokie įrankiai naudojami, kokie duomenys jiems perduodami ir kokias sąlygas taiko paslaugų teikėjai.
