CISO som CTO: Hvornår og hvorfor det giver mening

CISO som CTO: Hvornår og hvorfor det giver mening

Tidsstempel: 10. maj 2024 kl. 2
CISO as a CTO: When and Why It Makes Sense PlatoBlockchain Data Intelligence. Vertical Search. Ai.

Efterhånden som CISO-rollen modnes i virksomhedsmiljøer, og sikkerhedsledere udjævner deres positioner fra teknologiledere til mere velafrundede risikorådgivere og virksomhedsledere, ændrer karriereforløb sig. CISO-jobbet er ikke længere den endelige executive destination for folk i dag, da sikkerhedsledere søger at parlayere deres voksende sæt af forretningsfærdigheder i en bredere klasse af ledende stillinger i C-suiten.

Nogle af de åbenlyse omdrejningspunkter fra CISO'er har været chief risk officer (CRO) og Chief Information Officer (CIO) roller. Et andet mere og mere almindeligt skift har været til stillingen som Chief Technology Officer (CTO). Med trommeslag voksende i både sikkerheds- og bestyrelses-niveau forretningskredse for sikkert ved design inden for software-engineering, produktudvikling og teknologiarkitektur ser det ud som et godt bud under de rette omstændigheder at besætte CTO-stillinger med tidligere CISO'er.

Selvom der endnu ikke er statistisk opbakning til at bevise tendensen, vokser anekdotiske beviser, hvor virksomheder, herunder 20th Century Fox, Bank of America og Fifth Third Bank, har ophøjet deres CISO'er til CTO-roller i de sidste par år. Det er også den vej, som kreditoplysningsgiganten Equifax har taget, som for et par måneder siden udnævnte CISO Jamil Farshchi til en fælles CTO- og CISO-stilling.

For hans del siger Farshchi, at overgangen var en "gimme" for både Equifax og ham selv. En veteran CISO med ophold i blandt andet The Home Depot, Time Warner, Los Alamos National Laboratory og NASA, Farshchi kom til Equifax for over seks år siden, i kølvandet på dets massive databrud i 2017. Han fik til opgave at lede dybe organisatoriske og teknologiske ændringer for ikke kun at skabe en sikkerhedsprogramtransformation, men også at støtte virksomheden i dens digitale transformationsbestræbelser.

“I min egenskab af CISO har mit team og jeg været dybt engageret i teknologi fra starten. Og på grund af den måde, rapporteringslinjen er struktureret på, har jeg rapporteret til den administrerende direktør hele tiden,” forklarer han. "Så spol frem til et par måneder siden, da vores tidligere CTO forlod - han benyttede endnu en mulighed for at blive administrerende direktør i en anden virksomhed. Jeg blev bedt om at træde ind og tage tøjlerne til teknologi og udvide min rolle i dette rum også."

CISO'er har CTO-anvendelige færdigheder

Allerede før Equifax-kampagnen præsenterede sig selv, siger Farshchi, at han havde været vidne til lignende overgange, der skete på tværs af sikkerhedssamfundet. Ikke alene har han set venner flytte fra CISO til CTO eller chef for produkttype-stillinger, han stillede også føleforespørgsler fra CEO'er og rekrutterere, der spurgte, om en CISO kunne give mening til CTO-rollen. Efter hans mening er det et utvetydigt ja.

"Meget af den adfærd, en masse af praksisserne, en masse af færdighedssættene, den strategiske tænkning og så videre, som man skal have succes inden for teknologi som CTO, er også præcis de samme egenskaber, som man har brug for for at få succes. i sikkerhed i dag,” forklarer han.

Dette er en følelse, som deles af mange i sikkerheds- og teknologilederskabssamfundet. Ifølge Bob Zukis, en mangeårig cybersikkerheds- og ekspertudviklingsekspert, der driver Digital Directors Network, er virksomheds-CISO'er - dem, der er ægte virksomhedsledere snarere end højteknologiske praktikere - er en velafrundet flok, hvoraf mange ville være klar til at komme i gang med en overgang til CTO.

“Meget af CISO-jobbet oversættes naturligvis til en CTO-rolle, fra den strategiske til den operationelle. De er vant til at arbejde på tværs. De er vant til at arbejde på tværs af organisationen ud fra et risikoperspektiv. De er vant til at operationalisere teknologier. De implementerer en masse innovative teknologier fra en sikkerhedsfunktion,” siger han. "Det er bare konteksten, der nu ændrer sig til at begynde at vælge og implementere strategisk teknologier fra en værdiskabende orientering i modsætning til en værdibeskyttende orientering."

Tværfunktionel ekspertise og erfaring er en af ​​de største fordele, CISO'er bringer til bordet som CTO-kandidater, siger Randy Watkins, CTO for MDR-udbyderen Critical Start. CTO'er krydser normalt mange domæner og beskæftiger sig med en masse komplicerede relationer mellem ingeniører, produktteams, forretningsgrupper og så videre, uanset om de bringer tech-aktiverede produkter til markedet eller bare støtter mange interne kunder og forretningsgrupper med virksomhedsorienterede applikationer og platforme.

”CISO'erne har skullet være tværfunktionelle, fordi de ikke havde deres eget budget. De havde ikke nok medarbejdere,” siger han og forklarer, at CISO er nødt til at arbejde sammen med andre it-grupper, forretningsgrupper og udøvende interessenter for at få tingene gjort, og for at sikkerhedsinitiativer holder fast. “Så tværfunktionel er absolut en must-have styrke for en CISO, og det er en styrke for enhver seniorleder i en organisation. Det låser virkelig op for et ret højt loft."

Mens han aldrig var CISO, kom Watkins fra en sikkerhedsbaggrund og var direktør for sikkerhedsarkitektur, før han gik ind i sin rolle hos Critical Start. Virksomheden er et sikkerhedsfirma, så hans overgang for et par år siden var meget glidende, selvom han følte, at han har været nødt til at strække sig og vokse med hensyn til sine færdigheder og viden omkring produktledelse - et område, som nogle CISO'er måske på samme måde har brug for at opfriske på for at kunne navigere i en CTO-stilling.

"Den største læringskurve var at forsøge at forstå produktstyringens livscyklus, forstå agile, forstå vandfaldet, fordelene og ulemperne ved hver enkelt af dem," siger han. "Virkelig at udbygge tidslinjer og deadlines og forstå sprintcyklusser, udgivelsesdatoer og udgivelsestyper, det var en smerte. Og jeg føler, at det er en livslang læringsproces.”

Watkins siger som CTO for et sikkerhedsfirma, at han stadig er ret godt forbundet med venner i CISO-fællesskabet. Det gode, som denne kohorte har at gøre for dem i disse dage, siger han, er, at de bliver meget mere produktkyndige, hvilket ville hjælpe mange af dem, der håber på at konkurrere om CTO-pladser i fremtiden. Denne viden har udviklet sig af to grunde, tilføjer han.

"Den ene, fordi de normalt bliver pinget for rådgivning og bliver trukket ind af [venturekapital- og private equity-selskaberne] for at tale om deres nyeste og bedste teknologi," siger han. "Og to, fordi de skal tale med producenter som os, og de ønsker at forstå, hvor vores produktcyklus falder på plads, og hvordan de kan indskyde mere værdi i opbygningen af ​​vores forretning. Det gør meget for at flytte fleksibiliteten og mobiliteten af ​​den CISO-rolle."

Sikkerhedsfokuserede CTO'er understøtter Secure by Design

Den måske bedste fordel, CISO'er tilbyder som CTO-kandidater, er dog den risikostyringstankegang, som de bringer til innovationscyklussen.

"Det ville helt sikkert eskalere sikkerhedssamtalen tidligere i innovationens livscyklus, hvilket jeg tror ville være en meget, meget god ting," siger Digital Directors' Zukis.

Watkins er helhjertet enig.

"Jeg elsker enhver stilling, hvor en sikkerhedsorienteret person flytter ind i den, fordi de bringer en iboende viden og tankeproces omkring sikkerhed - også når det ikke er en C-suite stilling, men blot en sikkerhedsperson, der flytter ind i en ikke-sikkerhedsrolle," Watkins siger. "Det er effektivt til at sammenflette tankeprocessen omkring sikkerhed i hver eneste lille facet, de bevæger sig ind i."

Dette kan gøre store ting for sikre-by-design-initiativer, som ofte hænger op af kultur- og incitamentsspørgsmål mere end nogen anden. En sikkerhedsveteran CTO er meget mere tilbøjelig til at være iboende motiveret til at skabe bedre incitamenter for ingeniørteamet til at udvikle og skabe sikre produkter ud af porten. Mere kritisk er det, at en tidligere CISO er mere tilbøjelig til at være opmærksom på de potentielle risici, som et nyt produkt eller platform vil introducere på de tidligste stadier af planlægningen.

"Jeg tror, ​​at secure by design burde have stor gavn af enhver organisation, der vælger at få en sikkerhedsperson til at blive deres CTO," siger Equifaxs Farshchi. "De kommer til at have et stærkt øje med sikkerheden og indbygge den fra starten, i stedet for travlheden senere."

Tidsstempel:

Mere fra Mørk læsning