Οι CISO αγωνίζονται για το καθεστώς C-Suite, ακόμη και όταν οι προσδοκίες εκτοξεύονται

Οι CISO αγωνίζονται για το καθεστώς C-Suite, ακόμη και όταν οι προσδοκίες εκτοξεύονται

Χρονική σήμανση: 19 Ιανουαρίου 2024 1:05 μ.μ.
Οι CISO αγωνίζονται για το καθεστώς C-Suite ακόμα και όταν οι προσδοκίες εκτοξεύουν την ευφυΐα δεδομένων PlatoBlockchain. Κάθετη αναζήτηση. Ολα συμπεριλαμβάνονται.

Οι CISO καλούνται όλο και περισσότερο να αναλάβουν τις ευθύνες αυτού που κανονικά θα θεωρούνταν ρόλος C-suite, αλλά χωρίς να θεωρούνται ή να αντιμετωπίζονται ως τέτοιοι σε πολλούς οργανισμούς, έδειξε μια νέα έρευνα 663 στελεχών ασφαλείας.

Η έρευνα διεξήχθη από το IANS σε συνεργασία με την Artico Search και ρωτήθηκαν από τους CISO για διάφορα θέματα που σχετίζονται με τις θέσεις εργασίας τους, τις ευθύνες τους, τη διοικητική υποστήριξη και άλλα θέματα.

Ένα πλήρες 75% από αυτούς δήλωσαν ότι αναζητούν αλλαγή εργασίας.

Οι προσδοκίες για τον ρόλο του CISO έχουν αλλάξει

Οι απαντήσεις έδειξαν ότι οι προσδοκίες για τον ρόλο του CISO έχουν αλλάξει δραματικά στους οργανισμούς του δημόσιου και του ιδιωτικού τομέα λόγω, μεταξύ άλλων, του αυξημένου ελέγχου από τις ρυθμιστικές αρχές και των αυξανόμενων απαιτήσεων λογοδοσίας για παραβιάσεις της ασφάλειας.

Για παράδειγμα, το αναφορά στατιστικής έρευνας επισήμανε κανόνες όπως αυτοί που υιοθετήθηκαν από την Securities and Exchange Commission (SEC) τον περασμένο Ιούλιο που απαιτούν από τις εισηγμένες εταιρείες να αναφέρουν όλα τα περιστατικά υλικής ασφάλειας εντός τεσσάρων ημερών από το συμβάν. Ένα άλλο παράδειγμα είναι η έκδοση του Υπουργείου Οικονομικών Υπηρεσιών της Πολιτείας της Νέας Υόρκης (NYDFS). νέες απαιτήσεις κυβερνοασφάλειας για εταιρείες χρηματοοικονομικών υπηρεσιών.

«Οι ρυθμιστικές αρχές θεωρούν πλέον τους CISO υπεύθυνους για διαφάνεια και ακόμη και απάτη εκ μέρους των οργανισμών τους», ανέφερε η έκθεση IANS και Artico. Υπάρχει μια αυξανόμενη προσδοκία ότι το CISO θα λειτουργεί πρωτίστως ως λειτουργία διαχείρισης επιχειρηματικού κινδύνου, με ξεκάθαρη φωνή στις συναντήσεις ηγεσίας στελεχών και απευθείας γραμμή επικοινωνίας με τον Διευθύνοντα Σύμβουλο και τη C-suite. Ωστόσο, «παρά τις προσδοκίες για ρόλο που ανεβαίνουν σε επίπεδο C, οι CISO αγωνίζονται να θεωρηθούν ως τέτοιοι και ο ρόλος του CISO συχνά δεν αποτελεί μέρος της ανώτερης ηγετικής ομάδας».

Η έρευνα έδειξε, για παράδειγμα, ότι ενώ περισσότερο από το 63% των CISO έχουν θέση αντιπροέδρου ή διευθυντή, μόνο το 20% είναι σε επίπεδο C-suite παρόλο που έχουν τον «αρχηγό» στον τίτλο τους. Στην περίπτωση οργανισμών με έσοδα άνω του 1 δισεκατομμυρίου δολαρίων, ο αριθμός αυτός είναι ακόμη μικρότερος, στο 15%. Από την άποψη της αναφοράς, ένα ανησυχητικό 90% των CISO έχουν αφαιρεθεί τουλάχιστον δύο ή περισσότερα επίπεδα οργάνωσης από τον CEO και το C-suite. Μόλις το 50% συνεργάζεται με το διοικητικό συμβούλιο της εταιρείας τους σε τριμηνιαία βάση. Το ένα τέταρτο ασχολείται με το διοικητικό συμβούλιο μόνο μία ή δύο φορές το χρόνο, το 12% συναντά το συμβούλιο καθαρά σε ad hoc βάση και το 13% αναφέρει ότι δεν έχει καμία επαφή με το συμβούλιο.

Έλλειψη καθοδήγησης για την ευθύνη του CISO

Σε πολλές περιπτώσεις, οι CISO που θέλουν σαφή καθοδήγηση κινδύνου από το συμβούλιο τους δεν το λαμβάνουν. Μόλις περισσότερο από το ένα τρίτο (36%) περιέγραψε το διοικητικό συμβούλιο ότι τους προσφέρει αρκετά σαφή εικόνα για τα επίπεδα ανοχής κινδύνου του οργανισμού τους ώστε να μπορούν να ενεργήσουν.

«Η εξέλιξη του ρόλου CISO τα τελευταία χρόνια έχει επιταχυνθεί δραματικά», λέει ο Nick Kakolowski, διευθυντής έρευνας στο IANS. Με τους οργανισμούς να ψηφιοποιούν περισσότερες από τις δραστηριότητές τους, οι CISO αναλαμβάνουν περισσότερες ευθύνες και έχουν γίνει de facto κάτοχοι ψηφιακού κινδύνου, λέει. «[Αλλά] οι οργανισμοί δεν έχουν καταλάβει πώς να τους υποστηρίξουν και να τους ενδυναμώσουν καθώς το εύρος του ρόλου μεγαλώνει».

Τα τελευταία χρόνια αυξάνονται οι ανησυχίες στην κοινότητα του CISO σχετικά με τις κλιμακούμενες προσδοκίες γύρω από τον ρόλο, παρόλο που η ικανότητά τους να ανταποκρίνονται σε αυτές τις προσδοκίες παρέμεινε σε μεγάλο βαθμό αμετάβλητη. Περιστατικά όπως ένα τον περασμένο Οκτώβριο όπου η SEC χρέωνε τον Tim Brown στον CISO της SolarWinds απάτη και αποτυχίες εσωτερικού ελέγχου σχετικά με την παραβίαση του 2020 στην εταιρεία και όπου ένας δικαστής καταδικάστηκε ο πρώην CISO της Uber, Τζο Σάλιβαν Τα τρία χρόνια αναστολής για παράβαση του 2016, έχουν τροφοδοτήσει αυτές τις ανησυχίες. Ενώ υπάρχει κάποια συζήτηση σχετικά με το εάν οι ενέργειες κατά των στελεχών ασφαλείας σε αυτά τα περιστατικά ήταν δικαιολογημένες, πολλοί υποστήριξαν ότι είναι άδικο να λογοδοτούν μόνοι τους για τις παραβιάσεις.

Ιστορική προκατάληψη κατά της ασφάλειας ως συνάρτηση επιπέδου C

Ένας από τους λόγους για τους οποίους πολλοί οργανισμοί εξακολουθούν να μην αντιλαμβάνονται τον ρόλο των CISO ότι ανήκουν στο C-suite είναι η ιστορική προκατάληψη, λέει ο Kakolowski. «Οι CISO τείνουν να γίνονται αντιληπτοί —συχνά άδικα— ως τεχνικοί που δεν μπορούν να μιλήσουν τη γλώσσα της επιχείρησης», λέει, προσθέτοντας ότι συχνά τείνουν να αποσιωπούνται όταν πρόκειται για την ανάπτυξη δεξιοτήτων. Οι προσπάθειες εκεί τείνουν συχνά να επικεντρώνονται στις τεχνικές ικανότητες και την ηγεσία της ομάδας, παρά στην ανάπτυξη των εκτελεστικών δεξιοτήτων.

Κάποια από αυτά είναι και αδράνεια. Οι μεγάλοι, πολύπλοκοι οργανισμοί χρειάζονται χρόνο για να προσαρμοστούν σε νέες προκλήσεις και οργανωτικές αλλαγές.

«Η μεγαλύτερη πρόκληση είναι ο αγώνας για την εύρεση ευθυγράμμισης μεταξύ των CISO και της υπόλοιπης C-suite», λέει ο Kakolowski. "Οι ηγέτες επιχειρήσεων αρχίζουν να συνειδητοποιούν τον κίνδυνο υποχρησιμοποίησης των CISO ως στελέχη επιχειρήσεων και υπάρχει μια ευκαιρία για τους CISO να επιδείξουν την ικανότητά τους να προσφέρουν αξία στον οργανισμό πέρα ​​από το back office."

Η ανύψωση του ρόλου του CISO εκεί που ανήκει, στο C-suite, μπορεί να έχει πολλά οφέλη, υποστηρίζει ο Kakolowski. Το να είσαι μέλος της ανώτατης διοίκησης δίνει στον CISO καλύτερη επίγνωση και ορατότητα για το πού πηγαίνει ο οργανισμός και διευκολύνει τη συνεργασία με άλλα ενδιαφερόμενα μέρη για τη διαχείριση ψηφιακών κινδύνων.

«Τοποθετεί το CISO να προλάβει τον κίνδυνο, μειώνοντας έτσι την τριβή που μπορεί να προκύψει κατά τον μετριασμό των κινδύνων», σημειώνει.

Σφραγίδα ώρας:

Περισσότερα από Σκοτεινή ανάγνωση