La serie Vectra Masked CISO offre ai responsabili della sicurezza un luogo in cui esporre le principali problematiche in materia di sicurezza e fornire consigli ai colleghi su come superarle.
La sicurezza informatica è un settore ancora agli albori rispetto ad altri settori come la gestione del rischio: la compagnia assicurativa Lloyd's è stata fondata nel 1688! Il titolo di CISO è ancora più recente, essendo apparso per la prima volta intorno al 2005. Tuttavia, il ruolo non è ancora stato definito chiaramente e ogni CISO lavora in modo diverso.
Definire il ruolo non è facile quando la persona che assume il CISO può essere molto diversa. I CISO riferiscono a CEO, CIO, CTO e altri, e le competenze necessarie dipendono dalla natura dell'azienda e da chi sono i loro superiori. I CIO e i CTO vogliono un consulente tecnico, mentre i CRO tendono ad affrontare i problemi dal punto di vista della gestione del rischio. I CEO vogliono semplicemente il mondo, e lo vogliono ieri.
Non sorprende che i CISO siano generalmente sottoposti a forte pressione, il che porta a una rotazione regolare dei ruoli e a un elevato turnover all'interno dei reparti di sicurezza. Tuttavia, questo fenomeno potrebbe essere arginato se ai CISO venissero concessi maggiore autonomia e responsabilità.
Le linee gerarchiche non determinano il potere o il valore di un ruolo, ma quando la maggior parte dei CISO fa ancora riferimento a un responsabile tecnico, ciò limita la capacità di essere strategici e ne diluisce il valore. Affinché il ruolo del CISO sia alla pari con quello degli altri responsabili tecnici, dobbiamo avere la capacità di sfidare i CIO e i CTO, per garantire che la sicurezza non sia costretta ad accettare rischi per soddisfare le esigenze dei progetti IT agili. Considerando il modo in cui sono tipicamente organizzati oggi i ruoli dei CISO, saremmo fortunati a trovarci in una situazione in cui esiste collaborazione. E quando non è così, siamo costretti ad accettare rischi crescenti senza gli strumenti per affrontarli.
I CISO ampliano le vostre competenze e acquisiscono influenza
Se un CISO ha la fortuna di poter assumere il proprio sostituto, creeremo la descrizione del lavoro e, naturalmente, il successore ideale tenderà ad avere competenze simili... orientate verso l'aspetto tecnico. Sebbene sia essenziale comprendere ciò che fanno i team di sicurezza, per aumentare l'influenza del CISO è fondamentale sviluppare competenze trasversali, come la comunicazione con gli stakeholder, il senso degli affari e la pianificazione strategica. Altrimenti, rimarremo bloccati nel SOC e tenuti fuori dalla sala del consiglio per altri 20 anni.
I CISO che desiderano avere la massima influenza nella propria organizzazione devono prestare attenzione ai seguenti aspetti:
- Un ruolo che richiede la supervisione di attività tecniche senza eseguirle: ho visto CISO coinvolti nella gestione degli incidenti a causa di aspettative errate. Questa non è una posizione salutare per un dirigente.
- Comprendere dove si colloca la sicurezza nella strategia aziendale: è una parte essenziale del modello di business o avrà un ruolo prevalentemente tecnico? Sarai troppo impegnato a spegnere incendi per promuovere il cambiamento?
- Esamina l'attuale catena di processi per la sicurezza e valuta il grado di maturità: l'azienda segue processi e politiche definiti, dispone di un piano di risposta agli incidenti maturo? Questo ti darà un'idea chiara di dove dovrai dedicare il tuo tempo.
- Assicurati di avere il controllo sugli acquisti: non puoi risolvere il problema della carenza di competenze sommergendo un team già oberato di lavoro con una miriade di prodotti.
I CISO di successo devono essere in grado di aggiornare i controlli di sicurezza, sostituendo i vecchi strumenti con soluzioni che riducono lo sforzo manuale e danno priorità alle azioni, come il rilevamento e la risposta basati sull'intelligenza artificiale.
Questo blog è stato pubblicato per la prima volta su The Register.