Директор по информационной безопасности (CISO) — это руководитель высшего звена в организации, отвечающий за разработку и поддержание видения, стратегии и программы предприятия для обеспечения надлежащей защиты информационных активов и технологий. Директор по информационной безопасности руководит персоналом в выявлении, разработке, внедрении и поддержании процессов на предприятии для снижения рисков, связанных с информацией и информационными технологиями (ИТ). Они реагируют на инциденты, устанавливают соответствующие стандарты и средства контроля, управляют технологиями безопасности и руководят разработкой и внедрением политик и процедур. Директор по информационной безопасности также обычно отвечает за соответствие требованиям, связанным с информацией (например, контролирует внедрение для получения сертификата ISO/IEC 27001 для организации или ее части). Директор по информационной безопасности также отвечает за защиту конфиденциальной информации и активов компании, включая данные клиентов и потребителей. Директор по информационной безопасности работает с другими руководителями, чтобы убедиться, что компания растет ответственным и этичным образом.
Обычно влияние CISO распространяется на всю организацию. Обязанности могут включать, но не ограничиваться:
Наличие должности CISO или эквивалентной должности в организациях стало стандартной практикой в бизнесе, правительстве и некоммерческих организациях. К 2009 году примерно 85% крупных организаций имели руководителя по безопасности, по сравнению с 56% в 2008 году и 43% в 2006 году [ требуется ссылка ] . В 2018 году Глобальное исследование состояния информационной безопасности 2018 (GSISS), совместное исследование, проведенное CIO, CSO и PwC, [1] [2] пришло к выводу, что 85% предприятий имеют должность CISO или эквивалентную должность. Роль CISO расширилась и теперь охватывает риски, связанные с бизнес-процессами , информационной безопасностью, конфиденциальностью клиентов и многим другим. В результате в настоящее время наблюдается тенденция больше не встраивать функцию CISO в ИТ-группу. В 2019 году только 24% CISO подчиняются директору по информационным технологиям (CIO), в то время как 40% подчиняются напрямую генеральному директору (CEO), а 27% обходят генерального директора и отчитываются перед советом директоров. Встраивание функции CISO в структуру отчетности CIO считается неоптимальным, поскольку существует вероятность конфликта интересов и поскольку обязанности этой роли выходят за рамки обязанностей ИТ-группы. Структура отчетности для CISO может различаться в зависимости от размера организации, отрасли, нормативно-правовой среды и профиля риска. Однако важность информационной безопасности в современном бизнесе подняла роль CISO до должности высшего уровня. [3]
В корпорациях тенденция такова, что у CISO есть сильный баланс деловой хватки и технологических знаний. CISO часто пользуются большим спросом, а компенсация сопоставима с другими должностями уровня C, которые также имеют схожее корпоративное название .
Типичный CISO имеет нетехнические сертификаты (например, CISSP и CISM ), хотя CISO, имеющий техническое образование, будет иметь расширенный набор технических навыков. Другое типичное обучение включает управление проектами для управления программой информационной безопасности, финансовый менеджмент (например, наличие аккредитованной степени MBA) для управления бюджетами информационной безопасности и навыки межличностного общения для руководства неоднородными командами менеджеров по информационной безопасности, директоров по информационной безопасности, аналитиков по безопасности, инженеров по безопасности и менеджеров по технологическим рискам. В последнее время, учитывая вовлеченность CISO в вопросы конфиденциальности, такие сертификаты, как CIPP, пользуются большим спросом.
Недавним достижением в этой области стало появление «виртуальных» CISO (vCISO, также называемых «частичными CISO»). [4] [5] Эти CISO работают на совместной или частичной основе для организаций, которые могут быть недостаточно большими, чтобы поддерживать постоянного исполнительного CISO, или которые могут по разным причинам захотеть иметь специализированного внешнего руководителя, выполняющего эту роль. vCISO обычно выполняют функции, аналогичные функциям традиционных CISO, и могут также выступать в качестве «временного» CISO, пока компания, обычно использующая традиционного CISO, ищет замену. [6] Ключевые области, в которых vCISO могут поддерживать организацию, включают:
{{cite web}}: CS1 maint: unfit URL (link)