Директор по информационной безопасности (CISO) — это руководитель высшего звена в организации , ответственный за разработку и поддержание видения, стратегии и программы предприятия для обеспечения адекватной защиты информационных активов и технологий. Директор по информационной безопасности руководит персоналом в выявлении, разработке, внедрении и поддержании процессов на предприятии для снижения рисков, связанных с информацией и информационными технологиями (ИТ). Они реагируют на инциденты, устанавливают соответствующие стандарты и меры контроля, управляют технологиями безопасности и руководят разработкой и внедрением политик и процедур. Директор по информационной безопасности также обычно отвечает за соответствие информации (например, контролирует реализацию сертификации ISO/IEC 27001 для организации или ее части). Директор по информационной безопасности также отвечает за защиту частной информации и активов компании, включая данные клиентов и потребителей. Директор по информационной безопасности работает с другими руководителями, чтобы обеспечить ответственный и этичный рост компании.
Обычно влияние директора по информационной безопасности распространяется на всю организацию. Обязанности могут включать, помимо прочего:
Наличие директора по информационной безопасности или аналогичной функции в организациях стало стандартной практикой в бизнесе, правительстве и некоммерческих организациях. К 2009 году примерно в 85% крупных организаций был руководитель службы безопасности, по сравнению с 56% в 2008 году и 43% в 2006 году . В 2018 году исследование глобального состояния информационной безопасности 2018 (GSISS), совместное исследование, проведенное директорами по информационным технологиям, директорами по безопасности и PwC, [1] [2] пришло к выводу, что 85% предприятий имеют директора по информационной безопасности или эквивалентные им. Роль директора по информационной безопасности расширилась и теперь включает риски, возникающие в бизнес-процессах , информационной безопасности, конфиденциальности клиентов и т. д. В результате сейчас наблюдается тенденция к отказу от включения функции директора по информационной безопасности в ИТ-группу. В 2019 году только 24% директоров по информационной безопасности подчиняются директору по информационным технологиям (CIO), 40% подчиняются непосредственно главному исполнительному директору (CEO), а 27% подчиняются генеральному директору и подчиняются совету директоров. Включение функции директора по информационной безопасности в структуру отчетности директора по информационным технологиям считается неоптимальным, поскольку существует вероятность конфликта интересов и поскольку обязанности этой роли выходят за рамки обязанностей ИТ-группы. Структура отчетности директора по информационной безопасности может варьироваться в зависимости от размера организации, отрасли, нормативной базы и профиля рисков. Однако важность информационной безопасности в современном бизнесе повысила роль директора по информационной безопасности до должности старшего уровня. [3]
В корпорациях тенденция такова, что директора по информационной безопасности имеют сильный баланс деловой хватки и технологических знаний. Директора по информационной безопасности часто пользуются большим спросом, а их вознаграждение сопоставимо с другими должностями высшего уровня, которые также имеют аналогичную корпоративную должность .
Типичный директор по информационной безопасности имеет нетехнические сертификаты (например, CISSP и CISM ), хотя директор по информационной безопасности с техническим образованием будет обладать расширенным набором технических навыков. Другое типичное обучение включает в себя управление проектами для управления программой информационной безопасности, финансовый менеджмент (например, наличие аккредитованной степени MBA) для управления бюджетами информационной безопасности, а также мягкие навыки для управления разнородными командами менеджеров по информационной безопасности, директоров по информационной безопасности, аналитиков безопасности, инженеров безопасности. и менеджеры по технологическим рискам. В последнее время, учитывая участие директора по информационной безопасности в вопросах конфиденциальности, очень востребованы такие сертификаты, как CIPP .
Недавним событием в этой области стало появление «виртуальных» CISO (vCISO, также называемых «частичным CISO»). [4] [5] Эти директора по информационной безопасности работают на совместной или дробной основе для организаций, которые могут быть недостаточно большими, чтобы содержать штатного исполнительного директора по информационной безопасности, или которые по ряду причин могут пожелать иметь специализированного внешнего руководителя. выполняя эту роль. vCISO обычно выполняют те же функции, что и традиционные CISO, а также могут выступать в качестве «временного» CISO, в то время как компания, обычно использующая традиционного CISO, ищет замену. [6] Ключевые области, в которых vCISO могут поддерживать организацию, включают:
{{cite web}}: CS1 maint: unfit URL (link)