¿Qué es exactamente un trabajo de CISOs?

Como alguien que ha supervisado una cantidad de CISOs compartidos y organizaciones vendidas sobre la necesidad de alguien en este rol, puedo decirle que el problema es que cada organización tiene diferentes necesidades y diferentes expectativas de un ciso. Algunos esperan soporte operativo, algunos requieren un experto en riesgos dedicado, otros solo quieren un representante de la Junta de la función de seguridad que actúe como traductor.

El objetivo principal de la organización es conocer los riesgos, administrar y monitorear los riesgos, y comunicar los riesgos a las organizaciones y a las partes interesadas. El CISO debe pensar en los riesgos que la organización no puede.

Además, el CISO debe ser capaz de liderar la función de seguridad, la función de riesgo y / o la función reguladora del negocio. Pero las expectativas aquí dependen de la organización.

Deloitte tiene su " Cuatro caras del CISO "que es una guía bastante buena para lo que debería ser un CISO.

  

Los CISO siguen cumpliendo las funciones vitales de la gestión de la seguridad   Tecnologías ( tecnólogo ) y protección de activos empresariales   ( tutor ). Al mismo tiempo, cada vez se espera que se centren   más información sobre cómo establecer una estrategia de seguridad ( estratega ) y asesorar a las empresas   líderes sobre la importancia de la seguridad ( asesor ).

Por lo tanto, no hay una lista establecida de "cosas que hacer" para un CISO. Hay una larga lista de cosas que deben hacerse, pero no necesita un CISO para hacerlo. Para eso, tome un marco (ISO 27001, NIST CSF, Cyber Essentials, etc.) y comience el trabajo. Su lista en su pregunta es un pequeño conjunto de cosas para abordar, pero una buena lista.

El requisito de nivel básico de CISO variaría de organización a organización, pero seguir una guía de alto nivel sobre el alcance.

El alcance del CISO es proporcionar visión y liderazgo para desarrollar y apoyar iniciativas de seguridad. El CISO rige la planificación y la implementación del sistema de TI empresarial, la operación comercial y los mecanismos de defensa contra ataques de seguridad, violaciones y problemas de vulnerabilidad. Este CISO también es responsable de auditar los sistemas existentes, mientras dirige la administración de políticas, actividades y estándares de seguridad. El CISO también es responsable de la implementación de los estándares de seguridad, sistemas de cumplimiento, auditorías, etc. requeridos.

El alcance del trabajo de CISO se puede definir debajo de los dominios principales:

Planificación y gestión de la estrategia de seguridad: Ej .: Dirigir la planificación de la seguridad estratégica para lograr los objetivos comerciales al priorizar las iniciativas de defensa y coordinar la evaluación, implementación y administración de las tecnologías de seguridad actuales y futuras utilizando una metodología de evaluación basada en el riesgo.

Planificación y despliegue de seguridad: Por ejemplo: identifique las necesidades de seguridad de la organización y planifique el despliegue de los mecanismos de seguridad, estándares, prácticas operativas, etc. requeridos.

Operaciones de seguridad: Por ejemplo: administre la administración de todos los sistemas de seguridad informática y su software correspondiente o asociado, incluidos los cortafuegos, los sistemas de detección de intrusos, los sistemas de criptografía y el software antivirus.

Informes de gestión: Ej .: Actuar como el punto de origen de los informes de gestión en términos de informes de seguridad, tableros, registro de riesgos, etc.