Uloga glavnog direktora za informacijsku sigurnost (CISO) nikada nije bila toliko izazovna i ključna kao danas. S eksponencijalnim porastom kibernetičkih prijetnji, koje mogu uzrokovati nepopravljivu štetu ugledu, povjerenju i imovini organizacija, CISO-i moraju biti spremni suočiti se sa sve složenijim i dinamičnijim okruženjem.
U 2024. godini, Brazil je zabilježio značajan porast kibernetičkih napada. U prvom tromjesečju zabilježen je rast od 38% u usporedbi s istim razdobljem 2023. godine, pri čemu su brazilske organizacije pretrpjele prosječno 1770 napada tjedno. U drugom tromjesečju porast je bio još izraženiji, dosegnuvši 67% u usporedbi s prethodnom godinom, s prosječno 2754 tjedna napada po organizaciji. U trećem tromjesečju prosječan tjedni broj napada po organizaciji u Brazilu dosegao je 2766, što predstavlja povećanje od 95% u usporedbi s istim razdobljem 2023. godine. Najciljaniji sektori bili su financije, zdravstvo, vlada i energetika, a glavne vrste napada bile su ransomware, phishing, DDoS i APT (napredne uporne prijetnje).
CISO-ovi se moraju prilagoditi ovom novom dobu neviđenih kibernetičkih napada – često istovremeno obavljajući više uloga, a u slučaju Brazila, upravljajući scenarijem ograničavanja troškova i ulaganja u kibernetičku sigurnost.
Uloga modernog CISO-a.
Uloga glavnog direktora za sigurnost informacija relativno je nova. Za razliku od financijskih direktora ili izvršnih direktora, funkcija glavnog direktora za sigurnost informacija nije službeno postojala sve do sredine 1990-ih.
Nadalje, uloga CISO-a se stalno mijenja unutar organizacija. Prema Splunkovom izvješću o CISO-u iz 2023., 90% ispitanika smatralo je da je uloga postala "potpuno drugačiji posao" od onoga kada su počeli.
Iako je u početku CISO bio odgovoran za razvoj politika, upravljanje sigurnošću i implementaciju rudimentarnijih sigurnosnih kontrola, što je dovelo do toga da ovaj stručnjak ima puno više tehničku nego menadžersku perspektivu, danas je popis odgovornosti značajno porastao. Jedan primjer je politička funkcija uloge: CISO-i moraju imati bliske radne odnose s izvršnim direktorom, financijskim direktorom i pravnim odjelom organizacije. Proračun za sigurnost ključan je za suočavanje s mnoštvom prijetnji koje danas postoje.
I to ostaje problem za tvrtke diljem svijeta, posebno u Brazilu. Složenost scenarija predstavlja, s jedne strane, zemlju s jednom od najviših stopa napada na svijetu. S druge strane, ekonomske neizvjesnosti i fluktuacije dolara (budući da se velika većina rješenja prodaje u stranoj valuti) znače da CISO-i moraju uravnotežiti dostupne resurse kako bi osigurali zaštitu tvrtke.
Dobri komunikatori
Za razliku od stereotipne slike tehnološki potkovanog CISO-a u prošlosti, današnji CISO mora preuzeti vodeću ulogu i biti dobar komunikator kako bi predvodio stvaranje čvrste kulture kibernetičke sigurnosti unutar tvrtke.
Druga važna točka je da CISO-i ne mogu sami djelovati u upravljanju sigurnošću informacija. Potrebna im je podrška i suradnja vanjskog ekosustava, koji uključuje dobavljače, kupce, partnere, regulatorna tijela, industrijska udruženja i sigurnosne zajednice. Ti akteri mogu doprinijeti informacijama, resursima, rješenjima i najboljim praksama koje pomažu rukovoditeljima da poboljšaju i ojačaju sigurnost svoje organizacije. Stoga su komunikacija i izgradnja odnosa s tržištem također temeljni.
Sigurnost mora početi iz holističke perspektive.
Nije dovoljno imati izolirane i reaktivne sigurnosne alate i procese. CISO-ima je potreban holistički i integrirani pogled na sigurnost, koji obuhvaća sve, od kulture i svijesti zaposlenika do upravljanja i usklađenosti s poslovnim ciljevima.
Sigurnost treba promatrati kao sveobuhvatan i bitan element za kontinuitet i rast organizacije, a ne kao trošak ili prepreku. Da bi se to postiglo, CISO-i moraju uključiti druga područja i vodstvo unutar tvrtke, demonstrirajući vrijednost i povrat ulaganja u sigurnost te uspostavljajući jasne i mjerljive politike i pokazatelje.
Osjećaj hitnosti je ključan za predviđanje prijetnji.
Kibernetičke prijetnje se neprestano razvijaju i postaju sve sofisticiranije te mogu utjecati na bilo koju organizaciju, bez obzira na veličinu ili sektor. Stoga je važno uvijek biti svjestan i ažuriran o tržišnim trendovima i ranjivostima te ulagati u rješenja i metodologije koje vam omogućuju predviđanje prijetnji i rizika.
Jedan od načina za to je usvajanje pristupa sigurnosti već u dizajnu, koji uključuje sigurnost od koncepcije do isporuke proizvoda i usluga organizacije. Drugi način je provođenje periodičnih testova i simulacija koje procjenjuju učinkovitost i otpornost sigurnosnih sustava i procesa te identificiraju mogućnosti za poboljšanje i ublažavanje.
Iako se uloga CISO-a još uvijek mijenja, ovaj stručnjak je ključan za zaštitu i inovacije organizacija u digitalnom dobu. CISO-i moraju biti spremni nositi se s neviđenom razinom prijetnji, koje zahtijevaju proaktivno, strateško i kolaborativno upravljanje informacijskom sigurnošću.
Konačno, CISO-i moraju imati na umu da informacijska sigurnost nije samo tehničko pitanje, već i faktor konkurentnosti i vrijednosti za kupce. Oni koji uspiju uskladiti sigurnost s poslovnim ciljevima i očekivanjima dionika te koji znaju jasno i uvjerljivo komunicirati prednosti i izazove sigurnosti, moći će izgraditi snažnu i održivu sigurnosnu kulturu unutar organizacije te doprinijeti njezinom uspjehu i rastu u digitalnom krajoliku.
