Когато ИТ мениджърът отговаря и за сигурността
ИТ мениджър може да носи отговорности по сигурността, когато приложимите правила и мащабът го позволяват. Въпросът е как организацията управлява конфликтите на интереси и осигурява независима проверка.
Съчетаната роля познава системите и може да действа бързо. Същевременно един екип оценява мерки, които сам е проектирал и поддържа. Осигурете пряко докладване към ръководството, изрично право за приемане на риск и независим преглед според риска. Съчетаното длъжностно име не доказва прикриване или некомпетентност.
За финансовите субекти чл. 5, параграф 4 от DORA съдържа конкретни изисквания за независимостта на контролната функция за ИКТ риска, с изключение за микропредприятията. Проверете ги преди избора на кадрови модел. Пропорционалността не заменя приложимото правило.
Какво прави ролята с човека, който я носи
Ръководителят по сигурността свързва техническите доказателства с решения при несигурност. Това изисква компетентност и среда, в която неудобните констатации могат да се обсъждат.
Нашият научен доклад за техническите и психологическите подходи в управлението разглежда тези измерения. Практическото приложение е да се провери как проблемите стигат до ръководството, кой може да действа и дали сигнализиралият получава полезна реакция.
Не измервайте културата само по количеството лоши новини. Проследете реална ескалация: доказателства, решение, отговорник и последващо действие. Тихо заседание може да означава ниска активност, слаба информация или провал на докладването; само по себе си не доказва кое.
Кога има смисъл щатен CISO
Щатна роля може да е оправдана от постоянни решения, екип за управление, сложни зависимости или продължителна работа с клиенти и надзор. Самият брой служители е слаб критерий.
Определете кои решения принадлежат на CISO и по кои той съветва. Остатъчният риск се приема от упълномощения бизнес или управленски собственик в установения модел; CISO не приема автоматично всеки риск лично.
Съпоставете цената на забавени или неподкрепени решения с цената на постоянната наличност. Финансовата регулация сама не доказва, че всеки субект има нужда от еднакъв щатен модел. Проверете задължителните роли и действителния обем работа.
Какво може и какво не може външен CISO
Външната или фракционната роля работи, когато е позиционирана като независим отчет, а не като допълнителен ИТ ресурс.
Може: да изгради рамката и регистъра на рисковете; да напише политиките и след това да провери дали наистина се спазват; да подготви и да присъства в диалога с надзорния орган; да проведе обучението на управителния орган; да бъде противотежест на ИТ, без това да струва кариера; да каже на висок глас нещото, което вътрешен служител не може да си позволи да каже.
Не може: да поеме законовата отговорност на управителния орган; да бъде на място в първите двадесет минути на всеки инцидент, освен ако точно това не е договорено; да управлява вътрешната политика вместо вас; да замени вътрешния отговорник за ежедневната работа. Външната роля дава преценка и структура, не присъствие.
Ще се провали в три случая. Първият: организацията е искала не съветник, а човек, върху когото да прехвърли вината — тогава първата неудобна препоръка приключва отношенията. Вторият: няма вътрешен адресат с правомощия да изпълни препоръката, и тя се превръща в архив. Третият: достъпът е ограничен до това, което ИТ реши да покаже, което прави всяко заключение хипотеза.
Трите подредби, сравнени
| Подредба | Полезни предимства | Какво трябва да се уреди изрично |
|---|---|---|
| Съчетана ИТ и сигурност роля | Познаване на системите и близост до изпълнението | Конфликти на интереси, независим преглед и пряко докладване |
| Щатен CISO | Постоянна наличност и управление на повтарящи се решения | Мандат, ресурси, правомощия и разпределение на риска |
| Външен CISO или частична заетост | Специализиран капацитет и независим поглед | Договорена наличност, достъп до доказателства, вътрешно изпълнение и ескалация |
Външната роля може да носи определени оперативни и договорни задължения. Тя не прехвърля законовата отговорност на управителния орган. Договор за реакция при инциденти и консултантска роля на частично време осигуряват различна наличност; запишете кое купувате.
Какво не може да бъде възложено на никого
Чл. 20 от NIS2 е кратък и категоричен. Управителният орган одобрява мерките за управление на риска за киберсигурността, наблюдава тяхното прилагане и носи отговорност при нарушения. Членовете му са длъжни да преминат обучение, което им позволява да разпознават рисковете и да оценяват практиките за управлението им; същото обучение се насърчава редовно и за служителите.
За съществените субекти чл. 32, § 5 от NIS2 отива по-далеч. Когато мерките по чл. 32, § 4 са се оказали неефективни, органът определя срок за отстраняване на нередността. Ако субектът и тогава не действа, органът може да спре временно сертификат или разрешение и да поиска временна забрана лице, изпълняващо управленски функции на ниво изпълнителен директор или законен представител, да упражнява тези функции в субекта. Мярката трае само докато нередността се отстрани, а чл. 33 не я предвижда за важните субекти. Но съществува и е адресирана към конкретен човек, не към юридическото лице.
Възлагането изисква определен обхват и отговорен собственик в организацията. За местната приложимост и преходните срокове вижте NIS2 в България; за секторното припокриване — DORA и NIS2.
Какво да направите първо
- Запишете кой приема кои рискове, с какви правомощия и граници за ескалация.
- Осигурете докладване с доказателства и независима проверка, когато се изисква.
- Включете сигурността в дневния ред с решения, отговорници и проследяване.
- Проведете управленско обучение според ролята и задълженията; пазете доказателства за участие и усвояване.
- Изпитайте ескалацията с реалистичен пример и проверете дали достига до вземащ решение.
- Уговорете правомощията при инцидент и заместниците, включително извън работно време.
Използвайте ръководството за прилагане на политики, за да проверите дали структурата работи в ежедневните решения.
При сравнение на оферти използвайте цената и месечния обхват на външен CISO, за да разграничите експертно време, резултати и наличност.
Границата
Тази статия говори за структура на отговорност, не за трудово право и не за застраховка на отговорността на управителите. Разпределението на задълженията между членовете на управителния орган, вътрешното делегиране и личната имуществена отговорност се уреждат по българското дружествено и трудово право — това е разговор с адвокат, не с консултант по сигурност.
Не разглеждаме и въпроса дали конкретно вашият субект попада в обхвата и кой е компетентният надзорен орган за него. Външна роля не променя към кого се обръща надзорният орган: той се обръща към субекта и към неговия управителен орган.
Ако искате структурата да съществува, преди да ви я поиска някой отвън, започнете с текущата подкрепа и външните роли — там е описано какво покрива фракционната роля и какво остава вътре.
Бележка: това е обща информация, а не правен съвет. Приложимостта зависи от конкретния субект, дейността, лиценза, размера, груповата структура и националното прилагане.