Vprašanje “kdo pri nas dela to, kar dela CISO” se pogosto pojavi šele, ko je treba odgovoriti regulatorju, zavarovalnici ali poslovnemu partnerju. Do takrat se predpostavlja, da to “nekako počne IT”. Razlika med IT vodjo in CISO ni v tem, kdo je bolj tehničen, ampak v tem, za kaj vsak od njiju dejansko odgovarja.
Kratek odgovor
IT vodja upravlja sisteme, infrastrukturo in uporabnike ter skrbi, da IT okolje deluje tekoče. CISO (vodja informacijske varnosti) upravlja tveganja, politike, skladnost, dobavitelje in poročanje vodstvu ter nadzoruje, kako se varnost dejansko izvaja — vključno v samem IT oddelku. V manjših organizacijah se vlogi pogosto prekrivata, vendar to ne pomeni, da gre za isto funkcijo: če ju opravlja ista oseba brez jasno ločenih odgovornosti, pogosto nihče dejansko ne “lasti” varnostnega tveganja.
Tipičen primer
Organizacija ima IT vodjo, ki upravlja strežnike, Microsoft 365, požarni zid in varnostne kopije. Sistemi delujejo, uporabniki dobijo pomoč, incidenti se rešujejo. Nihče pa formalno ne vodi registra tveganj, ne preverja varnosti dobaviteljev, ne pripravlja rednega poročila za vodstvo in ne usklajuje odziva na resnejši incident. Ko pride vprašanje “kdo je pri vas odgovoren za kibernetsko varnost”, odgovor je nejasen — kar je pri NIS2 in ZInfV-1 vprašanje, na katerega mora obstajati jasen odgovor.
Kje je meja med vlogama?
| IT vodja | CISO |
| Upravljanje sistemov in infrastrukture | Upravljanje tveganj |
| Uporabniška podpora in dostopi | Politike in governance |
| Varnostne kopije in obnovitev | Varnostne zahteve in prioritete |
| Konfiguracije in posodobitve | Nadzor izvajanja ukrepov |
| Tehnično vzdrževanje | Upravljanje dobaviteljev |
| Operativno reševanje incidentov | Governance odziva na incidente |
| — | Dokazila za presoje in nadzor |
| — | Poročanje vodstvu |
To ni napad na IT izvajalce ali IT vodje. Gre za dopolnjujoči si vlogi: IT skrbi, da tehnologija deluje, CISO skrbi, da je organizacija zaščitena pred tveganji, ki jih ta tehnologija (in ljudje okoli nje) prinaša, ter da je to mogoče dokazati navzven.
Praktični koraki za ločitev vlog
- Popišite, kaj se dejansko dogaja danes. Kdo odloča o varnostnih prioritetah, kdo o njih poroča vodstvu in kdo dela oboje hkrati?
- Ločite operativne naloge od nadzornih. Oseba, ki konfigurira sistem, praviloma ne bi smela biti edina, ki presoja, ali je ta konfiguracija dovolj varna.
- Določite, kdo formalno odgovarja vodstvu za tveganja. Če ni nikogar, je to prva vrzel, ki jo je treba zapreti.
- Odločite se za model. Notranja razširitev vloge, notranji CISO, zunanji vCISO ali kombinacija — glede na velikost in tveganja organizacije.
- Zapišite odgovornosti. Kratka RACI matrika (kdo izvaja, kdo odloča, kdo je obveščen) prepreči, da bi se odgovornost izgubila med “to je itak IT”.
Pogoste napake
Največ težav nastane, ko organizacija misli, da ima “urejeno varnost”, ker ima urejen IT.
- predpostavka, da dober IT avtomatično pomeni dobro upravljano tveganje
- ista oseba nadzoruje in izvaja isti ukrep, brez neodvisnega pogleda
- varnostne odločitve se sprejemajo ad-hoc, brez zapisa in utemeljitve
- vodstvo ne dobiva poročil, ker “jih nihče ne pripravlja”, ne ker ni o čem poročati
Dokazila, ki jih je vredno urediti
Jasna delitev vlog mora biti razvidna iz dokumentacije, ne samo iz ustnega dogovora.
- opis vlog in odgovornosti (RACI) za IT in varnostno funkcijo
- imenovanje odgovorne osebe za kibernetsko varnost
- zapisniki odločitev o varnostnih prioritetah
- redna poročila vodstvu, ločena od operativnih IT poročil
Kdaj postane prekrivanje vlog tvegano?
V zelo majhnih organizacijah je pogosto neizogibno, da ista oseba pokriva del IT in del varnostnih nalog. Tveganje se pojavi, ko ta oseba nima niti časa niti pooblastila, da bi dejansko opravljala nadzorno vlogo — ko je “CISO” samo naziv na papirju, dejanska pozornost pa gre v reševanje vsakodnevnih IT težav. V takem primeru pomaga zunanja neodvisna oseba (vCISO), ki prevzame nadzorno in poročevalsko vlogo, medtem ko IT ostane osredotočen na operativno delo.
Merila uspeha
- jasno je zapisano, kdo je odgovoren za kibernetsko varnost na ravni vodstva;
- register tveganj obstaja in ga nekdo redno pregleduje, ne le vzdržuje;
- vodstvo dobiva redno, razumljivo poročilo, ločeno od tehničnih IT poročil;
- odločitve o varnostnih prioritetah so dokumentirane in utemeljene;
- IT ekipa ve, na koga se obrne pri vprašanjih politike ali skladnosti, ne le pri tehničnih vprašanjih.
Vprašanja za interno ekipo ali ponudnika
- Kdo pri nas danes dejansko odloča o varnostnih prioritetah?
- Ali ta oseba o tem tudi poroča vodstvu, ali to počne kdo drug?
- Ali obstaja register tveganj in kdo ga pregleduje?
- Kaj bi se zgodilo, če bi nas nekdo vprašal, kdo je odgovoren za kibernetsko varnost?
- Ali IT ekipa presoja tudi svoje lastne odločitve, brez neodvisnega pogleda?
- Kdaj smo nazadnje vodstvu predstavili stanje kibernetske varnosti?
Povezava z regulativo
NIS2 in ZInfV-1 izrecno zahtevata, da vodstvo organizacije nadzoruje kibernetsko varnost in je zanjo odgovorno — ne le, da je tehnologija “nekako urejena”. To pomeni, da mora obstajati jasno določena oseba ali funkcija, ki vodstvu poroča o tveganjih, ne glede na to, ali gre za notranjega ali zunanjega CISO. Sama prisotnost sposobnega IT vodje te zahteve ne izpolni, če ni ločene nadzorne in poročevalske vloge.
Kako CISOaaS pomaga
CISOaaS ne nadomešča IT ekipe ali IT izvajalca — dopolni jo z vodstveno, nadzorno in poročevalsko funkcijo: upravljanjem tveganj, politikami, dobavitelji, pripravo dokazil in rednim poročanjem vodstvu. IT ekipa ostane osredotočena na operativno delo, medtem ko zunanji CISO poveže tehnične odločitve s poslovnimi prioritetami in regulatornimi zahtevami.
Povezane vsebine
- Ali podjetje potrebuje CISO?
- Kaj je vCISO?
- vCISO vs CISO
- Naš CISO pristop
- Poročanje vodstvu o kibernetski varnosti
Pogosta vprašanja
Ali lahko IT vodja opravlja tudi vlogo CISO?
V manjših organizacijah se to pogosto dogaja v praksi. Tveganje je konflikt interesov — ista oseba tako izvaja kot presoja lastno delo — zato je smiselno vsaj nadzorno/poročevalsko vlogo prenesti na neodvisno osebo, notranjo ali zunanjo.
Ali CISO nadomesti IT oddelek ali IT izvajalca?
Ne. CISO ne upravlja strežnikov ali uporabniške podpore. Določa prioritete, politike in nadzoruje, ali se varnostni ukrepi dejansko izvajajo, ter o tem poroča vodstvu.
Kdo v majhnem podjetju prevzame odgovornosti CISO, če nimamo te zaposlitve?
Vodstvo mora odgovornost izrecno dodeliti — bodisi obstoječi notranji osebi z dodatnim mandatom, bodisi zunanjemu vCISO. Odgovornost, ki ni nikomur formalno dodeljena, v praksi ne obstaja.
Uradni viri za preverjanje
Želite skladnost, ki jo lahko tudi dokažete?
Pomagamo urediti zahteve, politike, odgovornosti, dokazila in poročanje, da skladnost ne ostane samo seznam dokumentov.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.