Interní, nebo externí manažer kybernetické bezpečnosti?Rozhodujte podle modelu, ne podle názvu pozice

Co je vlastně předmětem rozhodnutí

Rozhodnutí není mezi titulem CISO v organizačním schématu a jeho absencí. Jde o to, kdo a jakým způsobem plní roli, kterou vyžaduje systém řízení kybernetické bezpečnosti: definuje dokumentaci, vede procesy, eviduje rizika, koordinuje IT a další oddělení a reportuje vedení. Tuto roli lze zajistit interně, externě, nebo kombinací obou.

Název pozice nic neřeší. Malá firma s jmenovaným CISO na částečný úvazek nemá automaticky lepší systém než firma s kvalitně vedeným externím modelem. Rozhodující je rozsah povinností, dostupná kapacita a kvalita provázání s firmou.

Interní model

Interní manažer je zaměstnanec firmy, který roli vykonává buď na plný, nebo částečný úvazek. Výhodou je bezprostřední dostupnost, hluboká znalost firmy, vnitřních procesů a lidí, přirozená provázanost s ostatními odděleními a snadná osobní odpovědnost.

Nevýhodou je, že člověk s potřebným rozhledem, certifikacemi a praxí není na trhu práce jednoduchý a levný. U menších firem navíc často hrozí, že roli vykonává člověk z IT na přídavek k současné práci, a pak chybí kapacita i nezávislost. Dalším rizikem je fluktuace: znalosti odcházejí s lidmi.

Externí model

Externí manažer, často označovaný jako vCISO nebo externí odpovědná osoba, zajistí roli dodavatel. Výhodou je okamžitá dostupnost zkušeností z více firem, přehled o požadavcích úřadů a auditorů, nezávislost a předvídatelné náklady. Model je pružný: rozsah spolupráce lze měnit podle fáze, ve které se firma nachází.

Nevýhodou je menší denní dostupnost a nutnost investovat do znalosti firmy. Externista navíc musí mít uvnitř firmy schválený mandát od vedení a kontaktní osobu, se kterou spolupracuje. Bez tohoto provázání zůstane externí role formální.

Srovnání modelů

Jak model zvolit podle rozsahu povinností

Velikost firmy srovnávaná sama o sobě je slabý ukazatel. Rozhodující je rozsah povinností: zda firma podléhá ZoKB, jak je kritická její provázanost na IT, jaké má dodavatelské závazky, jakou má chod provozu a jaké riziko nese v případě incidentu.

• Menší firma se soustředí na povinnosti z ZoKB a základní provoz: často efektivní externí model nebo jeho kombinace s interní kontaktní osobou.
• Střední firma s vlastním IT týmem a širším rozsahem opatření: často kombinace, kdy interní člověk zajišťuje provozní propojení a externí roli dodává metodyku, kapacitu a nezávislý pohled.
• Větší firma se složitou infrastrukturou a stálou potřebou řízení: obvykle celoúvazkový interní manažer, doplněný o externí expertízu pro konkrétní oblasti.