Близо 82% от директорите по ИТ сигурност сега стоят директно под главните изпълнителни директори на съответните организации, сочи ново проучване. Според данните, налице е драстично увеличение, в сравнение с отчетените 47% през 2023 г.
83% от главните служители по ИТ сигурността (CISO) участват в заседанията на бордовете на директорите доста често или почти всеки път. Въпреки това само 29% от CISO заявяват, че техният борд включва поне един член с опит в киберсигурността. Данните дойдоха от глобално проучване на целите, приоритетите и стратегиите на главните служители по информационна сигурност, реализирано от доставчика на анализи по сигурността Splunk и фирмата за икономически консултации Oxford Economics. То е проведено през юни-юли 2024 г. с участието на 600 респонденти, 500 от които са били CISO, CSO или еквивалентни лидери по сигурността, и 100 членове на бордовете на директорите.
Връзката все още не е стабилна
Въпреки, че вече е доста по-значимо присъствието на CISO в най-висшето ръководство на организациите, изследването сочи, че все още съществуват „дупки“ във връзката между ИТ директорите и останалите участници в топ-мениджмънта. Най-големите пропуски касаят иновациите в сферата на нововъзникващите технологии: 52% от CISO посочват това като приоритет в сравнение с едва 33% от членовете на бордовете.
Друга сфера на пропуски е повишаването на квалификацията или преквалификацията на служителите по сигурността (51% за CISO, 27% за бордовете) и приносът към инициативите за увеличаване на приходите (36% за CISO, 24% за бордове).
Само 15% от шефовете по ИТ сигурността класират състоянието на регулаторно съответствие като най-добър показател за ефективност – значителна разлика спрямо бордовете (45%). Около 21% от CISO заявяват, че са били подложени на натиск да не докладват за проблеми със съответствието. Отделно от това 59% казват, че биха подали сигнали, ако организацията им пренебрегва изискванията за съответствие.
Само 29% от ръководителите по ИТ сигурността заявяват, че получават подходящия бюджет за инициативи за киберсигурност и постигане на целите си за сигурност. В същото време доста по-голям дял (41%) от останалите топ-мениджъри смятат, че бюджетите за киберсигурност са добри.
Около 64% от CISO казват, че текущите заплахи и регулаторната среда ги карат да се притесняват, че не се справят достатъчно добре със задълженията си. 18% споделят, че не са успели да подкрепят бизнес-инициатива поради бюджетни съкращения през предходните 12 месеца. 64% говорят за липса на подкрепа, което води до кибератаки.
Половината от CISO сочат още, че инициативите за спестяване на разходи са намалили арсенала от инструменти за сигурност, с които разполагат, довели са до замразяване на новите назначения (40%) и са намалили или премахнали обучението по ИТ сигурност (36%).
Почти всички (94%) CISO съобщават, че са били жертви на разрушителна кибератака. 55% са изпитали този проблем поне няколко пъти, а 27% – много пъти.
Животът и времето на професионалистите по киберсигурност
Тази нюансирана картина, предполагаща нездрава връзка между професионалистите по киберсигурност и висшето ръководство, макар да има известен напредък, се потвърждава и от текущо изследване на живота и времето на професионалистите по киберсигурност, публикувано от Enterprise Strategy Group на Informa TechTarget, съвместно с Асоциацията за сигурност на информационните системи (ISSA).
„Професионалистите по киберсигурност очакват от своите CISO да защитават каузата си пред ръководителите в заседателната зала. Въпреки че това се случва, 24% от респондентите смятат, че CISO нямат достатъчно силно участие сред корпоративните лидери,“ казват Джон Олдсик, анализатор, и Бил Лъндел, старши директор по синдикираните изследвания.
„Опасните заплахи и новите регулации вероятно ще засилят гласа на CISO в близко бъдеще. Междувременно специалистите по киберсигурност подчертават, че CISO се нуждаят най-вече от силни комуникационни и лидерски умения, отразяващи бизнес-естеството на работата“, допълват те.
Този анализ разкрива, че – според близо две трети от респондентите – техният директор по ИТ сигурността редовно взаимодейства с борда на директорите, но далеч не толкова често нивото на взаимодействие е адекватно.
Търсени умения
В доклада на Splunk 53% от CISO заявяват, че отговорностите и изискванията към тях са станали по-трудни, откакто са поели работата. На въпроса какви умения трябва да развият CISO, най-потребните умения са:
- Бизнес-проницателност
- Емоционална интелигентност
- Комуникация
- Познания за регулаторните изисквания и съответствие
Собственият CISO на Splunk, Майкъл Фанинг, коментира: „Тъй като киберсигурността става все по-важна за успеха на бизнеса, CISO и висшият мениджмънт имат повече възможности да преодолеят пропуските, да постигнат по-добро съответствие и да се разбират по-добре, за да усъвършенстват дигиталната устойчивост. За CISO това означава разбиране на бизнеса отвъд тяхната ИТ среда и намиране на нови начини за постигане на възвръщаемост на инвестициите за инициативите за ИТ сигурност”.
От друга страна, “за членовете на бордовете това означава да се ангажират с култура на сигурността на първо място и да се консултират с CISO като основна заинтересована страна при вземането на решения, които влияят на риска и управлението на предприятието”, допълва той. “Обединяването на тези групи изисква обучение на бордовете относно подробностите за киберсигурността. А CISO трябва да разбират езика и нуждите на бизнеса, като същевременно превръщат сигурността във фактор за бизнеса“.
Ръководенето и управлението на програмите за киберсигурност изисква силно сътрудничество и комуникация между всички – от членовете на борда до ръководителите по ИТ сигурността, служителите, потребителите, казват още анализаторите по повод данните от новото проучване. В тази обстановка CISO трябва да могат да балансират нуждата за сигурност с бизнес-целите и бизнес-културата на организацията. Важно е да са способни да формулират стойността на корпоративните инвестиции в ИТ сигурността.
Не на последно място, CISO с добри взаимоотношения с останалите висши мениджъри имат по-голям шанс да получат зелена светлина за приложение на генеративен изкуствен интелект (GenAI), като например създаване на правила за откриване на заплахи, анализиране на източници на данни, реакция при инциденти и разследвания.
