エンタープライズセキュリティの使命は明確です。システム、データ、および人員をサイバー脅威から保護します。 セキュリティリーダーの役割には、組織のブランドの保護も含まれます。
研究は、 データインシデントのコスト; ただし、イメージ、評判、信頼への影響は長続きし、リスクステートメントを超えて表現することは困難です。 セキュリティリーダーは何に責任があり、何か問題が発生した場合にセキュリティリーダーは何に責任を負いますか？
エンタープライズセキュリティの課題の内訳
エンタープライズセキュリティリーダーの役割はストレスがたまります。 新しいITイニシアチブのセキュリティニーズに対応する必要があります。 新しいプロジェクトでは、リスク評価と、適用する適切なチームスキルの特定が必要です。 ITスキルの不足は、エンタープライズサイバーセキュリティで明らかであり、リソースが不足しているチームに圧力をかけ続けています。 場合によっては、アウトソーシングが唯一の選択肢かもしれません。
部門主導のITイニシアチブは、セキュリティの監視なしに開始される可能性があり、シャドーITという用語につながります。 「立ち上がった」ビジネスプロジェクトに事後対応しているセキュリティチームは、組織全体にセキュリティ体制を均一に適用することは困難です。
をサポートするエンドユーザーとの認識を生成する 基本的なサイバー衛生 組織のすべての部分が関与する進行中のプロセスである必要があります。 毎年のサイバーコンプライアンストレーニングとあらゆる形態の「ポリシング」サイバーポリシーは、エンドユーザーとの摩擦を生み出します。 一部の組織は、戦略的なセキュリティイニシアチブと並んで基本的なサイバー衛生を優先しています。
これらの要件に加えて、サイバーリスクをビジネスの利害関係者に効果的に伝達し、増大するワークロードに対応する必要性に加えて、現代のセキュリティリーダーは、多くの人が仕事から「離れる」ことができず、休暇を取ることを恐れ、時間が限られていると彼らが信じる環境。
関連を参照： サイバーセキュリティ専門家の燃え尽き症候群とあなたの健康
「FallGuy」は職務記述書の一部ですか？
何か問題が発生した場合、CISOは対応するものよりも高い水準に保つことができます。 営業チームが四半期の目標を達成できなかった場合、リーダーは手放されますか？ この現実は、セキュリティリーダーの重要性を示していると同時に、「これは公正ですか？」という疑問を投げかけています。
タスクフォース7ラジオで ポッドキャスト、ホストのジョージ・レタスとCNBCサイバーセキュリティレポーターのケイト・ファッツィーニは、大企業のCISOが彼らに課している内部と公共の両方の精査について話し合った。 「私たちは皆、悪い日を過ごすことになります」とレッタスは言いました。 「多くの内戦を伴わなかった単一の違反事件を私は知りません」とFazziniは付け加えました。
彼らが痛ましい真実に達したとき、会話はレッタスとファジーニの間でピークに達しました。 CISOは、「非常に不完全なインフラストラクチャとネットワークを保護しようとしています」とRettas氏は述べています。 「これらのCISOは、ここで一種の堕落者として使用されていると思いますか？」
「彼らは間違いなく堕落した男として使われていると思います」とファジーニは言いました。 ある時点で「違反を起こさないCISOはいない」。
多くのセキュリティリーダーは、このストレスを管理するためにユーモアに目を向けています。 RSA中に、あるCISOは、頭字語CISOが現在何を表しているのか聞いたことがあるかどうか尋ねました。 「チーフイニシャルサクリファイスオフィサー」と彼は冗談を言った。
Fazziniはさらに、EquifaxがCISOに取って代わっただけでなく、データインシデントを受けて、CEO、CIO、その他多くの役割を変更したことにも注目しました。 新しいCISOは、大企業のセキュリティ経験があるだけでなく、CEOと取締役会の言葉を話す能力で知られていました。
この観察結果は、CISOの定義を再検討し、複数のペルソナを持っている可能性があることを理解する必要性を裏付けています。
関連を参照： サイバーセキュリティの5つの最もストレスの多い側面
CISOペルソナ：戦略的かつ戦術的
CISOの役割に対する解約率は比較的高いです。 2019の英国および米国のCISOのノミネットによる800年XNUMX月の調査では、 平均ライフサイクル 今はたった26ヶ月です。 仕事によって引き起こされるストレスは、人間関係からCISOのメンタルヘルスまですべてに影響を及ぼしました。 最悪のケースは、燃え尽き症候群のためにキャリアが短くなることです。
このCyberSecurityHubの実現により、質問や進行中の会話へのアプローチを変えることができました。 開業医の分野全体でストレスと不安が増大しているため、おそらくCISOの定義は進化しており、単一の目的と見なされるべきではありません。
企業の拡大とデジタル化が進むにつれ、CISOが戦略的または戦術的なXNUMXつのアプローチ（またはペルソナ）のいずれかと連携している市場のダイナミクスを観察しています。
- タクティカルCISO テクノロジー、ツール、およびプロセス（人-プロセス-情報-テクノロジーのスペクトル）を理解してリードします。 組織はセキュリティプログラムを迅速に「立ち上げる」必要があり、このCISOペルソナは、ポリシーと連隊を適切に配置することに長けています。 セキュリティ要件が拡大するにつれ、戦術CISOは、このペルソナのスキルセットと一致する場合と一致しない場合がある追加の責任の「ダンプグラウンド」にもなりました。
- 戦略的CISO セキュリティの必須事項をビジネスの目的（人-プロセス-情報-テクノロジーのスペクトルの「人」と「情報」の側面の多く）に関連付ける能力を備えています。 組織内の他の利害関係者との関係により、このCISOペルソナは、ビジネスとその機能領域の全体的なリスク姿勢を評価できます。
組織が成長するにつれて、傾向はますますより戦略的な機会に向かっています。 技術的要件は減少しません。 ただし、将来の需要はそれほど大きくありません。
どちらのCISOペルソナも、継続的な学習の必要性を許しません。 より技術的な知識やビジネスの知識を習得する機会があるかどうかにかかわらず、組織は会社とともに成長できるセキュリティリーダーを求めています。
現代のCISOに対する意識の向上
組織とセキュリティリーダーの間の現在の行動を克服するには、オープンな議論が必要です。 各組織のニーズはそれぞれ異なります。 組織のセキュリティプログラムの成熟度と、そのセキュリティ体制を促進するために何が必要かを理解することが不可欠です。 CISOと組織の連携は、クッキーカッターのプロセスではなく、全員の成功を確実にするために、両方の当事者の努力が必要です。
関連を参照： 成功するエンタープライズCISOのXNUMXつの特徴
