Mal by sa bezpečnostný úradník vždy hlásiť informačným technológiám?

Nie je to jednoduchá odpoveď áno alebo nie. Či by mal bezpečnostný úradník vždy hlásiť informačné technológie (IT), závisí od štruktúry organizácie a konkrétnych úloh a povinností bezpečnostného úradníka. Tu je rozdelenie faktorov, ktoré je potrebné zvážiť:

Argumenty na hlásenie:

* Synergia s technickou bezpečnosťou: Často riadi technologickú infraštruktúru organizácie, ktorá je kľúčovým zameraním bezpečnosti. Správa bezpečnostného úradníka, môže to podporiť silný vzťah spolupráce, čo umožní lepšiu koordináciu medzi bezpečnostnými a technickými tímami.

* Technická znalosť: IT oddelenia majú často silné technické znalosti v oblasti bezpečnostných technológií, systémov a protokolov. Tieto znalosti môžu byť pre bezpečnostného úradníka cenné, aby využil.

* Zjednodušená reakcia incidentu: V prípade bezpečnostného incidentu môže mať správu bezpečnostného úradníka zefektívniť proces reakcie na incident, pretože často zohráva kľúčovú úlohu pri obsahu a riešení porušení bezpečnosti.

argumenty proti hláseniu:

* Limited Focus na netechnické aspekty: Aj keď je to rozhodujúce pre kybernetickú bezpečnosť, bezpečnosť presahuje iba technológiu. Zahŕňa politiky, postupy, školenie, povedomie a riadenie rizík. Bezpečnostný úradník, ktorý sa na ňu podáva, nemusí mať rovnakú úroveň zamerania na tieto netechnické aspekty.

* Konflikty záujmov: IT oddelenia sa často výrazne zameriavajú na funkčnosť a dostupnosť technológie, ktorá môže niekedy konfliktovať s bezpečnostnými cieľmi, ktoré si môžu vyžadovať obmedzenie prístupu alebo funkčnosti.

* Potenciál pre zaujatosť: Podávanie správ by mohlo vytvoriť zaujatosť voči technologickým bezpečnostným riešeniam, s výhľadom na dôležitosť ľudských faktorov a organizačnej kultúry.

Alternatívy k tomu, aby sa to podávalo:

* Reporting hlavnému úradníkovi pre bezpečnosť informácií (CISO): Toto je spoločná štruktúra, v ktorej bezpečnostný úradník podáva správu špecializovaného CISO, ktorý je zodpovedný za celkový bezpečnostný program.

* Nahlásiť na špecializované oddelenie bezpečnosti: Väčšie organizácie môžu mať samostatné bezpečnostné oddelenie, v ktorom podáva správy bezpečnostného úradníka, čím sa podporí nezávislejšie zameranie na bezpečnostné záležitosti.

* Nahlásiť inému oddeleniu: V niektorých prípadoch by sa bezpečnostný úradník mohol hlásiť inému oddeleniu, ako je právne alebo ľudské zdroje, v závislosti od konkrétneho zamerania a priorít úlohy.

Záver:

Najlepšia štruktúra správ pre bezpečnostného úradníka závisí od konkrétnych potrieb a štruktúry organizácie. Je dôležité zvážiť nasledujúce:

* Veľkosť a zložitosť organizácie: Väčšie a zložitejšie organizácie môžu vyžadovať nezávislejšiu bezpečnostnú štruktúru.

* Špecifické povinnosti bezpečnostného úradníka: Ak sa úloha do značnej miery zameriava na technické aspekty, môže byť vhodné podávanie správ. Ak však zahŕňa širšie bezpečnostné povinnosti, môže byť lepšia alternatívna štruktúra.

* Existujúce riadky organizačnej štruktúry a podávania správ: Je nevyhnutné zabezpečiť, aby štruktúra podávania správ zapadá do existujúcej organizácie a podporuje efektívnu spoluprácu medzi oddeleniami.

V konečnom dôsledku by sa rozhodnutie, či by sa jeho bezpečnostný úradník mal vždy podávať, by malo byť založené na komplexnej analýze konkrétneho kontextu a potrieb organizácie.

• Predchádzajúca strana: Ktorý protokol dodáva zabezpečenie vzdialených pripojení? 
• Ďalšia strana: Ako by sa dalo opísať bezpečnosť počítača?