Cílem tohoto příspěvku je nastínit problematiku začlenění CISO v hierarchii organizace.

V zásadě zde máme dva základní modely organizačního začlenění CISO v hierarchii organizace. CISO mající sice C v názvu pozice, ale zanořen hluboko v organizační struktuře a pak CISO jako člen vrcholového vedení.

V souvislosti s řízením a správou operačních rizik se můžeme setkat s tzv. třemi liniemi obrany.

Tento jednoduchý (three lines of defence, zkr. 3LOD) model je tady s námi již hezkou řádku let, cca dvě dekády, a je otázka, zda je tento model stále ještě plně funkční.

V souvislosti se vzrůstajícím počtem kybernetických útoků vedených proti malým a středním společnostem se znovu objevila otázka, zda by neměla být ustanovena role manažera informační bezpečnosti i v těchto společnostech.

Problém je, že jak vlastníci, manažeři, tak i personalisté, a jedno zda se jedná o zaměstnance HR oddělení v samotné společnosti nebo nějaké personální agentury, mají problém tuto pozici obsadit.

Strategie informační bezpečnosti (Information Security Strategy, zkr. ISS) by měla vycházet z business strategie a regulatorních požadavků.

Při návrhu optimální strategie informační bezpečnosti byste měli vzít v úvahu vnější i vnitřní prostředí, ve kterém se core business společnosti odehrává, protože zde vznikají rizika, kterým musí společnost, pokud chce být na trhu dlouhodobě úspěšná, čelit. Cílem strategie informační bezpečnosti je pak zcela logicky minimalizace těchto rizik, a to na úroveň, která je pro vedení společnosti akceptovatelná, respektive která odpovídá jeho postoji k riziku tzv. risk appetite.

Information Security Management System zkr. ISMS, do češtiny nejčastěji překládaný jako Systém řízení bezpečnosti informací nebo také Systém řízení informační bezpečnosti, není nic nového.

Když se podíváte do  BS-7799 z roku 1995, tak zjistíte, že už tenkrát se v tomto standardu objevil pojem systém řízení informační bezpečnosti. Tehdy tomuto pojmu však nikdo nepřikládal nějaký zvláštní význam, a teprve časem se z něho stal tak trochu buzzword.

Společnost je v období krize velice zranitelná, její informační aktiva jsou více než kdy jindy ohrožena neboť výrazně roste riziko narušení důvěrnosti, integrity a dostupnosti dat ze strany vlastních zaměstnanců i konkurenčních firem.

Vzhledem k tomu, že v období krize obecně klesá poptávka po určitých produktech a službách, snaží se společnosti nabízet jen ty produkty a služby, o které je zájem a udržují jen takový stav zaměstnanců, aby byly schopny tuto poptávku uspokojit. Vyšší než nezbytně nutný počet zaměstnanců udržují jen kapitálově silné společnosti nebo ty, co jsou ochotni se dočasně spokojit s minimálním nebo žádným ziskem. Naprostá většina společnosti však nadbytečné zaměstnance propouští.