CISO vs CIO: het belang van de scheiding der machten

Een Chief Infor­ma­tion Security Officer, kortweg CISO – steeds meer orga­ni­sa­ties hebben er één aan boord. Soms omdat ze door nieuwe normen verplicht zijn om iemand toegewijd op cyber­se­cu­rity te zetten, soms omdat een wetgeving hier sterk naar verwijst en de orga­ni­satie quasi verplicht om er één aan te stellen. Door het groeiende aantal cyber­aan­vallen staat deze proble­ma­tiek tegen­woordig overal ook gewoon erg hoog op de agenda. Toch is het profiel van een CISO eerder schaars, waardoor bedrijven deze taak al eens bij IT schuiven. Dat is echter geen goed idee. De CISO-as-a-service wordt steeds vaker inge­roepen om aan de eis te voldoen of de zorg weg te nemen.

Ransom­ware en andere kwaad­aar­dige software (of aanvals­me­tho­dieken) zitten al geruime tijd in de lift. De pandemie was voor vele cyber­cri­mi­nelen de gedroomde kans om toe te slaan. Er wordt zelfs verwacht dat cyber­cri­mi­na­li­teit dit jaar meer zal opbrengen dan de globale drugs­bu­si­ness. De toon is dus gezet en dat is ook de Europese regel­gever niet ontgaan. De komende jaren mogen we ons dan ook verwachten aan een meer dwingende wetgeving. Getuige hiervan is de NIS 2.0 die in de steigers staat en waarover we in de komende maanden meer nieuws verwachten.

Ook los van factoren zoals ransom­ware en strengere wetgeving mag cyber­se­cu­rity gewoon niet meer aan de zijlijn behandeld worden. In plaats van louter een verant­woor­de­lijk­heid van IT moet het een promi­nen­tere rol krijgen in de hele bedrijfs­voe­ring. Cyber­se­cu­rity vormt een signi­fi­cant onderdeel van de brede strategie waarmee niet alleen bedrijven, maar ook over­heids­in­stan­ties de conti­nu­ï­teit van hun business kunnen garan­deren. Zeker tegen de achter­grond van een samen­le­ving die steeds sneller digitaal trans­for­meert, is dit echt géén over­bo­dige luxe meer.

Waarom een CISO nodig is

Cyber­se­cu­rity is nog vaak een karwei dat IT er maar bij moet nemen. Of er effectief stappen worden gezet, hangt af van de goodwill of interesse van de persoon in kwestie. Vandaag volstaat dat echter niet meer. Bovendien moeten we ons ervan bewust zijn dat het slacht­offer worden van cyber­cri­mi­na­li­teit geen kwestie meer is van of, maar wel wanneer het gebeurt. Met als gevolg dat cyber­se­cu­rity intussen zo belang­rijk is dat iemand in het bedrijf dit als kerntaak moet opnemen.

De CISO – Chief Infor­ma­tion Security Officer, soms ook kortweg Security Officer genoemd – zorgt voor de vertaling van bedrijfs­noden m.b.t. bevei­li­ging van persoons­ge­ge­vens en de intel­lec­tuele eigendom naar IT-vereisten, en omgekeerd. Het is ook erg belang­rijk dat deze persoon niet alleen in het dage­lijkse bestuur, maar ook in de Raad van Bestuur een zetel krijgt. Al was het maar om diegene met bestuur­ders­aan­spra­ke­lijk te duiden op het toenemend belang van cybersecurity.

Een bedrijf kan op allerlei manieren voordeel halen uit de aanwe­zig­heid van een CISO. Deze persoon zorgt er namelijk voor dat cyber­se­cu­rity een gestruc­tu­reerd en geco­ör­di­neerd verhaal wordt, en dus niet stopt bij de tech­ni­sche aspecten zoals bijvoor­beeld het confi­gu­reren van een router of firewall.

Naarmate bedrijven meer vertrouwen op appli­ca­ties voor hun processen, meer met 3^de partijen connec­teren, en IoT-toepas­singen omarmen, kan de impact van een incident enorme propor­ties aannemen. De kost van downtime en de repu­ta­tie­schade en/​of eventuele boetes die dit met zich meebrengt, kan hoog oplopen. Het is daarom nood­za­ke­lijk om cyber­se­cu­rity vanuit verschil­lende invals­hoeken te bekijken. Een CISO evalueert de poten­tiële impact van een bepaald project of een nieuwe dienst­ver­le­ning. Hij/​zij iden­ti­fi­ceert de risico’s die eraan verbonden zijn en vraagt zich af hoe iets zo veilig mogelijk kan worden geïm­ple­men­teerd of opgestart.

In het beste geval wordt de CISO al vanaf de beginfase bij een project betrokken. Bijvoor­beeld wanneer je een appli­catie ontwik­kelt (of op maat laat ontwik­kelen). Als je de CISO pas inscha­kelt vlak voor je iets in productie brengt, dan kan je niet veel meer veran­deren en is het bijgevolg terug naar af. Door de CISO nauwer bij de ontwik­ke­ling te betrekken, zullen bepaalde risico’s auto­ma­tisch inge­cal­cu­leerd worden zodat ze nadien geen problemen veroor­zaken. Het kan je met andere woorden heel wat tijd en geld uitsparen.

Bovendien valt een cybe­rin­ci­dent jammer genoeg nooit volledig uit te sluiten. Een door­ge­dreven risi­co­ana­lyse geeft doorgaans een zeer goed beeld van wat er nu echt kritisch is voor een bedrijf, en hoe we dit vervol­gens beter kunnen gaan beschermen.

Schaars profiel

Vanuit Orange Cyber­de­fense zien we de vraag naar CISO-profielen toenemen. Op de arbeids­markt is dit profiel nochtans eerder schaars en bovendien is ervaring geen onbe­lang­rijk gegeven om deze rol in te vullen. Een CISO moet niet alleen de juiste tech­no­lo­gi­sche kennis hebben, ook commu­ni­ca­tieve skills en zelfs mana­ge­ment­vaar­dig­heden zijn essentieel.

Zo moet de CISO aan de ene kant het belang van cyber­se­cu­rity naar de werk­ne­mers van het bedrijf uitdragen. Zij moeten zich immers bewust zijn dat hun eigen hande­lingen grote gevolgen kunnen hebben. Ook al investeer je fortuinen in een firewall, je bent er weinig mee als een mede­werker de verkeerde mail aanklikt. Aan de andere kant moet de CISO ook recht­streeks aan de directie kunnen rappor­teren. Dit is nog belang­rijker wanneer de bedrijfs­lei­ding door cyber­se­cu­ri­ty­wetten persoon­lijk aanspra­ke­lijk kan worden gesteld. De ‘C’ in CISO staat ons inziens dan ook niet enkel voor ‘Chief’, maar nog veel meer voor ‘Commu­ni­cator’.

Tot slot moet een CISO ook goed op de hoogte blijven van alle tech­no­lo­gi­sche ontwik­ke­lingen en trends, alsook van nieuwe wetge­vingen die de aandacht van het bedrijf vereisen.

De noodzaak van een fulltime CISO?

Door het gebrek aan profielen is het aanwerven van een CISO vaak een dure onder­ne­ming. In grote orga­ni­sa­ties is er meestal wel iemand met deze functie aanwezig, maar voor de meeste bedrijven is cyber­se­cu­rity geen fulltime bezigheid. In het slechtste geval wordt de taak daarom bij een andere persoon geschoven, maar dat is geen goed idee. In het kader van de scheiding van taken en functies mag de opdracht al zeker niet in de schuif van de CIO belanden. Die heeft er in zijn relatie met de directie immers alle belang bij dat er geen inci­denten optreden. Als de CISO een probleem vanuit een onaf­han­ke­lijke rol kan rappor­teren, zal er wellicht sneller op worden ingespeeld.

Die onaf­han­ke­lijk­heid is dan ook een belang­rijke reden waarom orga­ni­sa­ties een CISO buiten de bedrijfs­muren zoeken. Door de opdracht aan een extern, gespe­ci­a­li­seerd bedrijf uit te besteden, kan je heel flexibel op behoeften inspelen. Onze ervaring met het aanle­veren van een CISO leerde ons dat het  bijvoor­beeld perfect mogelijk is om iemand enkel voor bepaalde projecten in te schakelen, terwijl in een CISO in sommige bedrijven ook echt deel van het team kan worden.

Het feit dat de CISO kan terug­vallen op een team van speci­a­listen is een belang­rijke troef. CISO-as-a-service is een adequate oplossing om cyber­se­cu­rity op een gestruc­tu­reerde en risico-geba­seerde manier aan te pakken. Ook na de pandemie zal het belang van cyber­se­cu­rity blijven toenemen. Bedrijven doen er dus goed aan om na te denken over de rol en plaats van een CISO binnen de eigen orga­ni­satie. Het zou zelfs een toppri­o­ri­teit moeten zijn.