CISO

CISO (Chief Information Security Officer) to osoba na poziomie kierownictwa, która odpowiada za strategię bezpieczeństwa informacji, zarządzanie ryzykiem i zgodność w całej organizacji. NIST definiuje tę funkcję w realiach administracji federalnej USA jako urzędnika, który wykonuje obowiązki dyrektora ds. informatyki wynikające z ustawy FISMA i jest jego głównym łącznikiem z osobami zatwierdzającymi systemy, właścicielami systemów i oficerami bezpieczeństwa systemów ^[1]. Według tego samego glosariusza nazwa jest równoważna określeniu „Senior Agency Information Security Officer” ^[1]. W Polsce skrót funkcjonuje bez tłumaczenia, także jako tytuł stanowisk w bankach ^[4].

Rola i zakres

CISO nie jest administratorem systemów ani audytorem. Jego zadaniem jest ułożenie całości: ustalenie, jakie ryzyka organizacja przyjmuje, jakie zabezpieczenia wdraża i jak sprawdza, czy działają. W praktyce obejmuje to szacowanie ryzyka, utrzymanie polityki bezpieczeństwa i systemu zarządzania bezpieczeństwem informacji (SZBI), nadzór nad reagowaniem na incydenty oraz raportowanie stanu bezpieczeństwa kierownictwu.

Definicja NIST pokazuje ważną cechę tej funkcji: CISO jest łącznikiem ^[1]. Stoi między zarządem, który decyduje o budżecie i akceptuje ryzyko, a zespołami technicznymi, które wdrażają zabezpieczenia. Podział ról w typowej organizacji objętej przepisami przedstawia tabela.

Z CISO nie należy mylić inspektora ochrony danych. Inspektor działa na podstawie RODO i dotyczy wyłącznie danych osobowych, CISO obejmuje całość informacji organizacji.

CISO a NIS2 i KSC

Dyrektywa NIS2 przesunęła ciężar odpowiedzialności na najwyższe kierownictwo. Artykuł 20 ust. 1 wymaga, by organy zarządzające podmiotów kluczowych i ważnych zatwierdzały środki zarządzania ryzykiem w cyberbezpieczeństwie, nadzorowały ich wdrożenie i mogły ponosić odpowiedzialność za naruszenia art. 21 ^[2]. Artykuł 20 ust. 2 nakłada na członków tych organów obowiązek odbycia szkoleń, a państwa członkowskie mają zachęcać podmioty, by regularnie oferowały podobne szkolenia pracownikom ^[2]. Chodzi o szkolenia z cyberbezpieczeństwa (security awareness training), które pozwolą rozpoznawać ryzyka i oceniać praktyki zarządzania nimi ^[2].

W polskiej ustawie o krajowym systemie cyberbezpieczeństwa ten sam mechanizm oznacza osobistą odpowiedzialność kierownika podmiotu. Omówienie sekuraka przypisuje roli „CISO / kierownik podmiotu” zatwierdzenie SZBI, nadzór i odpowiedzialność osobistą z art. 8 UKSC ^[3]. Autor zauważa, że osobista odpowiedzialność kierownika to novum, które zarządy zaczęły już dostrzegać ^[3]. Wynika z tego podział: formalnie odpowiada kierownik, a CISO pełni rolę wykonawczą i doradczą. Przygotowuje decyzje, ale ich nie podpisuje w zastępstwie zarządu.

Artykuł 21 dyrektywy wymienia dziesięć grup środków, od analizy ryzyka i obsługi incydentów, przez ciągłość działania i bezpieczeństwo łańcucha dostaw, po kryptografię i uwierzytelnianie wieloskładnikowe ^[3]. To w praktyce lista zadań CISO. Obejmuje ona plan ciągłości działania, zarządzanie ryzykiem dostawców (TPRM) i uwierzytelnianie wieloskładnikowe (MFA). Zgodnie z omówieniem dokumenty z tego zakresu wymagają akceptacji zarządu, czyli podpisu prezesa ^[3].

Obieg decyzji w podmiocie objętym przepisami pokazuje schemat poniżej.

RYS. 1Obieg decyzji o bezpieczeństwie

W sektorze publicznym

Podmioty realizujące zadania publiczne mają osobną podstawę: rozporządzenie w sprawie Krajowych Ram Interoperacyjności z 21 maja 2024 roku. Paragraf 19 ust. 1 nakazuje im opracować, wdrożyć, monitorować i doskonalić SZBI zapewniający poufność, dostępność i integralność informacji ^[5]. Ustęp 2 stanowi, że zarządzanie bezpieczeństwem realizuje się przez zapewnienie przez kierownictwo warunków do konkretnych działań ^[5]. Wśród nich są okresowe analizy ryzyka, szkolenia osób przetwarzających informacje, dbałość o aktualizację oprogramowania i audyt wewnętrzny co najmniej raz w roku ^[5]. Rozporządzenie nie używa nazwy CISO, ale opisuje zadania, które w urzędzie zwykle trafiają do takiej osoby.

W WordPressie

Dla organizacji prowadzącej strony na WordPressie CISO odpowiada za to, by witryny były objęte tym samym procesem co reszta systemów. Specyfiką WordPressa jest rozproszona odpowiedzialność za kod. Rdzeń obsługuje zespół bezpieczeństwa, w którym według WordPress.org jest ponad 50 zaufanych ekspertów ^[6]. Błędy we wtyczkach trafiają jednak do autora wtyczki i zespołu wtyczek, a błędy w motywach do autora motywu i zespołu przeglądu motywów ^[6].

Z tego wynikają zadania, których nie da się zostawić samej agencji czy hostingowi:

• inwentaryzacja wtyczek i motywów na każdej stronie, bo podatność we wtyczce dotyczy tylko tych witryn, które wtyczkę mają;
• zasady zarządzania poprawkami (patch management), ponieważ oficjalnie wspierana jest wyłącznie najnowsza wersja WordPressa ^[6], a starsze gałęzie dostają poprawki tylko grzecznościowo ^[6];
• ocena dostawców: autorów płatnych wtyczek, agencji i firm hostingowych;
• ustalenie, kto i w jakim czasie reaguje, gdy strona zostanie przejęta.

Dobre praktyki

• Oddzielić odpowiedzialność od wykonania: CISO przygotowuje i nadzoruje, zarząd zatwierdza ^[2].
• Prowadzić rejestr ryzyk i raportować zarządowi zmiany, a nie tylko incydenty.
• Zapewnić kierownictwu szkolenie, którego wymaga art. 20 ust. 2 NIS2 ^[2].
• Utrzymywać aktualny spis sprzętu i oprogramowania, tak jak wymaga tego § 19 ust. 2 pkt 2 KRI dla podmiotów publicznych ^[5].
• Łączyć bezpieczeństwo z zgodnością regulacyjną (compliance), ale nie utożsamiać ich: zgodność jest skutkiem dobrego zarządzania ryzykiem, nie jego celem.