Burden Burnout: Zašto su Cisos u lomljivi, ono što treba promijeniti

Zašto Ai sami neće spasiti Ciso

Ako mi se sviđa, sjedite u dovoljno sastanaka odbora, čujete isto pitanje izlazak iznova i iznova: “Ne mogu li Ai ovo riješiti?” To je primamljiva ideja i istina je da može biti vrlo vrijedan alat u kutiji sa alatima sigurnosti. S pravim alatom, pravi model, pravo na pravu automatizaciju, konačno možemo isključiti pritisak automatiziranjem na skali, a tempo nikad prije. Ali to je samo dio rješenja. Sigurno, AI može ubrzati otkrivanje, pojednostaviti trijažu i površinske obrasce brže od većine analitičara, ali razumije li nijanse, kontekst, blizinu i poslovnu vrijednost? Može li prenijeti odgovornost i može li preuzeti kontrolu kada stvari idu isključene skripte ili se prilagode i mijenjaju zbog poslovne potrebe? U najboljem slučaju, AI je asistent. Najgore, to je nova površina napada koju smo jedva počeli razumjeti. Brzi injekcije, trovanje modelima i curenje podataka samo su neke od prijetnji izloženih u TEME TEME OWASP-a i ublažavanja u 2025. godine. Dakle, ako AI gleda vašu sigurnost, koji gleda satođač?

Što se više tiče onoga što ovaj narativ čini na cjevovod talentira. Dok automatiziramo više radova na ulazničkoj razini, riskiramo erodirajući sam temelj koji moramo rasti sljedeće generacije cyber stručnjaka. Junior analitičari nisu samo zaposleni, oni su budući Cisos u treningu. Kad su zamijenjeni automatizacijom, a ne da se popriliju zajedno s njim, rješavamo današnji problem resursa po cijenu sutrašnjeg vodstva. A ciklus izgaranja nastavlja se. Inovacija u AI-u je nešto što će se shvatiti ozbiljno, ali moramo biti jasni o tome što može i ne može popraviti. Preko moje karijere naučio sam da je moja ključna imovina talent koji postoji u mojoj ekipi, a fokus je potreban na tome kako zapošljavate, odaberite, negujete i promovirate svoj tim kako bi mogli uspjeti u svojim ulogama. Koji donosi kvalitetnu, lojalnost i izuzetnu uslugu fokusirana na kupca.

Možda je vrijeme za redefiniranje “Ciso”?

Bilo je vremena kada je CISO-ov izgled prilično definiran; Držite loše glumce, zadržite sisteme zakrpljenim i držite revizore srećnim. Halcyon dani za mnoge Cisos. Danas se njihova uloga proteže u odnosu na regulatorno usklađivanje i rizik od treće strane za krizne kompanije, uvjeravanje kupaca i odbornika. Ne čuvaju se samo protiv prijetnji. Oni obrađuju ispadnike, očuvanje reputacija i žongliraju sve visokih očekivanja, upravljajući budžetima, rješavajući tehnički dug i govoreći o poslovnim usklađenim pričama. U mnogim slučajevima su i “lice otpornosti” za posao. Dakle, je li “glavni službenik za sigurnost informacija” još uvijek pogodan na svrhu? Ako odgovornosti prerasle originalni mandat, možda je vrijeme da se i uloga evoluira. “Glavni oficir za otpornost” možda neće iskoristiti jezik, ali bliže je stvarnosti, a on signalizira nešto što poslovanje treba čuti da se sigurnost radi o kontinuitetu, povjerenju i dugoročnoj stabilnosti, a ne samo alatama i tehnologiji.

Šta je moć bez autonomije?

Nekome možete dati odgovornost, ali ako im ne date ovlaštenje da se podudaraju, to nije liderstvo, to je odgovornost. To je upravo na poziciji mnogi Cisos nalaze se u 2025. godini. Zadaci su da zaštite organizacije od egzistencijalnog rizika, ali još uvijek izvještavaju o njenim vođstvom koje nisu dizajnirane za neovisnost, nadzor ili izazov. Kada CISO izvijesti u CIO, često postoji ugrađeni sukob interesa: osoba odgovorna za osiguranje infrastrukture odgovora na osobu odgovornu za dostavu i optimizaciju. CIO može – namjerno ili ne – prioritet funkcionalnosti, raspoloživost i performanse, dok CISO možda treba usporiti stvari za posteljivanje ranjivosti, stvrdnjavanja ili guranje na rizične implementacije. Ako CISO nedostaje nezavisnosti, sigurnosne odluke mogu biti nadjačane, umanjene, ili čak izravno siromašne u korist vremenskih linija za isporuku ili budžetskim ciljevima.

Ovo nije sukob Egosa, već više o upravljanju. Izvještavajuće linije oblikuju koliko je rizik prioritet, kako se izdvajaju proračuni i kako iskren CISO može biti kada nešto treba reći. Ako je sigurnost istinski zabrinutost razine ploče, što bi trebalo biti, tada je Ciso potrebna linija u odboru ili barem Odbor za reviziju, koji se ne filtrira operativnim slojevima.

Takođe je šira kulturna implikacija. Kada se Ciso tretiraju kao podređeni na njega, šalje poruku da je cybersecurity tehnička funkcija, a ne strateška i poslovna usklađena. I ta poruka se brzo filtriraju u zapošljavanje, odluke o finansiranju i kako se incidenti rješavaju kada se pritisak raste. Ako organizacije žele da lideri bezbednosti djeluju kao poslovni moniči i krizni navigatori, oni moraju prestati da ih stavljaju u strukturu koja vežu njihove ruke, ali umjesto toga omogućava im da voze poslovanje u doba krize, rasta ili značajnih promjena. Podizanje i slavlje pojedinci su od suštinskog značaja, ali i izgradnju sustava koji je dizajniran da im dopusti da uspiju, a ne zadržati ih natrag osiguravaju da budući vođe mogu zadržati u organizaciji i industriji u cjelini. Najvažnije, oni će održavati dobro mentalno zdravlje na mjestu gdje se osjećaju podržano i cijenjeno.

Tim Griefeson, OCD na stvari