آن بارون-دیکامیللو (Ann Barron-DiCamillo)، مدیر ارشد اجرایی و CISO بانک U.S، در گفتگویی تخصصی به بررسی گسترش دامنه مسئولیت‌های مدیران امنیت اطلاعات پرداخته است. به گفته وی، نقش CISO اکنون فراتر از امنیت سنتی رفته و حوزه‌هایی نظیر مقابله با کلاهبرداری (Fraud)، تاب‌آوری (Resilience)، مدیریت ریسک شخص ثالث (Third-party Risk) و حاکمیت هوش مصنوعی (AI Governance) را در بر می‌گیرد.
تغییر پارادایم از کنترل به هماهنگی
بارون-دیکامیللو معتقد است که هیچ رهبری به تنهایی نمی‌تواند بر تمامی این ابعاد نظارت کامل داشته باشد. وی تأکید می‌کند که موفقیت یک CISO مدرن در تلاش برای تبدیل شدن به متخصص همه زمینه‌ها نیست، بلکه در ایجاد شراکت‌های استراتژیک با تیم‌های فناوری، حقوقی، ریسک و عملیات تجاری نهفته است. در واقع، نقش CISO از «کنترل مستقیم» به «تسهیل‌گری و هماهنگ‌کننده» (Convener) تغییر یافته تا تصمیمات مربوط به ریسک با درک کامل از پیامدهای گسترده اتخاذ شوند.
تنش میان سرعت گزارش‌دهی و دقت اطلاعات
در مورد سخت‌گیرانه‌تر شدن ضرب‌الاجل‌های گزارش‌دهی حوادث توسط رگولاتورها، وی اشاره کرد که اگرچه آگاهی زودهنگام به شناسایی کمپین‌های گسترده‌تر کمک می‌کند، اما تضادی میان «سرعت» و «قطعیت» وجود دارد. در ساعات اولیه یک Incident، اولویت سازمان‌ها بر مهار (Containment) و بررسی است، نه تدوین گزارش. وی هشدار داد که گزارش‌های عجولانه مبتنی بر فرض (Assumption) و نه واقعیت، می‌تواند منجر به اصلاحات مکرر و در نهایت کاهش اعتماد رگولاتورها شود.
نقد رویکرد Compliance-Driven در مقابل Risk Reduction
یکی از نکات کلیدی این گفتگو، تمایز میان «انطباق» و «امنیت» است. بارون-دیکامیللو استدلال می‌کند که بسیاری از سازمان‌ها بیش از حد روی فعالیت‌های Compliance سرمایه‌گذاری می‌کنند که صرفاً «شواهدی از امنیت» ارائه می‌دهند، اما لزوماً خودِ امنیت را ارتقا نمی‌دهند. وی پیشنهاد می‌کند سرمایه‌گذاری‌ها به جای افزودن کنترل‌های جدید، بر قابلیت‌هایی متمرکز شود که سطح اکسپوز (Exposure) را پیش از دخالت انسانی کاهش می‌دهند، از جمله:
- اتوماسیون (Automation)
- شفافیت در دارایی‌ها (Asset Visibility)
- مدیریت هویت (Identity Management)
- مدیریت آسیب‌پذیری (Vulnerability Management)
- رویکرد مهندسی Secure-by-Design
اشتراک اطلاعات و مسئولیت مشترک
در نهایت، وی بر اهمیت اشتراک Threat Intelligence از طریق سازمان‌هایی مانند FS-ISAC تأکید کرد تا مؤسسات مالی مجبور نباشند تحلیل‌های مشابه را به صورت موازی و مستقل انجام دهند. وی همچنین یادآور شد که امنیت سایبری یک «مسئولیت مشترک» (Shared Responsibility) است و کاهش پایدار ریسک تنها زمانی رخ می‌دهد که تیم‌های فناوری، کسب‌وکار و امنیت در کنار یکدیگر عمل کنند.
