در طول سه دهه گذشته، نقش مدیر ارشد امنیت اطلاعات (CISO) تحت تأثیر موجات تکنولوژیک و تهدیدات سایبری نوظهور، دستخوش تغییرات گسترده‌ای شده است. امروزه CISOها علاوه بر نظارت بر کنترل‌های امنیتی، مسئولیت‌هایی چون گزارش‌دهی ریسک، مدیریت ریسک اطلاعات، پایش تهدیدات و تدوین استراتژی‌های امنیتی سازمان را بر عهده دارند.
تغییر از دیدگاه فنی به رهبری کسب‌وکار
با گسترش وابستگی دیجیتال و ظهور هوش مصنوعی (AI)، محدوده اختیارات CISO فراتر از ابزارهای فنی رفته است. گزارش‌های اخیر نشان می‌دهد که این نقش اکنون به سمت یک جایگاه اجرایی (Executive) حرکت کرده است که باید بر استراتژی‌های کلان سازمانی اثر بگذارد. تاد فیتزجرالد، متخصص رهبری امنیتی، معتقد است نقش CISO از نظارت فنی و انطباق (Compliance) عبور کرده و اکنون بر تاب‌آوری کسب‌وکار (Business Resilience) متمرکز شده است.
چالش‌های عملیاتی و ساختاری
با وجود این تحول، هنوز شکاف‌های ساختاری وجود دارد. طبق داده‌های IANS، دو-سوم CISOها همچنان به بخش IT گزارش می‌دهند که نشان‌دهنده عدم درک کامل اهمیت استراتژیک این نقش در بسیاری از سازمان‌هاست. این موضوع منجر به بروز مشکلاتی می‌شود، از جمله:
- تضاد در ادراک: CISOها اغلب به عنوان «متخصص فنی» شناخته می‌شوند، در حالی که می‌خواهند به عنوان «رهبر کسب‌وکار» عمل کنند.
- پیچیدگی وظایف: طبق گزارش Splunk، حدود ۷۹٪ از CISOها افزایش چشمگیر پیچیدگی در وظایف خود (از جمله حریم خصوصی داده‌ها و ریسک‌های Third-party) را گزارش کرده‌اند.
- حاکمیت AI: ۹۶٪ از این مدیران اکنون مسئولیت مدیریت ریسک و حاکمیت هوش مصنوعی را بر عهده دارند.
راهکار: تفکیک نقش یا تقویت ساختار؟
در پاسخ به حجم بالای مسئولیت‌ها، بحث‌هایی درباره تفکیک نقش CISO به دو بخش «استراتژیک/کسب‌وکار» و «فنی/عملیاتی» شکل گرفته است. با این حال، بسیاری از خبرگان معتقدند راهکار درست، ایجاد دو پست CISO نیست، بلکه تعریف دقیق مسئولیت‌ها در قالب یک ساختار واحد است. برخی سازمان‌های بزرگ برای مدیریت این فشار، از جایگاه معاون CISO (Deputy CISO) استفاده می‌کنند تا امور عملیاتی را مدیریت کرده و مسیر ارتقای شغلی برای نیروهای متخصص ایجاد کنند.
مسئولیت‌های قانونی و ریسک‌های شخصی
با تبدیل شدن CISO به یک مقام اجرایی، ریسک‌های شخصی نیز افزایش یافته است. تیم براون، CISO در Team 8، تأکید می‌کند که مدیران امنیتی باید در مورد پوشش بیمه‌ای D&O (Directors and Officers) و مسئولیت‌های قانونی خود در برابر نهادهای نظارتی (مانند SEC) گفتگو کنند، به‌ویژه پس از حوادثی مانند نفوذ به SolarWinds که توجهات را به مسئولیت فردی مدیران جلب کرد.
