U današnjem poslovnom okruženju kibernetička sigurnost više se ne može promatrati isključivo kao IT tema, već kao važan dio ukupnog upravljanja organizacijom. Sve učestaliji kibernetički napadi, sve kompleksniji digitalni sustavi i stroži regulatorni zahtjevi, poput NIS2 direktive, sigurnost jasno pozicioniraju kao odgovornost najviše razine upravljanja. Prema podacima Agencije Europske unije za kibernetičku sigurnost (ENISA), novi regulatorni okviri prvi put formalno definiraju odgovornost uprava i nadzornih odbora za upravljanje kibernetičkim rizicima.
Upravo u tom kontekstu sve važniju ulogu dobiva vCISO, odnosno virtualni direktor informacijske sigurnosti. Riječ je o iskusnom vanjskom stručnjaku koji preuzima stratešku ulogu u upravljanju sigurnošću organizacije, bez potrebe za zapošljavanjem na puno radno vrijeme. Njegov fokus nije na svakodnevnim operativnim zadacima, već na savjetovanju uprave, definiranju sigurnosnog okvira i upravljanju rizicima. Na taj način vCISO postaje svojevrsna produžena ruka menadžmenta u području kibernetičke sigurnosti.
Takav pristup omogućuje da sigurnost prestane biti prvenstveno reaktivna funkcija i postane strukturiran sustav upravljanja rizicima, s jasno definiranim odgovornostima i prioritetima te odlukama koje se temelje na relevantnim podacima.
Jedan od razloga zbog kojih se kompanije sve češće odlučuju za ovaj model jest i globalni nedostatak stručnjaka za kibernetičku sigurnost. Prema podacima International Information System Security Certification Consortiuma (ISC²), globalno nedostaje oko četiri milijuna stručnjaka iz tog područja. Upravo zato vCISO model mnogim organizacijama omogućuje pristup potrebnoj ekspertizi bez visokih troškova i dugoročnih obveza koje podrazumijeva zapošljavanje vlastitog stručnjaka.
U usporedbi s internim zapošljavanjem, angažman vCISO-a može smanjiti troškove, omogućiti brži početak rada te organizaciji otvoriti pristup širem rasponu stručnih znanja i iskustava. Istodobno se uklapa u širi trend prelaska poslovnih funkcija na „as-a-service“ modele.
Prednosti takvog pristupa posebno dolaze do izražaja kada se uzme u obzir kontinuirani rast troškova sigurnosnih incidenata. IBM-ov Cost of a Data Breach Report 2024 pokazuje da je prosječan globalni trošak povrede podataka dosegnuo oko 4,88 milijuna dolara. Takvi podaci potvrđuju da kibernetička sigurnost više nije samo pitanje IT budžeta, već upravljanja poslovnim rizikom. Uprave zato trebaju strukturiran pristup koji im omogućuje da razumiju gdje se nalaze najveće prijetnje i koje mjere mogu imati najveći učinak.
Važna vrijednost vCISO modela je i veća transparentnost. Umjesto fragmentiranih informacija i tehničkog žargona, menadžment dobiva jasan pregled stanja sigurnosti i odgovore na ključna poslovna pitanja: gdje se nalaze najveći rizici, kolika je izloženost regulatornim sankcijama, koje investicije donose najveći učinak te koliko je organizacija spremna odgovoriti na potencijalni incident. Takav pristup omogućuje kvalitetnije i informiranije donošenje odluka te smanjuje prostor za improvizaciju.
U kontekstu regulatornih zahtjeva uloga vCISO-a dodatno dobiva na važnosti. Organizacije koje podliježu NIS2 direktivi ili relevantnom nacionalnom zakonodavstvu često se suočavaju s pitanjem kako sustavno pristupiti usklađivanju. Umjesto ad hoc aktivnosti i stvaranja velike količine dokumentacije bez jasnog sustava, vCISO uvodi fazni pristup koji uključuje procjenu postojećeg stanja, mapiranje regulatornih zahtjeva, definiranje potrebnih politika i uspostavu odgovarajućih procesa. Na taj način usklađivanje prestaje biti jednokratan projekt i postaje kontinuiran proces upravljanja.
Važan dio suvremenog pristupa sigurnosti je i mogućnost njezina mjerenja. Korištenjem GRC platformi, koje na jednom mjestu povezuju upravljanje rizicima, usklađenost i interne politike, vCISO omogućuje veću transparentnost i mjerljivost sigurnosnih aktivnosti. Uprava tako može kontinuirano pratiti napredak, lakše identificirati slabosti i razumjeti stvarni učinak poduzetih mjera. Sigurnost se time prestaje doživljavati kao svojevrsna „crna kutija“ i postaje jasno definiran segment poslovanja kojim je moguće sustavno upravljati.
U konačnici, vCISO nije samo odgovor na regulatorne zahtjeve niti privremeno rješenje za nedostatak internih resursa. Riječ je o evoluciji načina na koji organizacije pristupaju kibernetičkoj sigurnosti – kao strateškom stupu poslovne otpornosti i povjerenja. U digitalnoj ekonomiji, u kojoj se inovacije ubrzano razvijaju, a s njima rastu i rizici, sposobnost sigurnog upravljanja promjenama postaje važna konkurentska prednost.
A1 Hrvatska poslovnim korisnicima nudi vCISO uslugu koja organizacijama omogućuje pristup specijaliziranoj ekspertizi i strukturiranom upravljanju kibernetičkom sigurnošću, prilagođenom njihovim poslovnim potrebama i regulatornim zahtjevima.
