Giám đốc An ninh Thông tin (CISO) là giám đốc điều hành Level C, người chịu trách nhiệm về bảo mật thông tin và dữ liệu cho toàn bộ tổ chức hoặc doanh nghiệp. CISO được coi là đỉnh cao của sự nghiệp CNTT và là tướng năm sao của cục an ninh CNTT. Đây là công việc uy tín và được trả lương cao nhất trong số các chuyên gia bảo mật trên toàn thế giới. CISO có thể cung cấp mức độ trách nhiệm giải trình, do đó nâng cao tiêu chuẩn chung về các thực hành bảo mật của tổ chức.
Trọng tâm chính của CISO không gì khác ngoài bảo mật. Họ cần lựa chọn, giám sát và cung cấp khả năng lãnh đạo và quản lý phù hợp cho bất kỳ sáng kiến nào được thực hiện trong một tổ chức liên quan đến an ninh mạng. An ninh thông tin tổng thể trong tổ chức do CISO tư vấn và trách nhiệm của họ phụ thuộc vào quy mô và loại hình của tổ chức. Một CISO tốt phải có nền tảng kỹ thuật cũng như nhận thức kinh doanh vững vàng. Vai trò của anh ấy kết hợp các kỹ năng kỹ thuật với khả năng quản lý và nhân cách tuyệt vời. Một CISO thực sự tuyệt vời có thể giảm thiểu rủi ro vi phạm dữ liệu xuống gấp mười lần.
Thực hiện an ninh mạng luôn là mối quan tâm hàng đầu đối với bất kỳ tổ chức nào và vì vậy nhu cầu về CISO tiếp tục tăng. Sau đây, chúng ta hãy xem xét các trách nhiệm, yêu cầu và chứng chỉ và nhiều hơn nữa cần thiết để có được một công việc CISO.
Trách nhiệm của CISO
Một CISO yêu cầu nhiều kinh nghiệm CNTT, kỹ năng lãnh đạo và giao tiếp mạnh mẽ. Chỉ có kiến thức sâu về bảo mật thông tin thôi thì chưa đủ để trở thành CISO. Anh ta phải có khả năng hiểu được tầm nhìn và chiến lược sâu rộng cho tổ chức, đồng thời thực hiện các biện pháp thích hợp để đảm bảo rằng tài sản thông tin và công nghệ của tổ chức được bảo vệ đúng cách. CISO phải nói bằng ngôn ngữ mà tổ chức có thể hiểu được. Trách nhiệm của anh ấy trong một tổ chức trải rộng trên các lĩnh vực kiến thức khác nhau.
Để dễ dàng hiểu được công việc của một CISO, tốt hơn hết là bạn nên tìm hiểu những trách nhiệm hàng ngày mà anh ta phải đảm nhận.
Hoạt động bảo mật: Phân tích bất kỳ mối đe dọa tức thời nào trong thời gian thực và sắp xếp khi có sự cố.
Rủi ro mạng và trí tuệ không gian mạng: Nhận thức được các mối đe dọa an ninh đang phát triển và giúp hội đồng quản trị hiểu được các vấn đề an ninh tiềm ẩn có thể phát sinh từ việc mua lại hoặc các động thái kinh doanh lớn khác.
Ngăn ngừa mất mát dữ liệu và gian lận: Đảm bảo rằng nhân viên nội bộ không lạm dụng, thay đổi hoặc đánh cắp dữ liệu.
Kiến trúc bảo mật: Lập kế hoạch, mua và triển khai phần cứng và phần mềm bảo mật, đồng thời đảm bảo rằng cơ sở hạ tầng CNTT và mạng được thiết kế theo các phương pháp bảo mật tốt nhất.
Quản lý danh tính và quyền truy cập: Đảm bảo rằng dữ liệu và hệ thống bị hạn chế chỉ những người được ủy quyền mới có thể truy cập được.
Quản lý chương trình: Thực hiện các chương trình giảm thiểu rủi ro như các bản vá hệ thống thông thường. Thiết kế các kế hoạch chiến lược xử lý việc triển khai các công nghệ an toàn thông tin được sử dụng trong tổ chức.
Điều tra và pháp y: Để xác định xem vi phạm đã xảy ra như thế nào trong trường hợp xảy ra, hãy xử lý những người chịu trách nhiệm, nếu đó là nhân viên nội bộ, và lập kế hoạch để tránh xảy ra khủng hoảng tương tự vào lần sau.
Quản trị: Để đảm bảo rằng các sáng kiến nêu trên hoạt động trơn tru và nhận được tài trợ bất cứ khi nào cần thiết và đảm bảo rằng lãnh đạo công ty hiểu được tầm quan trọng của chúng.
Đánh giá, giảm thiểu và tránh rủi ro: CISO phải khảo sát và kiểm kê kỹ lưỡng các tài sản thông tin, tài sản trí tuệ và các tài sản kỹ thuật số có giá trị khác, biết các mối đe dọa mà họ có thể phải đối mặt, quyết định các biện pháp sẽ được thực hiện để bảo vệ những thứ đó khỏi bất kỳ thiệt hại, mất mát hoặc tổn hại.
Tuân thủ pháp luật và quy định: Điều quan trọng là phải hiểu cách tài sản thông tin và tài sản kỹ thuật số của doanh nghiệp nằm trong phạm vi của luật và quy định hiện hành và tuân theo các yêu cầu liên quan như đánh giá, kiểm toán, báo cáo, quyền riêng tư, bảo mật, v.v. Cán bộ phải sẵn sàng đối phó với vi phạm bảo mật, đánh giá và đối phó với các hậu quả pháp lý, kinh doanh và tài chính.
Đảm bảo rằng tất cả các chính sách bảo mật của công ty được phát triển và tuân thủ các tiêu chuẩn bảo mật đã xác định.
Tuyển chọn các chuyên gia bảo mật CNTT và hướng dẫn họ mọi lúc. Cung cấp nhiều khóa đào tạo khác nhau cho họ, hỗ trợ họ bất cứ khi nào cần và nâng cao kỹ năng lãnh đạo của họ để giúp họ đạt được vị trí cao hơn.
Thiết kế và triển khai các chương trình giáo dục nhằm nâng cao nhận thức và tuân thủ bảo mật ở người dùng.
Cập nhật tất cả cơ sở hạ tầng hiện đại cho các hệ thống an ninh khác nhau trong tổ chức.
Kiểm tra các lỗ hổng, mối đe dọa hoặc sự kiện hiện có trong mạng hoặc hệ thống của tổ chức bạn.
Các yêu cầu tài chính phải được xem xét trong khi thực hiện các thủ tục an ninh mạng mà tổ chức sẽ thực hiện. Cần phải dự đoán chi phí cho mọi sáng kiến được thực hiện trong các bộ phận an ninh mạng. Ngoài ra, hãy đảm bảo ước tính chi phí cần thiết cho việc duy trì tất cả các tài sản bảo đảm thuộc sở hữu của tổ chức.
CISO phải báo cáo cho CIO hoặc Giám đốc điều hành của tổ chức về bất kỳ khía cạnh bảo mật nào.
Tại sao một tổ chức cần CISO?
Điều quan trọng là phải có CISO trong mọi tổ chức. Bản chất của các mối đe dọa mạng đã phát triển và xảy ra với số lượng lớn. Hầu như tất cả các công ty không phân biệt ngành nghề xử lý dữ liệu nhạy cảm và có nguy cơ bị rò rỉ dữ liệu và tấn công mạng. Mọi tổ chức đều cần một số chuyên gia có ưu tiên hàng đầu là bảo mật. Trong trường hợp xảy ra vi phạm dữ liệu trong một tổ chức, một chuyên gia bảo mật là cần thiết để giám sát kế hoạch ứng phó sự cố. Anh ta phải có khả năng tương tác với cơ quan thực thi pháp luật và thực hiện các bản sửa lỗi thích hợp cho hệ thống.
CISO đóng một vai trò quan trọng trong lãnh đạo doanh nghiệp. Anh ta có thể xử lý dữ liệu nhạy cảm, giảm thiểu các mối đe dọa mạng và rò rỉ dữ liệu có thể khiến tổ chức phải trả giá cả về tài chính và danh tiếng.
Kỹ năng của CISO
Một chuyên gia bảo mật học được nhiều kỹ năng kỹ thuật hơn khi họ tiến lên hàng đầu trong hệ thống phân cấp công việc và khi họ trở thành CISO. Một CISO phải có nhiều kỹ năng để phù hợp với vị trí công việc và phải có sự kết hợp của cả kiến thức kỹ thuật và kinh doanh.
Một số kỹ năng khó cần thiết cho CISO bao gồm
- CISO phải nhận thức được kiến trúc của doanh nghiệp và bảo mật. Họ nên biết các thông lệ và phương pháp khi nói đến chiến lược CNTT.
- Cần có nền tảng tốt về các khái niệm mạng máy tính như DNS, xác thực, VPN, dịch vụ proxy và công nghệ giảm thiểu DDOS. Cần có kinh nghiệm với TCP / IP, định tuyến và chuyển mạch.
- Phải thành thạo để làm việc với Windows và Unix như hệ điều hành. Họ phải có kinh nghiệm về các ngôn ngữ lập trình khác nhau như Python, Java và PHP.
- Phải có khả năng xác định và phát triển kiến trúc an ninh mạng.
- Các CISO được kỳ vọng sẽ giúp tuân thủ quy định và vì vậy cần phải biết về các đánh giá tuân thủ PCI, HIPAA, NIST, GLBA và SOX.
- Có thể đối phó với các khuôn khổ như ISO 27001/27002, ITIL và COBIT.
- Biết các giao thức đối phó với phát hiện xâm nhập, ngăn chặn xâm nhập và tường lửa.
- Các kỹ thuật để lấy cắp đạo đức và mô hình hóa mối đe dọa cũng như các khái niệm về thực hành để mã hóa an toàn cũng rất cần thiết.
Các kỹ năng mềm cũng cần thiết cho một CISO và được các tổ chức thuê họ mong đợi. Các kỹ năng liên quan đến khía cạnh giữa các cá nhân và kỹ năng đàm phán là cần thiết. CISO phải có kỹ năng giao tiếp xuất sắc và phải có khả năng giao dịch với các bên liên quan khác nhau trong tổ chức. CISO phải có khả năng cộng tác với các giám đốc điều hành cấp cao và xây dựng mối quan hệ bền chặt với các bộ phận khác nhau trong tổ chức. Họ cần có kỹ năng giao tiếp với các giám đốc điều hành cấp C khác và hội đồng quản trị. CISO cũng phải có khả năng xử lý bất kỳ loại yêu cầu pháp lý hoặc quy định nào.
Yêu cầu đào tạo
CISO phải có tối thiểu bằng Cử nhân và thông thường các ứng viên chọn bằng về Khoa học máy tính, An ninh mạng, kinh doanh hoặc các lĩnh vực liên quan. Các nhân viên có thể yêu cầu CISO phải có bằng Thạc sĩ về bảo mật CNTT. Ngày nay, các ứng viên cũng đạt được một hoặc nhiều bằng Thạc sĩ. Vì sự hiểu biết sâu rộng về các nguyên tắc và thực tiễn kinh doanh là cần thiết cho một CISO, bằng MBA cũng được nhiều người theo đuổi. Có thể lấy bằng MBA với các chứng chỉ trong các lĩnh vực An ninh mạng, Công nghệ thông tin và Pháp y CNTT.
Nhiều CISO có bằng Thạc sĩ Khoa học trong các lĩnh vực kỹ thuật bao gồm Hệ thống & Công nghệ Thông tin, An ninh mạng, Công nghệ Thông tin & Quản lý, Khoa học Máy tính và Khoa học Pháp y Kỹ thuật số.
Con đường sự nghiệp có thể được thực hiện bởi các cá nhân để trở thành một CISO bao gồm bắt đầu sự nghiệp với tư cách là một lập trình viên hoặc nhà phân tích, học để trở thành một nhà phân tích bảo mật, lấy thêm chứng chỉ và đào tạo, giám sát một nhóm Bảo mật, lấy bằng MBA về An toàn thông tin và sau đó được thăng chức làm Giám đốc An toàn Thông tin.
Các khóa học về chứng chỉ CISO
Để nâng cao nhận thức về CNTT của bạn, bạn nên đầu tư vào các chứng chỉ và đào tạo CNTT tập trung vào bảo mật có thể làm sáng tỏ hồ sơ của bạn. Dưới đây là một số chứng chỉ an ninh mạng có liên quan để kiếm được:
- CISSP: Chuyên gia bảo mật hệ thống thông tin được chứng nhận
- CCISO: Giám đốc An ninh Thông tin được Chứng nhận
- CISM: Giám đốc bảo mật thông tin được chứng nhận
- CEH: Hacker đạo đức được chứng nhận
- OSCP: Chuyên gia được chứng nhận về bảo mật tấn công
- CISA: Kiểm toán hệ thống thông tin được chứng nhận
- GSLC: Lãnh đạo An ninh GIAC
- CGEIT: Được chứng nhận về Quản trị CNTT Doanh nghiệp
Kinh nghiệm công việc
Một CISO phải có nhiều năm trong lĩnh vực an toàn thông tin với nền tảng kỹ thuật vững chắc. Bạn không thể đạt được trạng thái CISO trừ khi bạn có nhiều kinh nghiệm trong lĩnh vực này. 6–12 năm kinh nghiệm làm việc với ít nhất năm năm trong vai trò quản lý là bắt buộc đối với vai trò CISO. Kinh nghiệm về bảo mật thông tin, quản lý rủi ro, CNTT và chính phủ là tất cả những nền tảng cho các vị trí CISO. Một CISO tham vọng phải có chuyên môn về bảo mật thông tin doanh nghiệp với tư cách là nhà phân tích bảo mật, kiến trúc sư bảo mật, nhà tư vấn hoặc hacker có đạo đức. Một khi nền tảng bảo mật CNTT được thiết lập, sẽ rất có lợi nếu có các vị trí CNTT quản lý để có kinh nghiệm quản lý.
Đào tạo
Quá trình đào tạo để trở thành Giám đốc An toàn Thông tin chủ yếu bao gồm việc có một nền tảng giáo dục phù hợp, sẵn sàng cho một số chứng chỉ và nhiều năm kinh nghiệm. Có những tổ chức nơi người ta có thể đạt được kiến thức bảo mật. Các cơ hội đào tạo bao gồm đào tạo do người hướng dẫn, video dựa trên máy tính, sách, phòng thí nghiệm và các tài liệu khác, đào tạo trực tiếp, v.v. Đối với CISO, bắt buộc phải cập nhật các xu hướng công nghệ mới nhất và không ngừng học hỏi để đi đầu của đường cong công nghệ. CISO phải nhận thức được các công cụ và công nghệ bảo mật hiện tại và cũng phải theo dõi những phát triển mới trong lĩnh vực này.
Tham dự Hội nghị An ninh Quốc tế và Địa phương
Giống như các lĩnh vực CNTT khác, Bảo mật thông tin có các quy ước và hội nghị dành riêng cho lĩnh vực này, chẳng hạn như Hội nghị thượng đỉnh CISO, Diễn đàn toàn cầu CIO, Hội nghị thượng đỉnh Black Hat CISO, (ISC) ² Chương, v.v.
Lương CISO
CISO là một công việc cấp cao và họ được trả lương tương xứng. Mức lương của CISO rất khác nhau tùy theo quy mô của tổ chức và điển hình là mức lương trên 130.000 đô la. Tính đến tháng 3 năm 2019, mức lương trung bình hàng năm cho CISO ở Hoa Kỳ là 235.600 đô la một năm. Điều đáng chú ý là lương bảo vệ đang tăng tương đối ổn định trong vài năm qua, đặc biệt là do ngày càng khó tìm thấy các ứng viên tài năng để đảm nhận các vai trò chuyên môn cao.
CISO VS CIO
Trong các công ty vừa và lớn, có cả Giám đốc Thông tin (CIO) và Giám đốc An ninh Thông tin (CISO) tham gia. Giám đốc Thông tin (CIO) xem xét các vấn đề kỹ thuật chung mà công ty phải đối mặt. Họ tập trung vào hệ thống thông tin và quản lý kỹ thuật số. Họ cung cấp hỗ trợ cho các giải pháp công nghệ của doanh nghiệp. Gần đây, vai trò của CIO cũng bao gồm các nhiệm vụ liên quan đến an ninh mạng vì các công cụ bảo mật hiện đang được sử dụng trong các hoạt động CNTT hàng ngày của một tổ chức.
CISO chủ yếu lo lắng về tính bảo mật của hệ thống máy tính và cơ sở dữ liệu trong một tổ chức. Họ đối phó với việc quản lý rủi ro bảo mật thông tin trong suốt vòng đời dữ liệu. Họ phải biết dữ liệu nhạy cảm nằm ở đâu, làm thế nào để bảo vệ nó, những rủi ro mà công ty phải đối mặt và cũng hỗ trợ các mục tiêu của doanh nghiệp.
Cả CIO và CISO đều bảo vệ và quản lý tài sản và thông tin của công ty. Mặc dù chức năng của CIO là đảm bảo các hệ thống và thông tin luôn sẵn có và có thể truy cập được đối với những người cần thiết, nhưng chức năng của CISO là đảm bảo rằng cơ quan có thẩm quyền và thông tin đó chỉ có thể truy cập được cho những người thực sự cần và ở lại nơi nó được cho là. Khi CIO và CISO phối hợp hoạt động, hoạt động kinh doanh của một công ty có thể duy trì sự an toàn và hiệu quả.
Thegioibantin.com | VinaAspire News