Rolul de CISO nu mai ține doar de IT. Cristiana Deca, Decalex: Un CISO „blocat” în subordinea IT-ului va fi mereu în urmă

Poziția de Chief Information Security Officer, cunoscută drept CISO, este încă privită în multe companii ca o funcție strict tehnică, aflată în subordinea departamentului IT. Cristiana Deca, CEO și cofondator al Decalex, explică însă că această abordare a devenit una periculoasă, mai ales în contextul actual al riscurilor cibernetice și al noilor obligații de conformare.

Riscul cibernetic nu mai este doar o problemă tehnică

Cristiana Deca arată că una dintre cele mai mari greșeli de guvernanță corporativă din 2026 este tratarea funcției de CISO ca pe un simplu rol superior din departamentul IT. Dacă în trecut această abordare putea fi considerată suficientă, realitatea actuală este complet diferită.

Ea explică faptul că un atac cibernetic poate afecta rapid și sever o companie, de la pierderi financiare și blocaje operaționale până la probleme juridice, daune reputaționale și pierderea încrederii investitorilor, partenerilor sau clienților.

Atunci când sistemele unui producător industrial sunt blocate, datele unui retailer sunt furate sau infrastructura unei bănci este compromisă, efectele nu se limitează la zona tehnică. Piețele reacționează imediat, competitorii profită de vulnerabilitate, iar compania poate pierde oportunități importante într-un timp foarte scurt.

Din acest motiv, riscul cibernetic trebuie tratat ca un risc de business de prim rang, nu doar ca o problemă de infrastructură IT.

„Riscul cibernetic trebuie să fie tratat cu un risc de business de prim rang, dincolo de faptul că este un risc tehnologic în sine. Pentru că potențialul acestuia, în lipsa procedurilor și a măsurilor de conformare, este de a distruge zeci de procente din valoarea de piață a unei companii într-o singură noapte.

Atunci când un atacator criptează sistemele unui producător industrial, fură (și șterge din sisteme) datele clienților din bazele unui retailer sau compromite infrastructura critică a unei bănci, consecințele sunt financiare, operaționale, legale, de reputație și de încredere a acționarilor, partenerilor, clienților.

Iar piețele reacționează imediat, competitorii se repliază, se pierd oportunități. O sumă de consecințe greu de anticipat și evaluat, și mai greu de remediat”, spune aceasta.

De ce raportarea directă către CIO poate crea probleme

Un punct important evidențiat de Cristiana Deca este conflictul structural care apare atunci când CISO-ul raportează direct CIO-ului.

CIO-ul are ca obiectiv principal accelerarea transformării digitale, livrarea proiectelor și optimizarea costurilor. În schimb, CISO-ul are responsabilitatea de a opri sau amâna anumite decizii atunci când viteza sau reducerea costurilor afectează securitatea și reziliența organizației.

Această tensiune este considerată normală și chiar necesară, însă ea nu poate funcționa corect dacă ambii executivi se află în același lanț ierarhic.

În această situație, independența reală a CISO-ului este afectată, iar deciziile de securitate riscă să fie tratate ca simple obstacole în calea implementării rapide a proiectelor.

„Când CISO-ul raportează direct CIO-ului, structura însăși generează un conflict de interese structural. CIO-ul este incentivizat să livreze proiecte, să accelereze transformarea digitală și să optimizeze costurile. CISO-ul are datoria strategică să spună „nu” sau „nu încă” atunci când viteza sau economiile compromit reziliența organizației.

Această tensiune este sănătoasă și necesară, însă nu poate fi gestionată corect dacă ambii executivi se află în același lanț ierarhic”, arată Deca.

Directiva NIS2 schimbă complet rolul CISO

În contextul Directivei NIS2, rolul CISO-ului capătă o dimensiune clară de guvernanță. Cristiana Deca subliniază că această directivă plasează responsabilitatea finală pentru managementul riscurilor cibernetice la nivelul conducerii organizației.

Managementul trebuie să aprobe, să supravegheze și să își asume măsurile de securitate implementate. Astfel, CISO-ul devine principalul consilier strategic al board-ului și al CEO-ului, fiind persoana care traduce riscurile tehnice în impact real de business.

Acesta contribuie la definirea apetitului de risc cibernetic al companiei, la alinierea strategiei de securitate cu obiectivele de afaceri și la evaluarea riscului rezidual în termeni financiari și operaționali.

Mai mult, CISO-ul consiliază Comitetul de Audit și Riscuri și participă direct la deciziile strategice privind continuitatea afacerii.

„Cele mai mature organizații au adoptat modelul de raportare duală: funcțional către Comitetul de Audit sau Riscuri al Consiliului de Administrație și administrativ către CIO.

În peisajul actual al amenințărilor, unde AI-ul este folosit de atacatori pentru a lansa campanii ultra-personalizate și rapide, un CISO „blocat” în subordinea IT-ului va fi mereu în urmă, limitat de bugete de mentenanță și de o viziune pur reactivă”, punctează Deca.

România încă tratează CISO-ul ca pe un om de IT

Potrivit Cristianei Deca, în România și în mare parte din Europa Centrală și de Est, majoritatea CISO-ilor continuă să raporteze CIO-ului și sunt percepuți drept specialiști IT cu focus pe securitate.

Bugetele de securitate rămân incluse în bugetele IT, iar discuțiile cu board-ul se reduc adesea la indicatori tehnici precum numărul atacurilor blocate sau procentul de patch-uri aplicate.

Ea consideră că această abordare, poate acceptabilă în urmă cu zece ani, este astăzi depășită și riscantă.

Cele mai mature organizații au trecut deja la un model de raportare duală: funcțional către Comitetul de Audit sau Riscuri al Consiliului de Administrație și administrativ către CIO.

Acest model oferă independența necesară pentru ca securitatea cibernetică să fie tratată la nivel strategic, nu doar operațional.

„Deocamdată, în România și în mare parte a Europei Centrale și de Est, majoritatea CISO-ilor raportează încă CIO-ului și sunt percepuți ca „oameni de IT cu focus pe securitate”. Mentalitățile și abordările noii realități se adaptează greu, însă și pericolele care vin din această realitate, și cadrul de reglementare ar trebui să fie cele două mari argumente întru acceptarea schimbărilor.

Bugetele de securitate rămân subsumate bugetului IT, iar discuțiile cu board-ul se limitează frecvent la metrici tehnice – număr de atacuri blocate sau procente de patch-uri aplicate. Această abordare, acceptabilă în 2015, a devenit periculos de învechită. Probabil că cel mai important rol aici revine tocmai acestui CISO al companiei, fie el intern sau extern(alizat), să atragă atenția top managementului”, declară Deca.

Tot mai multe companii aleg varianta vCISO

O altă tendință tot mai vizibilă este utilizarea formulei de vCISO, adică CISO virtual sau externalizat. Pentru companiile mici și mijlocii, această variantă devine o soluție practică, deoarece permite accesul la expertiză strategică fără costurile unui CISO angajat full-time.

Cristiana Deca arată că aceste companii încep să înțeleagă că au nevoie de expertiză în guvernanța riscului cibernetic, nu doar de administrarea unor echipamente sau sisteme tehnice.

Astfel, consultanții independenți sau senior advisorii specializați pot oferi sprijin real în definirea strategiei de securitate și în conformarea cu noile cerințe europene.

„Tranziția către formula cu vCISO (CISO virtual/extern) ori pentru un senior advisor, cel puțin, reprezintă, de asemenea, o tendință bună, tot mai vizibilă.

Companiile mici și mijlocii înțeleg că au nevoie de expertiză, și chiar dacă nu-și permit un CISO full-time, încep să apeleze din ce în ce mai mult la consultanți independenți care stăpânesc guvernanța riscului cibernetic mult mai bine decât configurarea unui router sau managementul unui SIEM”, spune ea.

Potrivit acesteia, companiile care înțeleg rapid această schimbare vor avea un avantaj important în ceea ce privește reziliența, dezvoltarea și conformarea. Cele care continuă să trateze doar simptomele vor rămâne expuse unor riscuri strategice cu efecte mult mai grave.