ผลสำรวจของการ์ทเนอร์ อิงค์ พบว่ามีผู้บริหารความปลอดภัยด้านสารสนเทศ (CISOs) เพียง 12 % เท่านั้นที่มีความสามารถผ่านเกณฑ์ด้วยการประเมินจากดรรชนีชี้วัดประสิทธิภาพทั้งสี่หมวดของการ์ทเนอร์ นักวิเคราะห์ของการ์ทเนอร์เผยผลสำรวจและหารือถึงคุณลักษณะของ CISOs ที่มีศักยภาพอยู่ในระดับสูงสุดระหว่างการประชุมสุดยอดด้านความปลอดภัยและการจัดการความเสี่ยงของการ์ทเนอร์ประจำปี 2563 ที่จัดขึ้นแบบเสมือนจริงในอเมริกา ยุโรป ตะวันออกกลางและแอฟริกา
นายแซม โอลแญ ผู้อำนวยการฝ่ายวิจัยของการ์ทเนอร์ กล่าวว่า “วันนี้ผู้บริหาร CISOs ต้องแสดงออกถึงประสิทธิภาพการทำงานที่สูงขึ้นไปอีกระดับจากเดิมในขณะที่ดิจิทัลมีบทบาทสำคัญรอบด้าน ผู้บริหารฯ มีหน้าที่สนับสนุนการตัดสินใจจัดการกับชุดข้อมูลความเสี่ยงที่พัฒนาการเปลี่ยนแปลงอย่างรวดเร็ว ในขณะเดียวกันต้องเผชิญกับข้อจำกัดจากหน่วยงานกำกับดูแล ทีมผู้บริหารและคณะกรรมการ ซึ่งความท้าทายเหล่านี้เป็นองค์ประกอบของแรงกดดันเพิ่มเติมจากโควิด-19 เพื่อทำให้ฟังก์ชันการรักษาความปลอดภัยข้อมูลมีความคล่องตัวและยืดหยุ่นมากขึ้น”
ผลการสำรวจศักยภาพ CISOs ของการ์ทเนอร์ในปี 2563 ดำเนินการโดยหัวหน้าฝ่ายความเสี่ยงด้านข้อมูล 129 คนจากทุกอุตสาหกรรมทั่วโลกเมื่อเดือนมกราคม 2563 การวัดศักยภาพ CISO ของการ์ทเนอร์พิจารณาจากความสามารถผ่านการวิเคราะห์และดำเนินการกับผลลัพท์ใน 4 หมวด ได้แก่ ความเป็นผู้นำในหน้าที่รับผิดชอบ (Functional Leadership), การให้บริการด้านความปลอดภัยของข้อมูล (Information Security Service Delivery), ระดับการกำกับดูแล (Scaled Governance) และการตอบสนองระดับองค์กร (Enterprise Responsiveness) โดยคะแนนของผู้ตอบคำถามแต่ละคนในแต่ละหมวดหมู่จะถูกรวมเข้าด้วยกันและคำนวณออกมาเป็นคะแนนรวม การ์ทเนอร์ให้คำนิยามของ “ผู้บริหารความปลอดภัยสารสนเทศที่มีศักยภาพ” ว่าคือผู้บริหารฯ ที่ได้คะแนนสูงสุด 1 ใน 3 ของการวัดผลนี้
5 พฤติกรรมหลักที่ CISOs ระดับท็อปแสดงออก
จากปัจจัยต่าง ๆ ที่มีผลต่อศักยภาพของผู้บริหาร CISO การ์ทเนอร์เผยพฤติกรรม 5 แบบที่ทำให้ผู้บริหารความปลอดภัยสารสนเทศในระดับท็อปแตกต่างจากผู้บริหารฯ ในกลุ่มที่ด้อยกว่าอย่างมีนัยสำคัญ โดยเฉลี่ยแล้วพฤติกรรมเหล่านี้จะปรากฏในผู้บริหารที่มีศักยภาพสูงสุดมากกว่าผู้บริหารที่มีศักยภาพระดับต่ำกว่าถึงสองเท่า
“แนวโน้มที่ชัดเจนของ CISOs ที่มีความสามารถสูงแสดงให้เห็นพฤติกรรมเชิงรุก ไม่ว่าจะเป็นการติดตามความเปลี่ยนแปลงของภัยคุกคาม การสื่อสารความเสี่ยงใหม่ ๆ ที่เกิดขึ้นต่อผู้ถือหุ้นหรือมีแผนเตรียมรับมืออย่างเป็นทางการ“ กล่าวโดย นาย โอลแญ “ผู้บริหารฯ ควรให้ความสำคัญกับการกระทำเชิงรุกเหล่านี้เพื่อเพิ่มประสิทธิภาพการดำเนินงาน”
การสำรวจยังพบว่า CISOs ที่มีศักยภาพระดับท็อปมักประชุมหารือกับผู้ถือหุ้นที่ไม่ใช่ไอทีมากกว่าผู้ถือหุ้นด้านไอทีถึงสามเท่า โดยสองในสามของเหล่า CISOs ที่มีศักยภาพสูงมักประชุมกับผู้นำกลุ่มธุรกิจอย่างน้อยเดือนละครั้ง ขณะที่ 43% ประชุมกับซีอีโอ 45% ประชุมกับหัวหน้าฝ่ายการตลาดและ 30% ประชุมหารือกับหัวหน้าฝ่ายขาย
“ที่ผ่านมา CISOs มีความสัมพันธ์ที่ดีกับผู้บริหารไอที แต่การเปลี่ยนแปลงทางดิจิทัลทำให้การตัดสินใจด้านความปลอดภัยของข้อมูลมีความเสมอภาคมากขึ้น” นางสาวดาเรีย คริเลนโก ผู้อำนวยการฝ่ายวิจัยอาวุโสของการ์ทเนอร์กล่าวเพิ่มเติม “CISOs ที่มีศักยภาพเฝ้าจับตาดูความเสี่ยงที่เกิดขึ้นทั่วทั้งองค์กรและพัฒนาเป็นความสัมพันธ์ที่แข็งแกร่งกับเจ้าของความเสี่ยงนั้น โดยเฉพาะกับผู้นำธุรกิจอาวุโสที่ไม่ใช่ด้านไอที”
CISOs ที่มีศักยภาพจะสามารถจัดการกับความเครียดได้ดีกว่า
ผลการสำรวจยังพบว่า CISOs ที่มีศักยภาพสูงสามารถจัดการกับความเครียดในที่ทำงานได้ดี มีเพียง 27% รู้สึกว่าการแจ้งเตือนเรื่องปลอดภัยมีมากเกินกำลังที่จะทำได้ เปรียบเทียบกับ 62% ของ CISOs ที่มีศักยภาพด้อยกว่า นอกจากนี้ CISOs น้อยกว่าหนึ่งในสามรู้สึกว่าพวกเขาเผชิญกับความคาดหวังที่ไม่สมเหตุสมผลจากผู้ถือหุ้น เทียบกับจำนวนครึ่งหนึ่งของ CISOs ที่มีประสิทธิภาพด้อยกว่า
“ในขณะที่บทบาทของ CISOs เป็นที่ต้องการเพิ่มมากขึ้น ผู้นำด้านความปลอดภัยที่มีศักยภาพสูงสุดคือผู้ที่สามารถจัดการกับความเครียดที่เผชิญอยู่ในทุก ๆ วัน” กล่าวโดย นาย โอลแญ “การดำเนินการต่าง ๆ เช่น สร้างความแตกต่างที่ชัดเจนระหว่างงานที่ทำและงานที่ไม่ได้ทำ ตั้งความคาดหวังที่ชัดเจนกับผู้ถือหุ้น และการมอบหมายงานหรือการทำงานอัตโนมัติเป็นส่วนสำคัญที่ทำให้ผู้บริหารความปลอดภัยสารสนเทศปฏิบัติงานได้อย่างมีประสิทธิภาพสูง”
