مدیر امنیت زیر نظر کی باشه؟
شاید زمان تغییر نظر فرا رسیده
**روزبه نوروزی
Www.Roozbeh.academy
مشکل سنتی: درگیری و تعارض منافع مدیر امنیت و مدیر IT
مدیر IT (مثلاً CTO یا IT Manager) وظیفه‌اش «کارایی، دسترس‌پذیری و ارائه خدمات سریع» است.
تیم امنیت معمولاً دنبال «کاهش ریسک، حفاظت، و کنترل قوی» است.
اگر CISO یا سرپرست امنیت زیرمجموعه IT باشد، معمولاً تصمیمات امنیتی تحت فشار نیازهای عملیاتی ضعیف می‌شود.
اگر امنیت مستقیماً زیر نظر CEO باشد، قدرت و استقلال دارد، اما اینجا ریسک تعامل ضعیف و اصطکاک با IT زیاد می‌شود.
و اما راهکار SecOps: اتحاد بجای جدایی کامل یا ادغام کامل
در SecOps به معنی حذف کامل مرز نیست، بلکه ایجاد یک فرهنگ و ساختار همکاری عمیق بین IT و امنیت است.
مدیریت چند-تخصصی: به جای اینکه مدیر امنیت و مدیر IT مستقیماً زیر نظر CEO یا CTO باشند، هر دو زیر نظر یک مدیر عملیاتی ارشد (مثلاً COO یا Chief Digital Officer) قرار می‌گیرند که مسئول «امنیت + کارایی + تحول دیجیتال» است.
تیم‌ها عملاً جدا هستند، اما مجبور به هم‌افزایی و پاسخگویی به یک هدف مشترک می‌شوند:
پروژه‌ها، تغییرات، پیکربندی‌ها و حتی رخدادها با مشارکت همزمان تخصص IT و امنیت پیش می‌رود.
تیم‌های خرد (Squads) تشکیل می‌شود که هردو توان IT و Security را دارند (مثلاً یک Cloud Admin و یک Cloud Security Engineer در یک تیم محصول یا عملیات).
3. ویژگی‌های این ساختار (به سبک SecOps):
همه فرآیندها (از طراحی تا عملیات) هم زمان هم امنیت و هم IT را پوشش می‌دهد.
گزارش‌دهی و پاسخگویی شفاف است: هم IT و هم Security به یک مدیر مشترک پاسخ می‌دهند که تعادل را برقرار می‌کند.
جلوگیری از فرافکنی: زمانی که رخداد یا اختلالی پیش می‌آید، مسیر حل مشکل ترکیب تخصصی دارد و همه مسئولند.
افزایش سرعت و امنیت: تیم پروژه از همان اول، هم رشد و هم ریسک را می‌بیند.
کاهش تعارضات و مقاومت‌ها چون همه اهداف کلان سازمان (Agility + Security + Availability) همزمان دنبال می‌شود.
این SecOps پیشنهادش «زدودن مرز سفت و سخت» بین IT و امنیت نیست بلکه ایجاد یک هویت مشترک عملیاتی است که هر دو تیم، با مسئولیت‌پذیری مشترک، به یک مدیر ارشد (به جای CEO یا CTO صرفاً) متصل باشند و فرهنگ همکاری عمیق و روزانه داشته باشند. این ساختار هم استقلال نسبی به امنیت می‌دهد، هم IT را از سختگیری‌های بی‌منطق دور نگه می‌دارد، و هم به چابکی کسب‌وکار کمک می‌کند.
به نظرتون این ساختار ممکنه چه نکات و شاید اشکالاتی داشته باشه که لازم هست بررسی بشه؟
** ۷ سال پیش در یکی از بانک‌ها CISO رو بردیم زیر نظر CEO ولی بعدش مشکلاتش رو دیدم . الان دارم واسه یه پتروشیمی این ساختار جدید رو پیاده میکنم.
#آکادمی_روزبه
مرکز تخصصی CISSP
شاید زمان تغییر نظر فرا رسیده
**روزبه نوروزی
Www.Roozbeh.academy
مشکل سنتی: درگیری و تعارض منافع مدیر امنیت و مدیر IT
مدیر IT (مثلاً CTO یا IT Manager) وظیفه‌اش «کارایی، دسترس‌پذیری و ارائه خدمات سریع» است.
تیم امنیت معمولاً دنبال «کاهش ریسک، حفاظت، و کنترل قوی» است.
اگر CISO یا سرپرست امنیت زیرمجموعه IT باشد، معمولاً تصمیمات امنیتی تحت فشار نیازهای عملیاتی ضعیف می‌شود.
اگر امنیت مستقیماً زیر نظر CEO باشد، قدرت و استقلال دارد، اما اینجا ریسک تعامل ضعیف و اصطکاک با IT زیاد می‌شود.
و اما راهکار SecOps: اتحاد بجای جدایی کامل یا ادغام کامل
در SecOps به معنی حذف کامل مرز نیست، بلکه ایجاد یک فرهنگ و ساختار همکاری عمیق بین IT و امنیت است.
مدیریت چند-تخصصی: به جای اینکه مدیر امنیت و مدیر IT مستقیماً زیر نظر CEO یا CTO باشند، هر دو زیر نظر یک مدیر عملیاتی ارشد (مثلاً COO یا Chief Digital Officer) قرار می‌گیرند که مسئول «امنیت + کارایی + تحول دیجیتال» است.
تیم‌ها عملاً جدا هستند، اما مجبور به هم‌افزایی و پاسخگویی به یک هدف مشترک می‌شوند:
پروژه‌ها، تغییرات، پیکربندی‌ها و حتی رخدادها با مشارکت همزمان تخصص IT و امنیت پیش می‌رود.
تیم‌های خرد (Squads) تشکیل می‌شود که هردو توان IT و Security را دارند (مثلاً یک Cloud Admin و یک Cloud Security Engineer در یک تیم محصول یا عملیات).
3. ویژگی‌های این ساختار (به سبک SecOps):
همه فرآیندها (از طراحی تا عملیات) هم زمان هم امنیت و هم IT را پوشش می‌دهد.
گزارش‌دهی و پاسخگویی شفاف است: هم IT و هم Security به یک مدیر مشترک پاسخ می‌دهند که تعادل را برقرار می‌کند.
جلوگیری از فرافکنی: زمانی که رخداد یا اختلالی پیش می‌آید، مسیر حل مشکل ترکیب تخصصی دارد و همه مسئولند.
افزایش سرعت و امنیت: تیم پروژه از همان اول، هم رشد و هم ریسک را می‌بیند.
کاهش تعارضات و مقاومت‌ها چون همه اهداف کلان سازمان (Agility + Security + Availability) همزمان دنبال می‌شود.
این SecOps پیشنهادش «زدودن مرز سفت و سخت» بین IT و امنیت نیست بلکه ایجاد یک هویت مشترک عملیاتی است که هر دو تیم، با مسئولیت‌پذیری مشترک، به یک مدیر ارشد (به جای CEO یا CTO صرفاً) متصل باشند و فرهنگ همکاری عمیق و روزانه داشته باشند. این ساختار هم استقلال نسبی به امنیت می‌دهد، هم IT را از سختگیری‌های بی‌منطق دور نگه می‌دارد، و هم به چابکی کسب‌وکار کمک می‌کند.
به نظرتون این ساختار ممکنه چه نکات و شاید اشکالاتی داشته باشه که لازم هست بررسی بشه؟
** ۷ سال پیش در یکی از بانک‌ها CISO رو بردیم زیر نظر CEO ولی بعدش مشکلاتش رو دیدم . الان دارم واسه یه پتروشیمی این ساختار جدید رو پیاده میکنم.
#آکادمی_روزبه
مرکز تخصصی CISSP
1 comment
Log in to comment
در هر دو حالت، با چالش‌های جدی مواجه بودیم. در مدل اول، هرچند استقلال تصمیم‌گیری امنیتی وجود داشت، ولی فاصله عملیاتی با ای تی و کند بودن هماهنگی‌ها واقعاً آزاردهنده بود.
در مدل دوم، امنیت عملاً تابع اولویت‌های تحویل سریع و بهره‌وری شد و گاهی حتی از مسیر سیاست‌ها منحرف می‌شد.
اما الان سازمانی رو می‌شناسم که دقیقاً ساختاری شبیه مدل پیشنهادی سکاپس داره:
امنیت و شبکه، هر دو زیرمجموعه‌ی یک نفر هستند.
تجربه‌ٔ فعلی من اینه که چالش‌ها هنوز هستن، چون ذات کار ای تی و امنیت و با کشش در دو جهت همراهه؛ اما شدت تعارض‌ها کمتر شده، چون هدف‌گذاری متمرکز شده و یک نفر به‌درستی تعادل رو برقرار می‌کنه؛ همینطور هماهنگی تیم‌ها بسیار بالاتر رفته و خیلی از پروژه‌هایی که قبلاً قفل می‌شدن، الان روان‌تر جلو می‌رن.یکسری چالش هم همچنان وجود دارن ولی قابل مدیریت هستن مثل تفاوت زبان و اولویت بین تیم‌های امنیت و عملیات و نیازی که به بلوغ مدیریتی بالا (هم فهم فناوری، هم امنیت، هم رهبری چابک) وجود داره؛ گاهی ابهام در خطوط پاسخگویی پروژه‌ای هم هست که نیاز به تعریف دقیق مسئولیت‌ها داره
در کل، به نظرم این ساختار اگر با آموزش، شفافیت وظایف و فرهنگ همکاری اجرا بشه، می‌تونه یکی از بهترین مدل‌های عملیاتی در سازمان‌های مدرن باشه.
باز هم ممنونم از به اشتراک‌گذاری این پست🙏🏻