Gartner Survey Reveals Only 12% of CISOs Are Considered “Highly Effective”

Analysts Discuss Traits of Top-Performing CISOs at The Virtual Gartner Security & Risk Management Summit, September 14-17

BANGKOK, Thailand, September 22, 2020— Only 12% of chief information security officers (CISOs) excel in all four categories of the Gartner CISO Effectiveness Index, according to a survey by Gartner, Inc.

Gartner analysts presented the survey findings and discussed the traits of top-performing CISOs during Gartner Security & Risk Management Summit 2020, taking place virtually in the Americas and EMEA through today.

“Today’s CISOs must demonstrate a higher level of effectiveness than ever before,” said Sam Olyaei, research director at Gartner. “As the push to digital deepens, CISOs are responsible for supporting a rapidly evolving set of information risk decisions, while also facing greater oversight from regulators, executive teams and boards of directors. These challenges are further compounded by the pressure that COVID-19 has put on the information security function to be more agile and flexible.”

The 2020 Gartner CISO Effectiveness Survey was conducted among 129 heads of information risk functions, across all industries, globally in January 2020. Gartner’s measure of CISO effectiveness is determined by a CISO’s ability to execute against a set of outcomes in the four categories of (i) functional leadership, (ii) information security service delivery, (iii) scaled governance and (iv) enterprise responsiveness. Each respondent’s score in each category was added together to calculate their overall effectiveness score. Gartner defines “effective CISOs” as those who scored in the top one-third of the CISO effectiveness measure.

Top-Performing CISOs Demonstrate Five Key Behaviors

Of the factors that impact CISO effectiveness, Gartner revealed five behaviors that that significantly differentiate top-performing CISOs from bottom performers. On average, each of these behaviors is twice as prevalent in top performers than in bottom performers (see Figure 1).

Figure 1: Prevalence of Behaviors Among CISOs by Performance

Source: Gartner (September 2020)

“A clear trend among top-performing CISOs is demonstrating a high level of proactiveness, whether that’s staying abreast of evolving threats, communicating emerging risks with stakeholders or having a formal succession plan,” said Mr. Olyaei. “CISOs should prioritize these kinds of proactive activities to boost their effectiveness.”

The survey also found that top performing CISOs regularly meet with three times as many non-IT stakeholders as they do IT stakeholders. Two-thirds of these top performers meet at least once per month with business unit leaders, while 43% meet with the CEO, 45% meet with the head of marketing and 30% meet with the head of sales.

“CISOs have historically built fruitful relationships with IT executives, but digital transformation has further democratized information security decision making,” added Daria Krilenko, senior research director at Gartner. “Effective CISOs keep a close eye on how risks are evolving across the enterprise and develop strong relationships with the owners of that risk – senior business leaders outside of IT.”

Effective CISOs Are Better at Managing Stress

The survey also found that highly effective CISOs better manage workplace stressors. Just 27% of top performing CISOs feel overloaded with security alerts, compared with 62% of bottom performers. Furthermore, less than a third of top performers feel that they face unrealistic expectations from stakeholders, compared with half of bottom performing CISOs.

“As the CISO role becomes increasingly demanding, the most effective security leaders are those who can manage the stressors that they face daily,” said Mr. Olyaei. “Actions such as keeping a clear distinction between work and nonwork, setting explicit expectations with stakeholders, and delegating or automating tasks are essential for enabling CISOs to function at a high level.”

Gartner clients can read more in “CISO Effectiveness: A Report on the Behaviors and Mindsets That Impact CISO Effectiveness.”

About Gartner Security & Risk Management Summit

The Gartner Security & Risk Management Summit 2020 brings together security, risk and identity and access management (IAM) decision makers looking to adapt and evolve their organization through disruption and uncertainty, navigate risks and prioritize investments. Follow news coming from the Gartner Security & Risk Management Summit on the Gartner Newsroom, Smarter With Gartner, on Twitter using #GartnerSEC, Instagram and LinkedIn.

About Gartner

Gartner, Inc. (NYSE: IT) is the world’s leading research and advisory company and a member of the S&P 500. We equip business leaders with indispensable insights, advice and tools to achieve their mission-critical priorities today and build the successful organizations of tomorrow.

Our unmatched combination of expert-led, practitioner-sourced and data-driven research steers clients toward the right decisions on the issues that matter most. We are a trusted advisor and an objective resource for more than 14,000 enterprises in more than 100 countries — across all major functions, in every industry and enterprise size

To learn more about how we help decision makers fuel the future of business, visit gartner.com.

นักวิเคราะห์หารือถึงคุณลักษณะของ CISOs ที่มีศักยภาพท็อป ภายในงาน The Virtual Gartner Security & Risk Management Summit ช่วง 14-17 กันยายนที่่ผ่านมา

กรุงเทพฯ ประเทศไทย 22 กันยายน 2563 – ผลสำรวจของการ์ทเนอร์ อิงค์ พบว่ามีผู้บริหารความปลอดภัยด้านสารสนเทศ (CISOs) เพียง 12 % เท่านั้นที่มีความสามารถผ่านเกณฑ์ด้วยการประเมินจากดรรชนีชี้วัดประสิทธิภาพทั้งสี่หมวดของการ์ทเนอร์

นักวิเคราะห์ของการ์ทเนอร์เผยผลสำรวจและหารือถึงคุณลักษณะของ CISOs ที่มีศักยภาพอยู่ในระดับสูงสุดระหว่างการประชุมสุดยอดด้านความปลอดภัยและการจัดการความเสี่ยงของการ์ทเนอร์ประจำปี 2563 ที่จัดขึ้นแบบเสมือนจริงในอเมริกา ยุโรป ตะวันออกกลางและแอฟริกา

นายแซม โอลแญ ผู้อำนวยการฝ่ายวิจัยของการ์ทเนอร์ กล่าวว่า “วันนี้ผู้บริหาร CISOs ต้องแสดงออกถึงประสิทธิภาพการทำงานที่สูงขึ้นไปอีกระดับจากเดิมในขณะที่ดิจิทัลมีบทบาทสำคัญรอบด้าน ผู้บริหารฯ มีหน้าที่สนับสนุนการตัดสินใจจัดการกับชุดข้อมูลความเสี่ยงที่พัฒนาการเปลี่ยนแปลงอย่างรวดเร็ว ในขณะเดียวกันต้องเผชิญกับข้อจำกัดจากหน่วยงานกำกับดูแล ทีมผู้บริหารและคณะกรรมการ ซึ่งความท้าทายเหล่านี้เป็นองค์ประกอบของแรงกดดันเพิ่มเติมจากโควิด-19 เพื่อทำให้ฟังก์ชันการรักษาความปลอดภัยข้อมูลมีความคล่องตัวและยืดหยุ่นมากขึ้น”

ผลการสำรวจศักยภาพ CISOs ของการ์ทเนอร์ในปี 2563 ดำเนินการโดยหัวหน้าฝ่ายความเสี่ยงด้านข้อมูล 129 คนจากทุกอุตสาหกรรมทั่วโลกเมื่อเดือนมกราคม 2563 การวัดศักยภาพ CISO ของการ์ทเนอร์พิจารณาจากความสามารถผ่านการวิเคราะห์และดำเนินการกับผลลัพท์ใน 4 หมวด ได้แก่ ความเป็นผู้นำในหน้าที่รับผิดชอบ (Functional Leadership), การให้บริการด้านความปลอดภัยของข้อมูล (Information Security Service Delivery), ระดับการกำกับดูแล (Scaled Governance) และการตอบสนองระดับองค์กร (Enterprise Responsiveness) โดยคะแนนของผู้ตอบคำถามแต่ละคนในแต่ละหมวดหมู่จะถูกรวมเข้าด้วยกันและคำนวณออกมาเป็นคะแนนรวม การ์ทเนอร์ให้คำนิยามของ “ผู้บริหารความปลอดภัยสารสนเทศที่มีศักยภาพ” ว่าคือผู้บริหารฯ ที่ได้คะแนนสูงสุด 1 ใน 3 ของการวัดผลนี้

5 พฤติกรรมหลักที่ CISOs ระดับท็อปแสดงออก

จากปัจจัยต่าง ๆ ที่มีผลต่อศักยภาพของผู้บริหาร CISO การ์ทเนอร์เผยพฤติกรรม 5 แบบที่ทำให้ผู้บริหารความปลอดภัยสารสนเทศในระดับท็อปแตกต่างจากผู้บริหารฯ ในกลุ่มที่ด้อยกว่าอย่างมีนัยสำคัญ โดยเฉลี่ยแล้วพฤติกรรมเหล่านี้จะปรากฏในผู้บริหารที่มีศักยภาพสูงสุดมากกว่าผู้บริหารที่มีศักยภาพระดับต่ำกว่าถึงสองเท่า (ดูรูปที่1)

รูปที่ 1: พฤติกรรมของ CISOs ตามผลการดำเนินงาน

ที่มา: การ์ทเนอร์ (กันยายน 2563)

“แนวโน้มที่ชัดเจนของ CISOs ที่มีความสามารถสูงแสดงให้เห็นพฤติกรรมเชิงรุก ไม่ว่าจะเป็นการติดตามความเปลี่ยนแปลงของภัยคุกคาม การสื่อสารความเสี่ยงใหม่ ๆ ที่เกิดขึ้นต่อผู้ถือหุ้นหรือมีแผนเตรียมรับมืออย่างเป็นทางการ“ กล่าวโดย นาย โอลแญ “ผู้บริหารฯ ควรให้ความสำคัญกับการกระทำเชิงรุกเหล่านี้เพื่อเพิ่มประสิทธิภาพการดำเนินงาน”

การสำรวจยังพบว่า CISOs ที่มีศักยภาพระดับท็อปมักประชุมหารือกับผู้ถือหุ้นที่ไม่ใช่ไอทีมากกว่าผู้ถือหุ้นด้านไอทีถึงสามเท่า โดยสองในสามของเหล่า CISOs ที่มีศักยภาพสูงมักประชุมกับผู้นำกลุ่มธุรกิจอย่างน้อยเดือนละครั้ง ขณะที่ 43% ประชุมกับซีอีโอ 45% ประชุมกับหัวหน้าฝ่ายการตลาดและ 30% ประชุมหารือกับหัวหน้าฝ่ายขาย

“ที่ผ่านมา CISOs มีความสัมพันธ์ที่ดีกับผู้บริหารไอที แต่การเปลี่ยนแปลงทางดิจิทัลทำให้การตัดสินใจด้านความปลอดภัยของข้อมูลมีความเสมอภาคมากขึ้น” นางสาวดาเรีย คริเลนโก ผู้อำนวยการฝ่ายวิจัยอาวุโสของการ์ทเนอร์กล่าวเพิ่มเติม “CISOs ที่มีศักยภาพเฝ้าจับตาดูความเสี่ยงที่เกิดขึ้นทั่วทั้งองค์กรและพัฒนาเป็นความสัมพันธ์ที่แข็งแกร่งกับเจ้าของความเสี่ยงนั้น โดยเฉพาะกับผู้นำธุรกิจอาวุโสที่ไม่ใช่ด้านไอที”

CISOs ที่มีศักยภาพจะสามารถจัดการกับความเครียดได้ดีกว่า

ผลการสำรวจยังพบว่า CISOs ที่มีศักยภาพสูงสามารถจัดการกับความเครียดในที่ทำงานได้ดี มีเพียง 27% รู้สึกว่าการแจ้งเตือนเรื่องปลอดภัยมีมากเกินกำลังที่จะทำได้ เปรียบเทียบกับ 62% ของ CISOs ที่มีศักยภาพด้อยกว่า นอกจากนี้ CISOs น้อยกว่าหนึ่งในสามรู้สึกว่าพวกเขาเผชิญกับความคาดหวังที่ไม่สมเหตุสมผลจากผู้ถือหุ้น เทียบกับจำนวนครึ่งหนึ่งของ CISOs ที่มีประสิทธิภาพด้อยกว่า

“ในขณะที่บทบาทของ CISOs เป็นที่ต้องการเพิ่มมากขึ้น ผู้นำด้านความปลอดภัยที่มีศักยภาพสูงสุดคือผู้ที่สามารถจัดการกับความเครียดที่เผชิญอยู่ในทุก ๆ วัน” กล่าวโดย นาย โอลแญ “การดำเนินการต่าง ๆ เช่น สร้างความแตกต่างที่ชัดเจนระหว่างงานที่ทำและงานที่ไม่ได้ทำ ตั้งความคาดหวังที่ชัดเจนกับผู้ถือหุ้น และการมอบหมายงานหรือการทำงานอัตโนมัติเป็นส่วนสำคัญที่ทำให้ผู้บริหารความปลอดภัยสารสนเทศปฏิบัติงานได้อย่างมีประสิทธิภาพสูง”

ลูกค้าการ์ทเนอร์สามารถอ่านเพิ่มเติมใน “CISO Effectiveness: A Report on the Behaviors and Mindsets That Impact CISO Effectiveness.”

เกี่ยวกับการประชุมสุดยอดด้านความปลอดภัยและการจัดการความเสี่ยงของการ์ทเนอร์

การประชุมสุดยอดด้านความปลอดภัยและการจัดการความเสี่ยงของการ์ทเนอร์ประจำปี 2563 เป็นการประชุมที่รวมเรื่อง ความปลอดภัย ความเสี่ยง และการบริหารจัดการตัวตนและการเข้าถึง ผู้มีอำนาจการตัดสินใจที่ต้องการการปรับตัวและพัฒนาองค์กรให้ผ่านพ้นการหยุดชะงักและความไม่แน่นอน ชี้ทางด้านความเสี่ยงและจัดลำดับความสำคัญของการลงทุน ติดตามข่าวสารจากงานการประชุมสุดยอดด้านความปลอดภัยและการจัดการความเสี่ยงของการ์ทเนอร์ได้ทาง Gartner Newsroom, Smarter With Gartner, บน Twitter #GartnerSEC, Instagram และ LinkedIn.

เกี่ยวกับการ์ทเนอร์

บริษัท การ์ทเนอร์ (Gartner, Inc.) (NYSE: IT) คือบริษัทวิจัยและให้คำปรึกษาชั้นนำของโลก และมีรายชื่ออยู่ในดัชนี S&P 500 บริษัทฯ ให้ข้อมูลเชิงลึก คำแนะนำ และเครื่องมือต่าง ๆ แก่ผู้บริหารองค์กรธุรกิจ เพื่อรองรับการดำเนินภารกิจสำคัญที่มีอยู่ในปัจจุบันและสร้างองค์กรให้ประสบความสำเร็จในอนาคต

การ์ทเนอร์นำเสนองานวิจัยที่ขับเคลื่อนด้วยข้อมูล ดำเนินการโดยผู้เชี่ยวชาญ และใช้แหล่งข้อมูลจากผู้ปฏิบัติงานจริง เพื่อชี้นำลูกค้าสำหรับการตัดสินใจที่ถูกต้องเหมาะสมในเรื่องที่สำคัญที่สุด การ์ทเนอร์ทำหน้าที่เป็นแหล่งข้อมูลที่เป็นกลางและเป็นที่ปรึกษาที่ได้รับความไว้วางใจจากองค์กรต่าง ๆ กว่า 15,000 แห่งในกว่า 100 ประเทศทั่วโลก ครอบคลุมทุกส่วนงานสำคัญ ๆ ในทุกกลุ่มอุตสาหกรรมและองค์กรทุกขนาด

ดูข้อมูลเพิ่มเติมเกี่ยวกับแนวทางของการ์ทเนอร์ในการช่วยให้ผู้บริหารตัดสินใจอย่างถูกต้องเพื่อขับเคลื่อนอนาคตของธุรกิจได้ที่ gartner.com