CPO: tre roller med samme forkortelse

Inden for IT og sikkerhed dækker forkortelsen CPO over tre titler: Cyber Protection Officer, Company Protection Officer og Chief Privacy Officer. Den første minder meget om CISO’ens rolle og handler om sikkerhed. Den anden er en bred titel for den, der har det samlede beskyttelsesansvar i virksomheden. Den tredje er en ledelsesrolle for privatliv og persondata, som ofte forveksles med DPO’en. Ingen af de tre har et fast indhold i dansk lovgivning, så den første opgave er altid at finde ud af, hvilken betydning der menes.

Uden for IT kan CPO betyde helt andre ting, blandt andet Chief Product Officer og Chief People Officer. Siden her holder sig til de tre betydninger inden for IT og sikkerhed, og de øvrige forklarer, hvorfor forkortelsen så ofte giver misforståelser.

Cyber Protection Officer

En Cyber Protection Officer har ansvaret for at beskytte virksomhedens systemer og data mod angreb og nedbrud. Rollen svarer i store træk til en CISO, men titlen bruges oftere, hvor fokus er på den praktiske beskyttelse: sikkerhedskopier, adgangsstyring, opdateringer, overvågning og beredskab. I nogle virksomheder er en Cyber Protection Officer den, der omsætter CISO’ens strategi til konkrete tiltag. I andre er det den eneste sikkerhedsrolle, og så ligger strategien der også.

Spørgsmålet til en udbyder eller en kunde, der bruger titlen, er derfor, om rollen ejer risikovurderingen og rapporteringen til ledelsen, eller om den udfører tiltag, som andre har besluttet. Sikkerhedsrollen er beskrevet på CISO, vCISO og cyber security advisor.

Company Protection Officer

Company Protection Officer er den mest uklare af de tre. Titlen kan dække fysisk sikkerhed (adgang til bygninger, alarmer, vagt), informationssikkerhed, beredskab og forretningskontinuitet, eller det hele samlet under én person. Der findes ingen fælles definition, og titlen bruges forskelligt fra branche til branche.

Det gør rollen brugbar i virksomheder, der vil samle det samlede beskyttelsesansvar ét sted, men det gør den også let at misforstå. Hvis titlen dukker op i en aftale eller et kundekrav, bør ledelsen bede om en opgavebeskrivelse, før den antager noget. Hvorfor titlen kræver ekstra afklaring, er uddybet i Company Protection Officer: hvad dækker titlen?.

Chief Privacy Officer

En Chief Privacy Officer har det strategiske ansvar for, hvordan virksomheden håndterer privatliv og personoplysninger. Rollen beslutter, hvordan data bruges i produkter og processer, hvordan virksomheden oplyser kunder og medarbejdere, og hvilken risiko ledelsen vil acceptere. Det er en ledelsesrolle, som ingen lov kræver.

Her ligger den største risiko for forveksling. DPO’en er en rolle, som databeskyttelsesforordningen beskriver, og som skal være uafhængig og ikke må modtage instrukser om sine opgaver. En Chief Privacy Officer træffer derimod de beslutninger, som en DPO skal kunne vurdere. Lægges de to roller hos samme person, kan uafhængigheden komme i klemme. Forskellen er gennemgået i Chief Privacy Officer: privatlivsansvar på ledelsesniveau, og DPO-rollen har sin egen side: DPO: databeskyttelsesrådgiveren.

Sådan spørger I ind

Når en leverandør, en kunde eller en kandidat bruger forkortelsen, er tre spørgsmål nok til at få den på plads.

1. Hvad står forkortelsen for? · Få det skrevet ud, så der ikke er tvivl om, hvilken af de tre roller der er tale om.
2. Hvad ejer rollen? · Træffer den beslutninger, rådgiver den, eller udfører den tiltag, som andre har besluttet?
3. Hvem rapporterer den til? · Direktion, bestyrelse eller IT-chef. Svaret siger meget om rollens vægt.

Er det en kunde, der stiller krav om en CPO, så spørg, hvilken dokumentation kunden forventer at se. Ofte handler kravet om, at nogen har et navngivet ansvar for sikkerhed eller persondata, og så kan det være løftet af en rolle med en anden titel. Overblikket over de tre betydninger side om side står i CPO: tre betydninger af samme forkortelse.

CPO holdt op mod CISO og DPO

• Cyber Protection Officer og CISO · samme område. CISO-titlen bruges oftest om den strategiske rolle, Cyber Protection Officer oftere om den praktiske beskyttelse.
• Company Protection Officer og CISO · Company Protection Officer kan være bredere og omfatte fysisk sikkerhed og kontinuitet.
• Chief Privacy Officer og DPO · den første beslutter, den anden overvåger. De to bør som udgangspunkt holdes adskilt.

For en mindre virksomhed er det sjældent nødvendigt at have en CPO ved siden af de andre roller. Ofte er behovet allerede dækket, når der er nogen, der ejer sikkerheden, og nogen, der overvåger persondata. Titlen bliver først relevant, når en kunde, en samarbejdspartner eller et koncernselskab bruger den og forventer at finde en modpart med samme betegnelse. Så handler opgaven om at vise, hvem i virksomheden der svarer til den rolle, de spørger efter, og hvad den person har ansvaret for.

Hvordan de tre hovedroller deler arbejdet mellem sig, står i DPO, CPO og CISO: hvem gør hvad?.

Det skal I lade være med

• At skrive CPO i en aftale uden at skrive betydningen ud · det er en åben dør for uenighed senere.
• At bruge Chief Privacy Officer som afløser for DPO’en · har virksomheden pligt til en DPO, skal rollen leve op til forordningens krav.
• At lade titlen afgøre opgaverne · beskriv opgaverne først, og vælg titlen bagefter.

Det skal I kræve af den eksterne

• En skriftlig opgavebeskrivelse · hvad rollen ejer, og hvad den ikke rører.
• Klarhed om forholdet til CISO og DPO · især hvis der allerede er en DPO udpeget.
• Rapportering til den rette i ledelsen · så ansvaret ikke ender hos den, rollen skal kontrollere.

Næste skridt

• CPO: tre betydninger af samme forkortelse
• Chief Privacy Officer: privatlivsansvar på ledelsesniveau
• Ordliste om ekstern IT-ledelse

Læs også: DPO: databeskyttelsesrådgiveren · Rollerne i ekstern IT-ledelse

→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT