Met de toenemende cyberrisico’s is cybersercurity één van de belangrijkste onderwerpen waarmee een CFO zich moet bezighouden. Hij/ zij is namelijk niet alleen verantwoordelijk voor het beperken van de financiële risico’s van de organisatie, maar zelfs hoofdelijk aansprakelijk als er schade ontstaat door een cyberaanval.

Bij veel organisaties ligt de formele verantwoordelijkheid voor cybersecurity bij de CISO. Bij een cyberincident kijkt de hele organisatie dan ook al snel naar de CISO, die immers inhoudelijk ook de meeste kennis heeft. Veel zaken rond cybersecurity hebben echter een sterk financieel aspect en vragen dus om bepaalde beslissingen waarvoor een CISO geen bevoegdheid heeft. Zo brengen cyberrisico’s verschillende operationele en juridische kosten met zich mee. Hoeveel budget is er beschikbaar om de juiste maatregelen te treffen tegen de risico’s? Moet er bijvoorbeeld een ransomware­verzekering afgesloten worden en zo ja, voor hoeveel?

En als de organisatie daadwerkelijk wordt getroffen, moet een keuze worden gemaakt welke systemen en processen cruciaal zijn zodat deze als eerste kunnen worden hersteld. De CFO moet inzicht hebben in de kosten voor de downtime en het herstel en hier de juiste beslissingen kunnen nemen.

Verder moet bij een ransomwareaanval besloten worden of er wordt ingegaan op de eis voor losgeld om de controle terug te krijgen over de systemen en data. En als dit antwoord ‘ja’ is, hoeveel financiële ruimte is er dan? Dit zijn allemaal zaken waarvoor het mandaat van de CFO nodig is, maar waar deze persoon doorgaans geen diepgaande inhoudelijke kennis van heeft.

Hoe gaat een CFO nu effectief om met cyberrisico’s en de daaraan verbonden beslissingen? De CISO speelt hierbij een sleutelrol. Deze zou als inhoudelijk deskundige de CFO moeten adviseren over de risico’s, de te nemen maatregelen en de bijbehorende kosten.

De CISO kan de CFO dus van de benodigde informatie voorzien om cyberrisico's te beperken. Dit zijn doorgaans niet twee functies die elkaar logischerwijs opzoeken en dezelfde taal spreken. Voor een CFO is het echter wel zaak hierin te investeren en niet alleen vanuit de verantwoordelijkheid voor risico’s. Met de juiste informatie en achtergronden kunnen beslissingen en uitgaven voor cybersecurity immers ook verdedigd worden in de boardroom.
Om nog beter inzichtelijk te maken bij de board dat cybersecurity impact heeft op de hele organisatie kan de CFO het ook koppelen aan doelstellingen of performance van de organisatie. Security gaat namelijk grotendeels over continuïteit van de business.