Što je virtualni CISO (vCISO) i kada vam treba?

Virtualni CISO, ili vCISO, iskusni je voditelj sigurnosti angažiran u dogovorenom opsegu, umjesto zapošljavanja na puno radno vrijeme. vCISO vodi ono što vodi i direktor informacijske sigurnosti: sigurnosnu strategiju, upravljanje rizicima, sigurnosni program te izvještavanje uprave, revizora i regulatora. Razlika je u modelu angažmana. Dobivate iskusno vodstvo i odgovornost za vrijeme koje vaša organizacija stvarno treba, bez troška izvršne pozicije na puno radno vrijeme. Ovaj tekst objašnjava što uloga obuhvaća, kada odgovara i kako se uspoređuje s drugim mogućnostima. vCISO angažmane provodimo u sklopu rada na sigurnosnom programu i riziku, a opseg je opisan na stranici usluge virtualnog CISO-a.

Pitanje koje najčešće čujemo jest treba li organizaciji CISO na puno radno vrijeme ili vCISO pokriva isto područje uz manji trošak. Odgovor ovisi o veličini, riziku i obvezama. Tvrtka koja drži osjetljive podatke prema NIS2 ili DORA-i treba vodstvo sigurnosti i odgovornost bez obzira na broj zaposlenih. Ono što joj možda ne treba jest plaća izvršnog direktora na puno radno vrijeme. Upravo taj prostor popunjava model vCISO-a.

Što vCISO zapravo radi

vCISO nije savjetnik koji isporuči izvještaj i ode. Uloga nosi kontinuiranu odgovornost za sigurnosni program tijekom vremena, kao i CISO na puno radno vrijeme. Posao obuhvaća strategiju, rizik, upravljanje i svakodnevne odluke koje program drže u pokretu. Točan omjer ovisi o vašoj zrelosti, ali temeljne su odgovornosti dosljedne kroz angažmane.

• Sigurnosna strategija i plan, gdje vCISO postavlja prioritiziran plan povezan s poslovnim ciljevima, rizicima i regulatornim obvezama te ga održava u skladu s njihovim promjenama.
• Upravljanje rizicima, gdje vCISO prepoznaje i kvantificira stvarne rizike i održava registar rizika na temelju kojeg uprava odlučuje gdje ulagati.
• Vođenje sigurnosnog programa, što obuhvaća politike, kontrole i procese koji moraju funkcionirati u praksi i zadovoljiti zahtjeve revizije.
• Izvještavanje uprave i regulatora, prevođenjem stanja sigurnosti u jasne i mjerljive pojmove za one koji upravljaju organizacijom i nadziru je.
• Vođenje usklađenosti za okvire poput SOC 2, ISO 27001, NIS2 i DORA-e, tako da usklađenost proizlazi iz programa, a ne kao zaseban projekt pod pritiskom roka.
• Savjetovanje o zapošljavanju, alatima i riziku trećih strana, tako da ulaganja idu onamo gdje najviše smanjuju rizik.

Kada vam treba vCISO

vCISO odgovara određenom nizu situacija. Zajedničko im je da organizacija treba iskusno vodstvo sigurnosti i odgovornost, ali je CISO na puno radno vrijeme preuranjen, nedostupan ili ga je teško opravdati troškom. Ako vas opisuje jedna ili više sljedećih situacija, vCISO je vrijedan razmatranja.

• Držite osjetljive ili regulirane podatke i treba vam vodstvo sigurnosti, ali još nemate opseg ili proračun za CISO-a na puno radno vrijeme.
• U razdoblju ste između dva CISO-a i treba vam kontinuitet da program ne zastane u međuvremenu.
• Imate konkretan rok, poput SOC 2 revizije, ISO 27001 certifikacije ili nove obveze prema NIS2 ili DORA-i, i treba vam netko tko će to voditi.
• Vaši kupci ili ulagači pitaju tko je odgovoran za sigurnost, a vama treba vjerodostojan i odgovoran odgovor.
• Rad na sigurnosti raspršen je između IT-a i razvoja bez jednog vlasnika, pa odluke o prioritetima i ulaganjima stalno zastaju.

Savjetnik isporuči projekt i ode. vCISO nosi kontinuiranu odgovornost za program: strategiju, odnos s revizorom i izvještavanje uprave.

vCISO, CISO na puno radno vrijeme i savjetnik

Tri mogućnosti rješavaju različite probleme. CISO na puno radno vrijeme ima smisla kada opseg sigurnosne funkcije opravdava stalnu izvršnu poziciju. Savjetnik je pravi izbor za definiran, vremenski ograničen projekt s jasnim rezultatom. vCISO je između njih: kontinuirano vodstvo i odgovornost, prilagođeno vremenu koje trebate. Razlika u trošku je značajna jer je vCISO angažman dimenzioniran prema vašim stvarnim potrebama, a ne prema plaći na puno radno vrijeme. Ono što ne biste trebali jest ostaviti ulogu praznom i nadati se da će se program voditi sam, jer sigurnosne odluke koje nitko ne vodi obično izostanu.

Kako izgleda vCISO angažman u Raptoricu

vCISO angažmane provodimo u jasnim fazama, kao i ostatak našeg rada. Počinjemo procjenom trenutnog stanja u odnosu na okvire i prijetnje relevantne za vašu organizaciju. Zatim definiramo prioritiziranu strategiju i plan, gradimo i vodimo program uz vaš tim te vodimo odnos s revizorom uz redovito izvještavanje uprave. Budući da isti tim izvodi tehnička testiranja, kontrole koje uspostavljamo grade se da drže pred stvarnim napadačem, a ne samo da prođu reviziju. Cijeli opseg možete vidjeti na stranici usluge virtualnog CISO-a i u širem radu na sigurnosnom programu i riziku na koji se oslanja.

Ako razmišljate je li vCISO pravi korak, najbrži način da to utvrdite jest uvodni razgovor. Iskusni voditelj sigurnosti proći će vašu situaciju, obveze i opseg angažmana, bez obveze. Dogovorite razgovor kad god ste spremni, a ako je usklađenost glavni razlog, naše stranice o NIS2, DORA-i, ISO 27001 i SOC 2 objašnjavaju što svaki okvir očekuje.