Artikler om CISO as a Service
Artiklerne tager de spørgsmål op, som direktioner og bestyrelser møder, når sikkerhedsansvaret skal løftes uden en fuldtids CISO. De første syv emner følger rollen fra mandatet til beredskabet. Derefter kommer NIS2-foranstaltningerne set fra ledelsen, sikkerhedskultur, politikker, brancher, situationer, hændelser og underretning, tilsyn, styring, de spørgsmål, ledelsen oftest stiller, og til sidst finansielle virksomheder under DORA. Foretrækker I overblikket først, så læs Hvad er CISO as a Service? eller NIS2 og ledelsens ansvar for cybersikkerhed.
Rollen og modellen
- Hvad er en vCISO, og hvad laver den i en mindre virksomhed?
- Ekstern CISO: hvornår giver det mening at hente rollen udefra?
- Fractional CISO: sikkerhedsledelse i en brøkdel af tiden
- Kan IT-leverandøren også være vores CISO?
- Informationssikkerhedsansvarlig: hvem i virksomheden skal have titlen?
- Cyber Protection Officer: når titlen dækker sikkerhedsledelse
- Fra rådgiver til ansvarlig: når advisor-rollen skal udvides
- Hvilket mandat skal en ekstern CISO have?
NIS2 og ledelsens ansvar
- Hvem er ledelsesorganet efter NIS2-loven?
- Ledelsen skal godkende og føre tilsyn: hvad betyder det konkret?
- NIS2-uddannelse af ledelsen: hvad skal kurset kunne?
- Personligt ansvar for direktører og bestyrelse efter NIS2
- Kan ledelsen uddelegere NIS2-arbejdet til en CISO?
- Kræver NIS2, at vi har en CISO?
- Registreret efter NIS2: hvad skal ledelsen gøre nu?
- NIS2 og selskabslovens krav til ledelsen
Risiko og strategi
- Sikkerhedsstrategi for en virksomhed uden sikkerhedsafdeling
- Risikovurdering, som ledelsen kan træffe beslutninger på
- Hvem må acceptere en risiko?
- ISMS i en mindre virksomhed: hvor meget er nok?
- Informationssikkerhedspolitik: hvad skal den indeholde, og hvem skriver under?
- Hvad skal vi gøre først? Prioritering af sikkerhedsarbejdet
- CIS Controls og NIST CSF: rammer, som ledelsen kan følge med i
Leverandørstyring på sikkerhed
- Sikkerhedskrav til jeres IT-leverandør: hvad skal stå i aftalen?
- Hvem har ansvaret, når driften er outsourcet?
- Overblik over leverandører med adgang til jeres data og systemer
- Opfølgning på leverandøren: møder, rapporter og spørgsmål
- Forsyningskæden i NIS2 set fra ledelsen
- Ny leverandør eller nyt system: sikkerhedsreview før beslutningen
Bestyrelse og rapportering
- Cybersikkerhed som fast punkt på bestyrelsesmødet
- Sikkerhedsrapport til bestyrelsen: én side, der kan bruges
- Nøgletal for sikkerhed, som ledelsen kan følge
- Hvem refererer CISO til, når rollen er ekstern?
- Årshjul for sikkerhedsarbejdet i ledelsen
Kundekrav og standarder
- Kunden har sendt et sikkerhedsspørgeskema: hvem svarer?
- Sikkerhedskrav i kundekontrakten: læs dem, før I skriver under
- ISO 27001 i en mindre virksomhed: hvad spørger kunden egentlig efter?
- D-mærket som dokumentation over for kunder
- ISO 27001 eller D-mærket: hvad passer til jeres kunder?
- Én samling dokumentation til mange kunder
Forsikring og beredskab
- Cyberforsikring: de spørgsmål, ledelsen skal kunne svare på
- Når svarene til forsikringen ikke holder
- Beredskabsplan: ledelsens del af planen
- De første timer efter en sikkerhedshændelse: ledelsens beslutninger
- Beredskabsøvelse for ledelsen: et par timer om bordet
NIS2-foranstaltningerne set fra ledelsen
- Risikoanalysemetode: sådan bliver vurderingerne sammenlignelige år for år
- Hændelseshåndtering: hvem ejer processen mellem hændelserne?
- Driftskontinuitet og krisestyring: de beslutninger, der skal tages før krisen
- Backup og reetablering: hvad ledelsen skal vide om at komme op igen
- Sikkerhed ved anskaffelse og udvikling af systemer: ledelsens krav
- Hvordan ledelsen vurderer, om foranstaltningerne virker
- Grundlæggende cyberhygiejne: de vaner, ledelsen skal kræve
- Kryptografipolitik: hvad skal ledelsen tage stilling til?
- Personalesikkerhed: fra ansættelse til sidste arbejdsdag
- Adgangsstyring som politik: principper, ejere og fast gennemgang
- Forvaltning af aktiver: overblik over systemer, data og udstyr
- MFA og sikker kommunikation: hvor ledelsen skal beslutte kravet
- Når et krav ikke er opfyldt: korrigerende foranstaltninger uden unødigt ophold
Sikkerhedskultur og awareness som ledelsesopgave
- Awareness-træning: hvad ledelsen skal bestille og følge op på
- NIS2 og medarbejdernes kurser: hvad betyder det, at ledelsen skal tilskynde?
- Hvordan får vi medarbejderne til at melde det mistænkelige?
- Sikkerhedsregler for medarbejderne: korte, forståelige og godkendt af ledelsen
- Når en medarbejder stopper: adgange, udstyr og viden
- Sikkerhedskultur: de tegn, ledelsen kan følge med i
- Generativ AI i virksomheden: de sikkerhedsregler, ledelsen skal fastsætte
- Hjemmearbejde og rejser: sikkerhedsregler, ledelsen skal godkende
- Direktørsvindel: godkendelsesregler for betalinger, som også ledelsen følger
Politikker og dokumenter
- Politik, retningslinjer og procedurer: hvilke dokumenter hører hvor?
- Hvem ejer hvilket sikkerhedsdokument?
- Dataklassifikation: hvem bestemmer, hvad der er fortroligt?
- Logning: hvad ledelsen skal beslutte om opbevaring og adgang
- Undtagelser fra sikkerhedsreglerne: hvem må give dem, og hvor længe?
- Hvor ofte skal sikkerhedspolitikkerne gennemgås?
- Anvendelseserklæringen (SoA): ledelsens overblik over valgte kontroller
Brancher og virksomhedstyper set fra CISO-rollen
- Sikkerhedsledelse i produktionsvirksomheden: kontor og fabrik under samme ansvar
- Sikkerhedsledelse hos private sundheds- og plejevirksomheder
- Sikkerhedsledelse i mindre forsyningsselskaber
- Sikkerhedsledelse i transport og logistik
- Bygge- og anlægsvirksomheder: sikkerhedsledelse i projekter med mange parter
- Sikkerhedsledelse, når klienternes fortrolighed er forretningen
- Sikkerhedsledelse i fødevareproduktion og -forarbejdning
- Sikkerhedsledelse i webshoppen: kundedata, betaling og platformen
- Sikkerhedsledelse i engros og distribution: ERP, ordrer og kundernes krav
Situationer set fra sikkerhedsledelsen
- Opkøbt virksomhed: hvornår kommer den ind under jeres sikkerhedsstyring?
- Evaluering efter en hændelse: fra læring til ledelsesbeslutninger
- I vokser mod NIS2-størrelsesgrænsen: hvad ledelsen kan forberede
- Når den interne sikkerhedsansvarlige stopper
- Ny ejer med krav om sikkerhedsrapportering
- Forsikringsselskabet vil ikke forny cyberforsikringen: hvad nu?
- Den kompetente myndighed beder om dokumentation: ledelsens første skridt
- Kunden kræver ISO 27001 inden for en frist: sådan lægger ledelsen planen
Myter og ledelsens spørgsmål
- Hvem vil angribe os? Myten om den uinteressante virksomhed
- Kan man overholde NIS2 og stadig være sårbar?
- Skal en CISO være teknisk ekspert?
- Hvor lang tid tager det at få NIS2-foranstaltningerne på plads?
- MFA og backup er på plads: hvad mangler så?
- Spørgsmål, direktøren bør stille sin CISO hvert kvartal
- Sikkerhedsbudgettet: hvordan ledelsen vurderer, om det står mål med risikoen
- Når CISO og IT-leverandøren er uenige: hvem afgør det?
- Bliver sikkerhedsarbejdet nogensinde færdigt?
- Er en ekstern CISO mest papirarbejde?
Hændelser og underretning
- Er hændelsen væsentlig? Hvem i ledelsen beslutter, at der skal underrettes
- Fra tidlig varsling til endelig rapport: ledelsens første måned efter en hændelse
- Én hændelse, to underretninger: persondatabrud og NIS2
- Når kunderne skal have besked om en hændelse
- Når de berørte personer selv skal underrettes om et brud
- Frivillig underretning til CSIRT: også for virksomheder uden for NIS2
- Skal vi betale løsesummen? Den beslutning ledelsen bør tage, før det sker
- Politianmeldelse efter et cyberangreb: hvem beslutter, og hvornår
- Hvad siger vi til kunder, medarbejdere og presse under et cyberangreb?
- IT-leverandøren er ramt af et angreb: ledelsens beslutninger hos jer
- Cyberforsikringen i beredskabsplanen: hvem ringer I til først?
- Bestyrelsen under en alvorlig hændelse: hvornår og hvordan den inddrages
- Hvad national CSIRT kan hjælpe med før og under en hændelse
Tilsyn og håndhævelse
- Tilsyn efter NIS2: hvad myndigheden må, og hvad ledelsen skal have klar
- Advarsel, påbud eller bindende instruks: når myndigheden griber ind
- Bøder efter NIS2-loven: hvilke overtrædelser kan straffes?
- Udpeget som kritisk enhed: ledelsens pligter efter CER-loven
- NIS2 i koncernen: ledelsesansvaret i moder- og datterselskab
Styring og organisering
- Modenhedsvurdering og gap-analyse: hvad ledelsen skal have ud af den
- Hvilke sikkerhedskrav gælder for os? Ét register over lov, kunder og forsikring
- Hvem gør hvad i sikkerhedsarbejdet? Roller og ansvar uden sikkerhedsafdeling
- Risikovillighed: sådan formulerer ledelsen, hvor meget den vil tåle
- Den nationale trusselsvurdering: sådan bruger ledelsen den
- Sårbarhedshåndtering: de frister for opdateringer, ledelsen skal fastsætte
- Én risikovurdering til både persondata og NIS2?
- Har vi brug for et ISMS-værktøj, eller er regneark nok?
- Fysisk sikkerhed under samme ansvar: kontor, serverrum og produktion
- Informationsdeling om cybertrusler med andre virksomheder
Ledelsens egne spørgsmål
- Ti spørgsmål, bestyrelsen bør stille direktionen om cybersikkerhed
- Ejerleder: når du selv er ledelsesorganet og har alle adgange
- Kunden vil komme på kontrolbesøg: ledelsens forberedelse
- IT-leverandørens ISAE 3402- eller 3000-erklæring: det, ledelsen skal læse i den
Finansielle virksomheder og DORA
Oversigten over afsnittet står på DORA for finansielle virksomheder.
- Er vi omfattet af DORA? De danske virksomhedstyper gennemgået
- DORA eller NIS2: hvilke regler gælder for en finansiel virksomhed?
- Forsikringsmægler eller -agent: hvorfor de fleste står uden for DORA
- Den forenklede ramme i artikel 16: hvem den gælder, og hvad den stadig kræver
- Mikrovirksomhed under DORA: de lempelser, der findes, og dem, der ikke findes
- Uden for DORA, men ikke uden IT-krav
- Hvad skete der med Finanstilsynets IT-regler, da DORA trådte i kraft?
- Ledelsesorganets ansvar efter DORA: det, bestyrelsen selv skal godkende
- Bestyrelsens egen viden om IKT-risiko: kravet i artikel 5, stk. 4
- Kontrolfunktionen efter DORA: uafhængighed, tre forsvarslinjer og hvor en ekstern CISO passer ind
- Strategien for digital operationel modstandsdygtighed: indholdet og bestyrelsens godkendelse
- Den årlige gennemgang af rammen for IKT-risikostyring og den interne revision
- IKT-driftsstabilitet, indsats og genopretning: det, DORA kræver af beredskabet
- Hvornår er det en større IKT-relateret hændelse? Klassificeringen efter DORA
- Indberetning til Finanstilsynet: 4 timer, 72 timer og en måned
- Kunderne skal have besked: underretning og kommunikation ved en større IKT-hændelse
- Ledelsen og testprogrammet: det, bestyrelsen skal sikre om test efter DORA
- Informationsregistret: hvad det er, og hvem i ledelsen der ejer det
- Kritiske eller vigtige funktioner: klassificeringen, der styrer resten af DORA
- Kontrakten med IT-leverandøren efter DORA artikel 30, set fra ledelsen
- Før en ny IKT-aftale: vurderingen, koncentrationsrisikoen og underretningen af Finanstilsynet
- Kritiske tredjepartsudbydere af IKT-tjenester: hvad udpegningen betyder for jer som kunde
- Deling af trusselsinformation efter DORA artikel 45
- Finanstilsynets IT-inspektion: det, ledelsen skal have klar
Når ingen ejer rollen
- Midlertidig CISO: når rollen står tom, eller opgaven haster
- Sikkerhedsopgaverne ligger spredt hos IT-folkene: hvad betyder det for ledelsen?
Korte svar på de hyppigste spørgsmål står på Spørgsmål og svar om ekstern CISO.
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
Mangler I en CISO?
Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.
