Hvad er CISO as a Service?
CISO as a Service er en aftale, hvor en ekstern sikkerhedsleder påtager sig CISO-rollen for virksomheden i et fast omfang og med en fast rytme. Forkortelsen dækker Chief Information Security Officer, altså lederen med det øverste ansvar for informationssikkerheden. Modellen er tænkt til virksomheder, som har brug for den ledelse, men ikke for en fuldtidsansat til at udøve den. Personen arbejder for virksomheden og refererer til direktionen, mens beslutningerne om risiko og budget fortsat træffes af ledelsen.
Betegnelserne i markedet
Danske og udenlandske udbydere bruger flere navne om modellen, og de bliver ofte brugt i flæng. Det er derfor indholdet af aftalen, der fortæller, hvad I køber.
- vCISO · forkortelse for virtuel CISO. Ordet stammer fra, at meget af arbejdet foregår på afstand, med faste møder og opfølgning mellem dem.
- Fractional CISO · betoner, at virksomheden køber en andel af en erfaren persons tid, fordelt over året.
- Ekstern CISO · den mest direkte danske betegnelse for en CISO, der ikke er ansat.
- Cyber security advisor · ses tit i tilbud til mindre virksomheder, hvor vægten ligger på at rådgive direktionen.
En sammenligning af CISO-rollen med de øvrige roller, man kan hente udefra, findes på ekstern-it-ledelse.dk. Her går vi i dybden med sikkerhedsrollen alene. Møder I titlen Cyber Protection Officer, så læs siden om betegnelserne.
Det leder en ekstern CISO
Rollens opgave er at holde sammen på sikkerhedsarbejdet, så ledelsen ved, hvad der er gjort, hvad der mangler, og hvad det betyder for forretningen. I praksis betyder det:
- en risikovurdering, der peger på de systemer og data, virksomheden mindst kan undvære, beskrevet nærmere under risikostyring
- en prioriteret plan med ejere og datoer
- politikker og en ansvarsfordeling, som de ansatte kan forstå
- krav til IT-leverandører og opfølgning på dem, se leverandørstyring
- forberedelse af det, ledelsesorganet skal godkende efter NIS2-loven, se NIS2 og ledelsens ansvar
- en kort og regelmæssig rapport til direktion og bestyrelse
- svar på kunders spørgeskemaer og forsikringsselskabets spørgsmål, som virksomheden kan stå inde for
Det udfører rollen ikke selv
En stor del af sikkerhedsarbejdet udføres af andre, og det er netop koordineringen af dem, der er CISO’ens fag. Driften af servere, netværk og arbejdspladser bliver hos IT-leverandøren. Overvågning døgnet rundt kræver en vagtordning, som en ekstern CISO ikke har. Sikkerhedstest udføres af specialiserede testere; hvad ledelsen skal vide om testene, er beskrevet på sikkerhedstesten.dk. Og spørgsmål om fortolkning af lov og kontrakter hører hjemme hos en advokat.
Den eksterne CISO bestiller, afgrænser og læser resultaterne af det arbejde. Det giver ledelsen én person, der kan forklare, hvad en testrapport eller en leverandørs statusmøde betyder for virksomheden.
Hvorfor modellen passer til den mindre virksomhed
En fuldtidsansat CISO giver mening, hvor der er en sikkerhedsafdeling at lede. I en virksomhed med en håndfuld IT-leverandører og ingen egen IT-afdeling vil en fuld stilling ofte stå uden nok opgaver i store dele af året.
Den eksterne model giver kontinuitet uden den binding. Personen lærer virksomheden at kende over tid, kommer igen hver måned og kan skrue op for indsatsen i perioder, hvor NIS2-arbejde, en kundeaudit eller en forsikringsfornyelse kræver mere. Hvordan et forløb er skruet sammen fra den første gennemgang til den faste rytme, står på siden om samarbejdets forløb.
Artikler om rollen og modellen
- Hvad er en vCISO, og hvad laver den i en mindre virksomhed? En almindelig måned i en produktionsvirksomhed med 40 ansatte.
- Ekstern CISO: hvornår giver det mening at hente rollen udefra? Anledningerne og tegnene på, at sikkerhedsansvaret i dag ikke ligger hos nogen.
- Fractional CISO: sikkerhedsledelse i en brøkdel af tiden Sådan fordeles en aftalt andel af tiden over året.
- Midlertidig CISO: når rollen står tom, eller opgaven haster En afgrænset periode med et klart formål, når stillingen er ledig, eller en frist presser på.
- Sikkerhedsopgaverne ligger spredt hos IT-folkene Tegnene på, at ingen ejer rollen, og hvordan opgaverne samles uden en ny stilling.
Det skal I lade være med
- At sammenligne tilbud på titlen · to aftaler med ordet vCISO kan dække meget forskellige opgaver.
- At købe rollen uden et mandat · en CISO uden adgang til ledelsen bliver en rådgiver, som ingen spørger.
- At gøre rollen til en teknisk funktion · værdien ligger i prioriteringen og i dialogen med ledelsen.
- At holde leverandørerne uvidende om rollen · uden besked ved de ikke, hvem der taler på jeres vegne om sikkerhed.
Det skal I kræve af den eksterne
- ☐ En skriftlig opgavebeskrivelse, der skelner mellem det, rollen leder, og det, den overlader til andre.
- ☐ En første gennemgang, som munder ud i en prioriteret plan.
- ☐ En fast mødefrekvens med ledelsen og en aftalt timeramme.
- ☐ Klar besked om, hvem der svarer, hvis en hændelse opstår mellem møderne.
- ☐ Åbenhed om bindinger til produkter og leverandører.
- ☐ At politikker, vurderinger og beslutningsgrundlag tilhører virksomheden.
Flere artikler om rollen
- Sikkerhedsledelse i produktionsvirksomheden: kontor og fabrik under samme ansvar
- Sikkerhedsledelse hos private sundheds- og plejevirksomheder
- Når den interne sikkerhedsansvarlige stopper
- Hvem vil angribe os? Myten om den uinteressante virksomhed
- Skal en CISO være teknisk ekspert?
Næste skridt
- Hvad er en vCISO, og hvad laver den i en mindre virksomhed?
- Sådan forløber et samarbejde med en ekstern CISO
Læs også: Hvilket mandat skal en ekstern CISO have? · Spørgsmål og svar om ekstern CISO
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
Mangler I en CISO?
Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.
