vCISO to oficer bezpieczeństwa informacji na część etatu. Prowadzi wdrożenie systemu zarządzania bezpieczeństwem, pilnuje podatności i incydentów, raportuje zarządowi i przygotowuje firmę do audytu certyfikującego. Nie musisz zatrudniać specjalisty na pełny etat.
Zakres dobieramy do firmy. Poniżej jest wszystko, co vCISO może prowadzić, a w umowie wpisujemy to, czego potrzebujesz.
vCISO układa i prowadzi program bezpieczeństwa: cele, plan, budżet i odpowiedzialności.
Podstawa systemu zarządzania bezpieczeństwem według ISO 27001 i ustawy o KSC.
vCISO śledzi nowe podatności w technologiach, których używa Twoja firma, i mówi, co trzeba zrobić i do kiedy.
Przygotowanie firmy na incydent i wsparcie, gdy do niego dojdzie.
Jeden system zarządzania dla kilku wymagań naraz, z dowodami zebranymi w jednym miejscu.
Dwa obszary, o które pyta każdy audytor i każda z regulacji.
Zarząd odpowiada za cyberbezpieczeństwo, więc musi wiedzieć, jaki jest stan i jakie decyzje na niego czekają.
Pracujemy według norm i przepisów, które sprawdza audytor albo organ nadzoru.
Ustalamy cel, zakres i miesięczny wymiar godzin. Zarząd daje vCISO uprawnienia do działania w imieniu firmy.
W pierwszym miesiącu poznajemy firmę, spisujemy aktywa i sprawdzamy luki względem wybranych wymagań.
Układamy plan działań z priorytetami i rejestr ryzyk. Zarząd zatwierdza plan i budżet.
Stały rytm pracy: spotkania z zespołem, informacje o podatnościach, przeglądy i raport miesięczny.
Audyt wewnętrzny, przegląd zarządzania i wsparcie w czasie audytu certyfikującego albo kontroli.
Stały miesięczny wymiar godzin, dobrany do wielkości firmy i celu. Testy penetracyjne, audyty i obsługę incydentu poza godzinami pracy wyceniamy osobno. Pracujemy w Guardiso, więc dokumenty, ryzyka i dowody zostają w Twojej firmie także po zakończeniu współpracy.
Według NIS2 zarząd zatwierdza środki bezpieczeństwa, nadzoruje ich wdrożenie i odpowiada za naruszenia. Ta odpowiedzialność zostaje przy zarządzie także wtedy, gdy prace prowadzi dostawca. vCISO przygotowuje, doradza i prowadzi prace. Polityki, akceptację ryzyka i budżet zatwierdza zarząd, a zgłoszenie incydentu składa Twoja firma.
Konsultant zwykle robi jeden projekt i kończy. vCISO pracuje z firmą stale i odpowiada za plan oraz jego wykonanie. To do niego zespół i zarząd przychodzą z pytaniami o bezpieczeństwo.
Nie. Zespół IT dalej utrzymuje systemy i wdraża poprawki. vCISO mówi, co jest najważniejsze, ustala zasady i sprawdza, czy zostały wdrożone.
To zależy od wielkości firmy, liczby systemów i celu. Więcej godzin potrzeba w czasie wdrożenia, mniej później, gdy system działa. Wymiar podajemy w wycenie po krótkiej ankiecie.
vCISO przygotowuje treść zgłoszenia i pilnuje terminów. Zgłoszenie składa Twoja firma. Mandat vCISO do kontaktu z CSIRT i organami zapisujemy w umowie i w uchwale zarządu.
Z aktualnego spisu systemów i wersji oprogramowania, który prowadzimy w Guardiso. Nowe ostrzeżenia porównujemy z tym spisem, więc dostajesz tylko informacje o tym, czego naprawdę używasz.
Wypełnij krótką ankietę o zakresie prac. Przygotujemy wycenę z terminem i sposobem realizacji. Dane chronimy zobowiązaniem poufności.
