Vezetői szintű kiberbiztonsági irányítás teljes állású CISO felvétele nélkül

Nem csupán eszközöket adunk, hanem integrált tanácsadást és technológiai vezetést is. Az ISO/IEC 27001 tanúsított szakértelmünket MI-alapú virtuális CISO platformmal ötvözve hidat építünk az összetett IT-biztonság és az üzleti stratégia között. Célunk a mérhető kockázatcsökkentés: a lényeges kockázatokat azonosítjuk, rangsoroljuk, felelőshöz rendeljük és határidővel követjük — miközben vállalkozása rugalmas és megfelelő marad.

A virtuális CISO egy magas szintű információbiztonsági vezető stratégiai irányítását nyújtja anélkül, hogy teljes állású vezetőt kellene alkalmaznia. Ez a szolgáltatás azoknak a szervezeteknek ideális, amelyeknek biztonsági ütemtervre, kockázatkezelésre és szabályozói megfelelésre van szükségük, de rugalmas, szakértő által vezetett modellt keresnek.

A teljes megfelelési folyamaton végigkísérjük. Ez magában foglalja a kezdeti hiányelemzést a gyengeségek feltárására, a szükséges technikai kontrollok bevezetését (például többtényezős hitelesítés, titkosítás, incidenskezelési keretrendszer), valamint a folyamatos monitorozást a szigorú uniós jelentési határidők betartásához. A megfelelést jogi teherből versenyelőnnyé alakítjuk.

Egyiket sem önmagában. A megbízáson csapat dolgozik — vezető vCISO, információbiztonsági felelős (IBF), auditfelkészítési tanácsadó és technikai szakértő —, így a szolgáltatás nem egyetlen ember naptárán múlik, és a szabadság vagy a betegség nem állítja meg. A csapat együtt ISO/IEC 27001 vezető auditori, NIS2 auditori, ISO/IEC 42001 vezető auditori, CISA és CISM minősítéssel rendelkezik. A platform a teljes szerződéses időszak alatt működik, és a díj része: itt él a biztonsági állapot, a megfelelési helyzet és a nyitott feladatok listája — nem külön megvásárolt licenc.

Felettük, nem helyettük. Mi látjuk el a biztonsági vezetői szerepet, és ahol jogszabály vagy keretrendszer nevesített információbiztonsági felelőst (IBF) követel meg, azt a szerepet is — beleértve a felügyeleti hatósággal való kapcsolattartást. Az IT-csapat és a szolgáltatók továbbra is végzik a technikai munkát; mi felülvizsgáljuk a kontrollokat, meghatározzuk, minek kell változnia, és a megvalósulásig követjük. A kiszervezett szolgáltató ebben a modellben nem vakfolt: beszállítói kockázattá válik, amelyet értékelünk, és a szerződéseikkel és saját jelentéseikkel igazolunk. A jogszabályi felelősség a vezetőségé marad; a mi dolgunk, hogy a döntéseket rendesen előkészítsük.

Az irányítási munkát mi magunk végezzük el, a rendszereikhez viszont nem nyúlunk. A szabályzatok, eljárások, rendszerbiztonsági tervek és nyilvántartások elkészítése és karbantartása, a bizonyítéktár felépítése, a belső próbaaudit és a javító intézkedési terv lefuttatása, a munkatársak felkészítése az auditinterjúkra, a hatósággal való ügyintézés — ez a mi munkánk, nem egy lista, amit átadunk. Egy tűzfalszabály átírása, az MFA bevezetése vagy a mentési rend újraépítése az IT-csapaté vagy a szolgáltatóé marad: mi meghatározzuk, sorrendbe tesszük és a végéig követjük. A behatolásvizsgálat nem része a díjnak, a megszervezése viszont igen.

A platform-hozzáférések a szerződéskotéstől számított körülbelül egy héten belül állnak rendelkezésre, és a projektindító is ugyanezen a héten megtörténik. Az első 30 napban megtörténik az IBF kijelölése és bejelentése, ahol ez előírás, és tisztázódik a hatókör is — mely rendszerek tartoznak bele és hol húzódnak a rendszerhatárok —, vezetői jóváhagyással, miközben a hiányelemzés már fut. Utána a ritmus heti: rövid státuszegyeztetés a nyitott feladatokról és az akadályokról, a platform feladatlistája alapján. Havonta vezetői jelentést kapnak a mérföldkövekhez mért haladásról, a nyitott kockázatokról és a szükséges döntésekről. Negyedévente újranézzük az intézkedési tervet, a kockázati nyilvántartást és a beszállítói értékeléseket; évente az állapotfelmérést és a képzési tervet. Ahol jogszabály helyszíni jelenlétet ír elő, ez a látogatás két-három havonta megtörténik és dokumentált. Éves szinten az arány nagyjából 20% helyszíni, 80% távoli munka.

Lehet kisebben kezdeni. A folyamatos együttműködés mellett vállalunk rögzített hatókörű biztonsági projekteket és díjazott, egyszeri felmérést is — egy felmérés ésszerű mód arra, hogy megnézzék, hogyan dolgozunk, mielőtt bármit elköteleznének. A folyamatos modellt azért részesítjük előnyben, mert a biztonsági vezetés nem olyan feladat, ami befejeződik: ezért fut a folyamatos együttműködés legalább tizenkét hónapos időszakra. Egy negyedév után leszerelt program dokumentumokat hagy maga után, nem gyakorlatot.

Fix havi díj, amelyet a kezdés előtt rögzítünk, óradíj és hó végi elszámolás nélkül — a platformmal együtt. A szintjét a szerződéskotéskor rögzített hatókör határozza meg: hány információs rendszer tartozik bele, és milyen biztonsági osztályba. Ahol audithatáridő van, a díj kétlépcsős: magasabb a felkészülési hónapokban és alacsonyabb az azt követő működési hónapokban. A fix díj a rendeltetésszerű használat elve mellett érvényes: ha a tényleges igény tartósan és lényegesen meghaladja a megállapodott hatókört, a hatókört és a díjat együtt nyitjuk újra, nem nagyobb számlát küldünk. A díjon kívül esik: maga a technikai javítás és az ahhoz szükséges beszerzés, a behatolásvizsgálat, a távoli telephelyekre történő kiszállás, valamint az audit díja, amelyet közvetlenül az auditornak fizetnek.