A megfelelésen túl: rezilienciát építünk

A hatókörben és az időtávban, nem a minőségben. A tanácsadás körülhatárolt munka, van eleje és vége: kockázatfelmérés, útiterv, irányítási keretrendszer, felkészülés egy adott szabványra. A vCISO viszont valaki, aki folyamatosan viszi a biztonsági vezetői szerepet: hétről hétre meghozza a döntéseket, és felel is értük. A legtöbb szervezet az elsővel kezdi, és akkor lép a másodikra, amikor rájön, hogy a döntések akkor is érkeznek, ha nincs ott senki, aki meghozza őket. Van, aki fordítva csinálja, és a tanácsadással ellenőrizteti a már meglévő CISO-ja munkáját. Ha nem biztosak benne, melyikre van szükségük, az inkább egy beszélgetés, mint egy ajánlat.

Mert a jelentés az olcsó rész, és nem szeretnénk kizárólag azért pénzt kapni. Minden javaslathoz tartozik felelős, határidő és hely a sorrendben — és épp a sorrend az, amit a legtöbb jelentés kihagy: így érkezik egyszerre száznegyven megállapítás, és így nem készül el egyik sem. Ahol kérik, ugyanaz a csapat viszi végig a munkát; ahol nem mi vagyunk rá a megfelelő emberek, azt megmondjuk, és akkor is a befejezésig követjük, nem zárjuk le a megbízást az átadásnál. Ha pedig valóban a dokumentum kell — egy testületnek, egy vevőnek, egy auditornak —, mondják meg, és inkább arra adunk ajánlatot, olcsóbban.

Azzal, amijük van, nem azzal, aminek lennie kellene. Az első mozdulat mindig a felmérés: a jelenlegi biztonsági állapot, az Önökre vonatkozó kötelezettségek, a valódi kockázatok és az üzleti prioritások — olyan képpé alakítva, amivel a vezetés kezdeni tud valamit, nem megállapítások listájává. Ez szándékosan a legolcsóbb része bármelyik megbízásnak, mert ettől lesz vitatható minden, ami utána jön. Van ezen a lapon egy ingyenes önértékelés is, amely néhány percet vesz igénybe — egy kisebb szervezetnél gyakran ennyi is elég ahhoz, hogy az első beszélgetés érdemi legyen.

Üzleti hatásból indulunk ki, nem súlyossági pontszámból. Egy kritikusnak minősített sérülékenység egy olyan rendszeren, amelyet kívülről senki nem ér el, és amelyen nincs semmi, nem az Önök első problémája; egy jelentéktelen félrekonfigurálás azon a rendszeren, amelyen a bevételük átfolyik, viszont az. A felmérésnek tehát előbb azt kell tisztáznia, mi számít valóban Önöknél — mely rendszerek, mely adatok, mely folyamatok azok, amelyek nélkül egy napig sem lehetnek meg, és ki venné észre. Az általános súlyosságból lesz az a kockázati nyilvántartás, amit senki nem olvas, és az az útiterv, amit senki nem követ.

Azt nem, hogy „igen” — hiteles ember nem mond igent. Amivel egy vezetőség kezdeni tud valamit, az néhány dolog: hol állnak a választott mércéhez képest, mi változott azóta, hogy utoljára kérdezték, milyen kockázatot viselnek tudatosan, és mi kell Önöknek tőlük ahhoz, hogy ez változzon. A technikai valóság és ez a beszélgetés közötti fordítás az egyik oka annak, hogy ez a szolgáltatás létezik — és az ilyen formájú riportálás a szolgáltatás része, nem olyasmi, amit a csapatuknak kell éjfélkor összeraknia.

Ott, hogy vonatkoznak-e Önökre, és milyen hatókörben — ez kevésbé nyilvánvaló, mint amilyennek hangzik, és jellemzően itt megy el a fölösleges energia. Utána a munka nagyjából ugyanaz, bármelyik szabályozásról legyen szó: tisztázni, mi tartozik a hatókörbe, mérni a követelményekhez, rangsorolni a hiányosságokat kockázat és ráfordítás szerint, és menet közben összegyűjteni a bizonyítékokat, nem az audit előtti két hétben. A sorrend fontosabb, mint a keretrendszer neve: az irányítás, a meglévő eszközök ismerete és a kockázati kép megelőzi a monitorozást és a detektálást, bárhogy is hívják a szabványt. Ha pedig már dátum is van a naptárban, az más és sürgősebb típusú megbízás.

Bármelyik — és még az elköteleződés előtt megmondjuk, melyik. Végzünk bevezetési munkát is: biztonsági eszközök telepítését és konfigurálását, hardeninget, tűzfalas és hálózati munkát — így a tanácsot végig tudják vinni azok, akik megfogalmazták, ami elveszi azokat a fordítási veszteségeket, amelyektől a jó útitervek elbuknak. De a tanács nem függ attól, hogy mi csináljuk-e. Egy része az Önök csapatáé, egy része egy már meglévő szállítójuké — és ezt kimondani annak a része, amiért fizetnek nekünk. Az a javaslat, amelyet csak az tud teljesíteni, aki megfogalmazta, megérdemel egy második olvasatot.

Nagyrészt éppen ez az érték — és nekünk könnyebb, mint valakinek az Önök bérlistáján. Írtunk már olyan összehasonlítást, amely olyan termék ellen érvelt, amelyet magunk is eladhattunk volna. A hardeningmunkánkban rendszeresen elhalasztunk megállapításokat ahelyett, hogy javasolnánk őket, ha a változtatás nagyobb kockázatot hordoz, mint maga a hiányosság. És kimondjuk azt is, ha valamit nem érdemes javítani — ezt nehezebb leírni, mint egy listát mindenről, ami elméletileg jobb lehetne. Mi magunk is ISO/IEC 27001 szerint tanúsítottak vagyunk: minket is auditálnak ugyanazon az alapon, amelynek elfogadását Önöktől kérjük — ettől mindkét irányban könnyebb az őszinteség.

Háromféle alak. Egy díjazott, egyszeri felmérés hetekben mérhető, fix áron — ez a szokásos belépő. Egy rögzített hatókörű projekt — irányítási keretrendszer, útiterv, felkészülés egy szabványra — előre meghatározott szállítandóra van szabva és árazva, így még a döntés előtt tudják, mit vesznek. A folyamatos tanácsadás, ahol nem látogatjuk a szerepet, hanem visszük, a vCISO-megbízás: havi díjas, legalább tizenkét hónapra. A számot minden esetben a hatókör mozgatja: hány rendszer és telephely tartozik bele, melyik szabályozás érvényes, és mennyit szeretnének a munkából maguknál tartani.