Virtuális CISO · Hogyan dolgozunk
Mit csinál valójában egy Spirity vCISO, hétről hétre
Nem tanácsadói órakeret, amelyet lehívhat. A biztonsági vezetői szerepet egy csapat veszi át fix havi díjért, a munka pedig egyetlen helyen látszik: az Ön Spirity vCISO portálján, ahol minden döntés, feladat és dokumentum együtt van. Így néz ki az első hónap, így egy átlagos hónap, és ez kerül negyedévente a vezetőség elé.
A szerepkört csapat viszi, így a szerepkör nem megy szabadságra
Az egyetlen tanácsadóval ellátott megbízás megáll, ha az a tanácsadó beteg, szabadságon van vagy másik ügyfélnél. Az Önét négy, különböző feladatú ember viszi, és a kötelezettségek a csapatot terhelik, nem valakinek a naptárát.
Vezető vCISO
Övé a biztonsági stratégia, a kockázati kép és az a riport, amelyet a vezetőség és az igazgatóság tényleg elolvas. A megbízás szakmai felelőssége az övé.
Biztonsági felelős
Átvállalja a nevesített felelősi szerepkört, ahol jogszabály, keretrendszer vagy szerződés ilyet ír elő — beleértve az SZTFH-val való kapcsolattartást.
Auditfelkészítési tanácsadó
Vezeti a felmérési workshopokat, összeállítja a bizonyítékokat, és előre tudja, mit fog kérni az auditor.
Technikai szakértő
Felülvizsgálja a kontrollokat, elolvassa a vizsgálati eredményeket, és úgy határozza meg a teendőt, hogy az IT-csapat vagy a szolgáltató dolgozni tudjon vele.
A csapat együttesen ISO/IEC 27001 vezető auditori, NIS2 auditori, ISO/IEC 42001 vezető auditori, CISA és CISM minősítéssel rendelkezik.
Az első kilencven nap, és minden hónap utána
Itt semmi nem vár a negyedéves irányítóbizottságra: az első külső vizsgálat már akkor lefut, amikor a hiányelemzés még tart.
- 01
Az első 30 nap
Projektindítás a szerződéskötés hetében, és portál-hozzáférés az Ön munkatársainak ugyanazon a héten. A nevesített felelősi szerepkör kijelölése és bejelentése, ahol ez előírás. A hatókör vezetői jóváhagyással — mely rendszerek tartoznak bele, és hol húzódnak a határok. A szervezeti profil kitöltése, a kiinduló sablon alkalmazása és az első külső vizsgálat.
- 02
A 30. naptól a 90. napig
Felmérési workshopok: egy kérdés egyszerre, azzal, akié a válasz — nem körbeküldött és utána sürgetett táblázat. A kockázati nyilvántartás az Ön üzletéből épül fel, nem letöltésből. Az intézkedési terv a valós kapacitáshoz ütemezve. Az első szabályzatok megírása.
- 03
Egy átlagos hónap
Heti rövid státuszegyeztetés a nyitott feladatokról és az akadályokról, a portál feladatlistájából dolgozva, nem emlékezetből. Vizsgálatok a saját ütemezésük szerint. Havonta egy riport: haladás a mérföldkövekhez mérve, a nyitott kockázatok, és azok a döntések, amelyek Önre várnak.
- 04
Negyedévente
Vezetői áttekintés. Az érettségi trend és ami mozgatta, a kulcskockázatok újranézése, a maradványkockázat újraszámolása az intézkedések megvalósulásával, és a terv újraütemezése ahhoz, ami valóban történt — nem ahhoz, amit az első hónapban terveztünk.
A munkamegosztás, még azelőtt rögzítve, hogy próbára tennénk
Az ilyen megbízásokban a legtöbb baj abból lesz, hogy nincs egyetértés arról, kinek kellett volna valamit megtennie. Ezeket a sorokat a projektindításkor zárjuk le.
- 01
Szabályzatok és dokumentáció
Mi megírjuk, Ön jóváhagyja. Az alá nem írt szabályzat nem szabályzat, és az auditor tudja, hol keresse az aláírást.
- 02
Kockázati döntések
Mi számszerűsítünk, bemutatunk és javaslunk. Ön elfogad, csökkent, áthárít vagy elkerül — mi pedig rögzítjük, ki döntött, mikor, miért és meddig.
- 03
Technikai javítások
Az Ön IT-csapata vagy szolgáltatója valósítja meg. Mi meghatározzuk, felülvizsgáljuk és ellenőrizzük. Az éles rendszerekhez nem nyúlunk, és ezt a szerződés is kimondja.
- 04
Bizonyítékok
Aki a munkát végzi, az csatolja a bizonyítékot a feladathoz, miközben dolgozik rajta. Az audit sikere kerül veszélybe, ha a bizonyítékokat csak közvetlenül az audit előtt kezdik összegyűjteni.
- 05
Kapcsolattartás a hatósággal
A mi feladatunk a nyilvántartásba vétel intézése, a bejelentések, a levelezés és az audit koordinációja. Az SZTFH egy olyan kapcsolattartót kap, aki ezt már csinálta.
- 06
Tudatosság és képzés
Az Ön HR-je ütemezi, mi meghatározzuk, mit kíván meg a keretrendszer, és ellenőrizzük a bizonyítékot. Ez gyakran önálló programként fut.
- 07
Beszállítói értékelések
Mi végezzük el az értékelést és minősítjük az eredményt. Az üzleti kapcsolat az Öné, és az is az Ön döntése, hogy megtart vagy lecserél egy beszállítót.
A tudatosság és képzés az a sor, amelyből rendszerint önálló program lesz, saját ütemezéssel és saját bizonyítékkal.
Lépjen be, és nézze meg, hol tartanak — ma
Nem egy havi PDF-et kap és egy ígéretet. A fentiek mind a Spirity vCISO portálon landolnak, az Ön saját logójával — a biztonsági érettségi pontszám, a keretrendszerenkénti megfelelési állapot, a nyitott feladatlista felelősökkel és határidőkkel, a kockázati nyilvántartás és a dokumentumok —, a munkatársai pedig bármikor beléphetnek és elolvashatják.
Amit látnak, az a munka aktuális állapota, nem egy megbeszélésre összeállított pillanatkép: egy ma reggel lezárt feladat már elmozdította a számokat. A hozzáférés szerepkör szerint működik, így mindenki azt látja, ami rá tartozik, és nem a többi között kell eligazodnia.
- Vezetőség: csak olvasható kép az érettségről, a nyitott kockázatokról és a tervhez mért haladásról
- IT és a szolgáltató: a rájuk osztott feladatok, mindegyik lépésről lépésre szóló útmutatóval és hellyel a bizonyítéknak
- Folyamatgazdák: azok a felmérési kérdések, amelyekre nekik kell válaszolniuk — és semmi más
- Mindenki: exportok — felmérési válaszok, a nyilvántartás, a riportok és a bizonyítékfájlok — a megbízás alatt és a végén is
Az EU-n belül üzemeltetve
A Spirity vCISO portált a Spirity üzemelteti, alapértelmezetten az EU-n belül — bármely más régióról a platform indítása előtt állapodunk meg, nem utólag. Szabályozott ágazatban működő ügyfelek a saját infrastruktúrájukra is telepíttethetik.
Minden ügyfélfiók el van választva a többitől, a hozzáférés szerepkör szerint történik, az exportok pedig bármikor és díjmentesen elérhetők — a megbízás alatt és a távozás napján is, nem kérésre és nem távozási díj ellenében.
Ami ténylegesen megérkezik
- Projektindító terv és vezetőség által jóváhagyott hatókör
- A nevesített felelősi szerepkör kijelölve és bejelentve, ahol ez előírás
- Keretrendszerenkénti felmérési jelentés, amely a pontszám mellett a konkrét hiányosságokat is megnevezi
- Kockázati nyilvántartás felelősökkel, kezelési döntésekkel és kockázattűrési szinttel
- Ütemezett intézkedési terv határidőkkel, felelősökkel és csatolt bizonyítékokkal
- Szabályzatcsomag arra szabva, ahogy a szervezet valóban működik
- Havi riport, és negyedéves vezetői áttekintő anyag
Gyakran ismételt kérdések
A biztonsági és IT-vezetőktől leggyakrabban kapott kérdések.
Nem találja, amit keres? Kérdezzen tőlünk közvetlenül
Kevesebbet, mint ha Ön csinálná, és az igény az elejére sűrűsödik. A felmérés a legnehezebb rész: nagyjából két hét telik el vele, és ezt nem a munka mennyisége határozza meg, hanem az, hogy ki mikor ér rá. Egy nap alatt is megvolna, ha mindenki egyszerre leülne — és erre szinte senki nem képes, mert a kérdések átérnek az IT-n, a HR-en, az üzemeltetésen és azon, akinél a szerződések vannak. Utána heti egy rövid státuszegyeztetésre áll be, plusz annyi időre, amennyit a saját csapata a javításokra fordít.
Ez a szokásos eset, nem a kényelmetlen. A szolgáltató továbbra is végzi a technikai munkát; mi meghatározzuk, minek kell változnia, felülvizsgáljuk és ellenőrizzük. Kaphatnak közvetlenül feladatot a portálon, lépésről lépésre szóló útmutatóval és hellyel a bizonyítéknak, vagy dolgozhatnak a saját jegykezelő rendszerükből. A kiszervezés semmit nem helyez ezen kívülre: magát a szolgáltatót is az Ön beszállítójaként értékeljük, a szerződése és a saját jelentései alapján.
Igen, és általában ez a jobb sorrend. Az első harminc nap így is, úgy is ugyanaz: hatókör, profil, kiinduló sablon és az első vizsgálat. Egy dátum az intézkedési terv ütemezését változtatja meg, nem az előtte lévő munkát. Ha a dátum menet közben érkezik, újraütemezzük hozzá a tervet — ami egyébként is negyedéves feladat.
A Spirity vCISO portált a Spirity üzemelteti, az EU-n belül. Szabályozott ágazatban működő ügyfelek a saját infrastruktúrájukra is telepíttethetik. Minden ügyfélfiók el van választva a többitől, a hozzáférés szerepkör szerint történik, az exportok pedig — felmérési válaszok, a nyilvántartás, a riportok és a bizonyítékfájlok — bármikor elérhetők, a megbízás alatt és a végén is.
Ez ügyfélfiókonként szabályozható beállítás: a portál asszisztensei ügyfelenként ki- és bekapcsolhatók, és hogy Önöknél melyik legyen, azt Önökkel egyeztetjük, nem Önök helyett döntjük el. Két dolog mindkét esetben igaz. Az Önök anyagát soha nem használják MI-modell tanítására — sem a platformét, sem a szolgáltatóiét —, és a beszerzési űrlapok valójában erre kérdeznek rá. És amit egy asszisztens megfogalmaz, az nem jut el Önökhöz olvasatlanul: a vCISO átnézi és a nevét adja hozzá, ugyanazzal a szabállyal, mint minden máshoz, amit átadunk. Ha a saját szabályzatuk szerint ebből semmi nem használható, mondják el az indításkor, és az első felmérés előtt ki lesz kapcsolva.
Hol tart most, és mi következik
A felmérés
Két hét: az Ön válaszai és a mi átnézésünk, a vonatkozó keretrendszerek szerint pontozva.
Keretrendszer-megfeleltetés
Egy kontroll teljesítését egyszer kell felmérni; az eredmény minden kapcsolódó keretrendszernél beszámít.
Készen áll a kezdésre?
Dolgozzon együtt a Spirity Enterprise-zal, hogy a szervezetéhez illő biztonsági és IT-megoldások valósuljanak meg.