Renkantis išorinį CISO, iš paslaugų aprašymų ne visada aišku, ką įmonė iš tikrųjų gaus. Ar partneris tik parengs dokumentus, ar ir koordinuos saugumo darbus, padės spręsti incidentus bei atsiskaitys vadovybei už pažangą? Prieš pasirašant sutartį verta išsiaiškinti, kas dirbs su jūsų organizacija, kokias atsakomybes prisiims ir kokių rezultatų galite tikėtis.
Šie dešimt klausimų padės palyginti pasiūlymus ir suprasti, kokią naudą gaus jūsų organizacija.
Kas yra išorinis CISO?
Išorinis CISO, dar vadinamas virtualiu CISO arba vCISO, pagal sutartą apimtį vykdo kibernetinio saugumo vadovo funkcijas: koordinuoja rizikų valdymą, saugumo priemonių įgyvendinimą, pasirengimą auditams ir informuoja vadovybę apie pažangą.
Tokia paslauga gali tikti organizacijai, kuriai reikia patyrusio saugumo vadovo kompetencijų, tačiau nėra poreikio steigti viso etato pareigybę. Ji taip pat gali padėti pereinamuoju laikotarpiu, pasikeitus atsakingam darbuotojui.
1. Kas konkrečiai dirbs su mūsų organizacija?
Išsiaiškinkite, kuris specialistas bus pagrindinis jūsų kontaktas, kokia jo kvalifikacija ir patirtis. Aptarkite pavaduojamumą: kas perims darbus specialistui susirgus ar atostogaujant?
Svarbu žinoti, kas pažins jūsų organizaciją, dalyvaus susitikimuose ir prižiūrės sutartų darbų eigą.
2. Kaip bus užtikrinamas funkcijų atskyrimas?
CISO ir IT administratorių atsakomybės turi būti aiškiai atskirtos. NKSC nurodo, kad kibernetinio saugumo vadovas negali vykdyti tinklų ar informacinių sistemų administravimo ir kitų nurodytų techninės priežiūros bei valdymo funkcijų. NKSC paaiškinimai
Paklauskite, kaip tiekėjas užtikrins nešališkumą, ypač jei kartu siūlo IT priežiūros paslaugas.
3. Ar tiekėjas supranta mūsų veiklą?
Gamybos įmonės, sveikatos priežiūros įstaigos ir programinės įrangos kūrėjo rizikos skiriasi. Paprašykite paaiškinti, kokią patirtį partneris turi su panašaus pobūdžio organizacijomis ir kaip vertins jums taikomus reikalavimus.
Vertingas atsakymas susies saugumo darbus su jūsų veiklos tęstinumu, klientų įsipareigojimais ir svarbiausiomis sistemomis.
4. Ką gausime per pirmąsias 90 dienų?
Prieš pradėdami bendradarbiauti aptarkite pradinį darbų planą. Jame gali būti esamos situacijos ir rizikų vertinimas, dokumentų peržiūra, atsakomybių paskirstymas bei prioritetinių priemonių planas.
90 dienų laikotarpis – siūlomas planavimo etapas, o ne teisės aktuose nustatytas terminas. Darbų apimtis turi atitikti organizacijos būklę ir poreikius.
5. Kas įskaičiuota į CISO paslaugos kainą?
Išsiaiškinkite, kokie darbai, susitikimų dažnumas ir pasiekiamumas įtraukti į pasiūlymą. Atskirai aptarkite mokymus, įsilaužimo testavimą, nepriklausomą auditą, SOC paslaugas ir techninių sprendimų diegimą.
Aiški apimtis padeda palyginti tiekėjus ir iš anksto numatyti papildomų darbų biudžetą.
6. Kas priims sprendimus ir įgyvendins rekomendacijas?
Sutarkite, ką rengia ir koordinuoja CISO, ką tvirtina vadovybė, o ką įgyvendina IT komanda ar kiti tiekėjai.
Pavyzdžiui, CISO gali nustatyti prieigų valdymo trūkumus ir pasiūlyti jų šalinimo planą, tačiau techniniams pakeitimams reikės atsakingų vykdytojų. Kiekvienai užduočiai turi būti aiškus atsakingas asmuo ir terminas.
7. Kokia pagalba teikiama incidento metu?
Aptarkite, kada specialistas pasiekiamas, per kiek laiko reaguoja ir kokius veiksmus koordinuoja. Kas susisieks su vadovybe, kas organizuos techninį tyrimą, kas rengs pranešimus NKSC, kai jie privalomi?
CISO paslaugos apimtis savaime nereiškia visą parą veikiančio stebėjimo ar techninio reagavimo. Šias paslaugas ir jų ribas būtina suderinti iš anksto.
8. Kaip matysime pažangą?
Paprašykite parodyti ataskaitos vadovybei pavyzdį. Iš jo turėtų būti aišku, kokie darbai atlikti, kokios rizikos išlieka ir kokių sprendimų reikia iš vadovybės.
Pažangą verta vertinti pagal sutartus rezultatus: pašalintus trūkumus, patikrintas procedūras ir įgyvendintas priemones.
9. Kaip bus užtikrinamas nepriklausomas auditas?
Pasirengimas auditui ir nepriklausomas vertinimas yra skirtingos veiklos. Paklauskite, kas atliks auditą ir kaip bus vertinami galimi interesų konfliktai.
CISO gali koordinuoti pasirengimą, padėti surinkti įrodymus ir organizuoti nustatytų trūkumų šalinimą. Auditoriaus nepriklausomumą reikia įvertinti atskirai.
10. Kaip bus saugoma ir perduodama mūsų informacija?
Partneriui patikėsite jautrią informaciją apie sistemas, rizikas ir saugumo spragas. Aptarkite dokumentų saugojimą, prieigos teises, konfidencialumą ir subrangovų dalyvavimą.
Sutartyje taip pat numatykite, kaip pasibaigus bendradarbiavimui gausite dokumentus bei ataskaitas, bus perduotos žinios ir panaikintos tiekėjo prieigos.
Kaip gali padėti „Cyber Spektras“?
„Cyber Spektras“ teikia išorinio CISO paslaugas: padedame vertinti rizikas, rengiame ir prižiūrime saugumo dokumentaciją, koordinuojame TIS2 reikalavimų įgyvendinimą, darbuotojų mokymus ir pasirengimą nepriklausomam auditui.
Mums svarbu, kad suprastumėte, ką darome ir kodėl. Todėl atvirai aptariame jūsų situaciją, paaiškiname rekomendacijas suprantama kalba ir kartu sutariame, kuriems darbams teikti pirmenybę. Aiškiai įvardijame paslaugos apimtį, kainą ir atsakomybes, kad žinotumėte, ko tikėtis iš bendradarbiavimo.
Klausimus skatiname užduoti, o apie sunkumus kalbame tiesiai. Jei darbui reikia daugiau laiko, papildomų išteklių ar jūsų sprendimo, paaiškiname priežastis ir aptariame tolesnius veiksmus. Taip kuriame pasitikėjimu grįstą ryšį ir padedame vadovybei priimti pagrįstus saugumo sprendimus.
Svarstote apie išorinį CISO? Susisiekite dėl nemokamos pirmos konsultacijos – susipažinsime su jūsų situacija ir aptarsime, kokios pagalbos jums reikia.