• En virtuel Chief Information Security Officer forbedrer it-sikkerheden, giver fleksibel arbejdskraft og er omkostningseffektiv.
• vCISO'ens ansvarsområder spænder fra udvikling af en kundetilpasset sikkerhedsstrategi til implementering af et system til styring af informationssikkerhed (ISMS) og overvågning af den daglige drift.
• Gode vCISO'er er højt kvalificerede, certificerede og udstyret med branchekendskab og gode kommunikationsevner.

Der registreres over 2.000 cyberangreb på virksomheder hver dag, og med den stigende digitalisering øges den potentielle skade, som et vellykket angreb kan påføre en virksomhed. Samtidig vokser udbuddet af sikkerhedsløsninger, Frameworks og metoder til at beskytte sig mod angreb, men reguleringen på it-sikkerhedsområdet bliver samtidig mere og mere kompleks. Derfor ansætter mange store virksomheder nu en Chief Information Security Officer, forkortet CISO. CISO'en er ansvarlig for at sikre, at virksomhedens it-sikkerhedsstrategi er omkostningseffektiv, effektiv og i overensstemmelse med lovgivningen.

Men hvad kan mellemstore og små virksomheder gøre, hvis de ikke har råd til eller ikke ønsker deres egen CISO? Så er en virtuel Chief Information Security Officer (vCISO) et godt alternativ til at få adgang til højt kvalificeret sikkerhedsledelse og undgå brud på it-sikkerhedsarkitekturen.

En CISO er ansvarlig for cybersikkerhedsstrategien, det vil sige pålideligheden af ​​virksomhedens IT, og sikrer samtidig, at alle myndighedskrav til en virksomheds IT, software og datainfrastruktur bliver overholdt.

CISO'en rapporterer normalt til Chief Information Officer eller Chief Technology Officer. Af og til refererer de også direkte til den administrerende direktør.

Internetplatformen kununu angiver en gennemsnitlig årsløn på omkring 95.000 euro for denne stilling.

Virtuelle CISO'er er eksperter, som virksomhederne kan indsætte efter behov. Det betyder, at de ikke er en omkostningsfaktor for lønbudgettet, men at der anmodes om dem, når der er projekter undervejs, når der er brug for akutte problemløsninger, eller når problemer skal løses på forhånd.

• Implementeringsprocessen begynder normalt med en sikkerhedsrevision. Her fastslår vCISO’en, hvordan den pågældende virksomhed er positioneret inden for it-sikkerhed og regulativer. Den undersøger sikkerhedsarkitekturen, identitets- og adgangsstyring samt overholdelse af de juridiske rammer.
• I det andet trin udarbejder vCISO en anbefaling til udvidelse eller konvertering af den eksisterende Ud over systemernes effektivitet er der også fokus på omkostningsoptimering, pålidelighed og fremtidssikring.
• Derefter støtter vCISO implementeringen af de reviderede sikkerhedsforanstaltninger. Et styringssystem for informationssikkerhed (ISMS) eller forbindelsen til et securitysoperationscenter (SOC) understøtter ofte de evaluerede foranstaltninger.
• Systemets kvalitet revurderes derefter med jævne mellemrum for at holde risikoniveauet inden for drift, databeskyttelse, it-sikkerhed og cyberrobusthed så lav som muligt.
• Og selvfølgelig er vCISO tilgængelig til enhver tid i tilfælde af et problem, for eksempel for at lukke akutte sikkerhedshuller eller forhindre tab af værdifulde virksomhedsdata.

Yderligere opgaver for en vCISO omfatter:

• Rådgivning om sikkerhedsstrategi og om valg af software, frameworks osv.
• Support og overvågning af Managed Service Providers (MSP)
• Videreudvikling af it-sikkerhedsstrategien
• Udarbejdelse af it-sikkerhedsrapporter
• Rådgivning af ledelsen inden for cybersikkerhed
• Opretholdelse af kontakt med tilsynsmyndigheder
• Gennemgang af IT-sikkerheden hos partnere og leverandører
• Regelmæssig opdatering af sikkerhedsretningslinjer

Desuden er en vCISO en meget værdifuld sparringspartner for alle it-afdelinger i virksomheden. Personen bringer et eksternt perspektiv og markedserfaring ind i projekterne som en del af planlægningsprocessen. Det gør dem i stand til at identificere sårbarheder i eksisterende sikkerhedsarkitekturer hurtigt og pålideligt.

Derudover kan en vCISO naturligvis også påtage sig en permanent CISO's opgaver som en midlertidig løsning, f.eks. for at kompensere for ansættelsesstop. orlov, sygdom, ferie eller andet fravær eller for at yde støtte i tilfælde af en midlertidigt høj arbejdsbyrde.

Da en virtuel CISO kommunikerer med it-afdelingen samt ledelsen og nogle gange medarbejderne i en virksomhed, skal personen have gode kommunikative evner ud over de faglige kvalifikationer. Kandidaten skal være i stand til at nedbryde komplekse problemstillinger og forklare dem tydeligt. Forhandlingsevner, strategisk tænkning og erfaring med interessenthåndtering er også blandt færdighederne hos en god vCISO.

De tekniske krav til at arbejde som vCISO omfatter en grad i datalogi (eller tilsvarende kvalifikationer) og relevant yderligere erfaring. Yderligere kvalifikationer såsom en MBA med fokus på informationssikkerhed viser også, at en kandidat er godt forberedt til rollen som vCISO. Under alle omstændigheder skal vCISO'en kunne demonstrere et godt branchekendskab og flere års professionel erfaring med ledelse af it-sikkerhedsprogrammer og -projekter.

Vigtige certifikater, der beviser en omfattende kvalifikation, når man arbejder som vCISO:

• CISSP (Certified Information Systems Security Professional): Dette internationalt anerkendte certifikat anses for at være det vigtigste bevis på ekspertise inden for informationssikkerhed.
• CISM (Certified Information Security Manager): Viser, at kandidaten har styr på de ledelsesmæssige aspekter af informationssikkerhed.
• CEH (certificeret etisk hacker): CEH-certifikatet viser, at indehaveren har omfattende erfaring med etisk hacking og penetrationstest.
• ISO 27001 Lead Implementer: Certificerer evnen til at etablere et ledelsessystem for informationssikkerhed i overensstemmelse med ISO 27001.

I øvrigt: At vælge en virtuel CISO giver mulighed for at vælge en partner, der passer perfekt til de aktuelle krav i din egen branche - og for at kunne udskifte dem nemt og fleksibelt, hvis disse krav ændrer sig i fremtiden.

Ud over alle disse overvejelser bør tilgængeligheden af en vCISO i en nødsituation også afklares, når der træffes beslutning om en vCISO.

Især for små og mellemstore virksomheder er beslutningen om at udnævne en virtuel Chief Information Security Manager en mulighed for at hæve kvaliteten af deres egen it-sikkerhed til et højere niveau. Den eksterne konsulent påtager sig opgaver, som CTO'en eller CIO'en normalt ikke har tid til, og som andre it-medarbejdere ofte ikke er tilstrækkeligt kvalificerede til. Nogle retningslinjer kræver også adskillelse af CTO- og CISO-personale.

På den måde tilfører en vCISO ekstern ekspertise og kompetence til virksomhedens sikkerhedsstyring og tilbyder samtidig personlig fleksibilitet og fuld omkostningskontrol.