Sikkerheds-allrounderen CISO: Outsource eller ansætte dig selv?

Det er 30 år siden, at finansgiganten Citigroup (tidligere Citicorp) oprettede et særligt kontor for cybersikkerhed efter en række cyberangreb fra russiske hackere. 1994 betragtes derfor som fødselsåret for erhvervet som Chief Information Security Officer. I dag, tre årtier efter fremkomsten af den første CISO, har næsten alle større virksomheder en cybersikkerhedsspecialist. Cybersecurity Ventures forklarer, at der i øjeblikket er omkring 32.000 CISO'er på verdensplan. Men med anslået 334 millioner virksomheder bliver det hurtigt indlysende: Mange andre virksomheder og organisationer har endnu ikke besat en sådan stilling - uanset hvor vigtig den måtte være. Det kan skyldes størrelse, manglende ekspertise eller oplever budgetbegrænsninger, eller fordi der er brug for CISO-support øjeblikkeligt: En CISO på fuld tid er ønskværdig for mange virksomheder, men ikke altid muligt. Nogle gange er CISO-opgaverne fordelt på flere IT-medarbejdere, hvilket indebærer risici, hvis der er utilstrækkelig viden. I sådanne tilfælde er en virtuel CISO eller en outsourcet CISO (CISO-as-a-Service) et godt alternativ.

En Chief Information Security Officer spiller naturligvis en central rolle i at sikre sikkerheden og integriteten af en organisations data. Men på grund af det store antal opgaver er det værd at nævne de vigtigste ansvarsområder.

CISO'er er:

•  Eksperter i risikostyring: Dette omfatter identifikation, vurdering og prioritering af cybersikkerhedsrisici og -svagheder. Det indebærer også udvikling af strategier for risikominimering og anbefaling af passende sikkerhedskontroller og foranstaltninger.
• Vogter af informationssikkerhedspolitikker og -procedurer: Dette indebærer udvikling, implementering og håndhævelse af politikker, -standarder og -procedurer i hele virksomhedsstrukturen. Når alt kommer til alt, skal alle større love, regler og industristandarder efterleves.
• Ansvarlig for ”Incident Response”: CISO'er udvikler og vedligeholder beredskabsplaner for, hvordan man skal agere og reagere for at inddæmme og minimere ricici i forbindelse med sikkerhedsbrud. De leder også beredskabsteamet, der undersøger årsagen til sikkerhedsbrud,og kommer med anbefalinger til forsvarforbedringer.
• Security Architects: Design, implementering og vedligeholdelse af en robust sikkerhedsarkitektur og -infrastruktur til beskyttelse af systemer, netværk og data i en virksomhed er også en del af CISO'ens opgavekatalog. Han eller hun evaluerer sikkerhedsteknologier og vælger værktøjer til at understøtte sikkerhedsmålene. I nogle tilfælde er det tilrådeligt at oprette et Information Security Management System ((link til ISMS)) i overensstemmelse med ISO-standard 27001.
• Sikkerhedsundervisere: CISO'er fremmer kendskab til sikkerhed og bedste praksis blandt medarbejdere, underleverandører og andre interessenter. Dette omfatter forløb og udvikling af cybersikkerhedstræning for at øge bevidstheden om sikkerhedsrisici.
• Auditører af overholdelse: De udvikler rammerne og kontroller inden for sikkerhedsstyring for at sikre effektiv overvågning. De foretager regelmæssige sikkerhedsvurderinger, revisioner og gennemgange for at sikre, at politikker og regulativer overholdes.
• Ansvarlig for risikostyring afr tredjepart: CISO'er vurderer sikkerhedsniveauet hos forhandlere, leverandører og tredjepartsudbydere for at sikre, at de opfylder organisationens sikkerhedsstandarder og -krav. De etablerer aftaler og kontroller for effektivt at monitorere tredjeparts sikkerhedsrisici.
• Ansvarlig for kommunikation: Rettidig og gennemsigtig kommunikation af sikkerhedshændelser, trusler og sårbarheder til den øverste ledelse, ledelsen og interessenter er også vigtig, ligesom regelmæssige rapportering om sikkerhedssituationen i organisationen.
• Drivkraft og igangsætter: CISO'er skal altid være opmærksomme på nye trusler, tendenser og teknologier inden for cybersikkerhed for at kunne tilpasse og forbedre sikkerhedsforanstaltningerne. De skal også drive innovative projekter for at fjerne frygten for fremtidige sikkerhedsudfordringer.

Det er indlysende, at enhver virksomhed gerne ville have en sådan sikkerhedsallrounder i sin organisation. Men da det ofte ikke er muligt af de nævnte grunde, er det værd at overveje en ekstern assistance: CISO-as-a-Service.

Fordelene ved ekstern CISO-support frem for en permanent Chief Information Security Officer er opsummeret i følgende "CISO-as-a-Service Top Six".

CISO-as-a-Service fordele:

•  Fleksibilitet: Eksterne CISO-tjenester er mere fleksible med hensyn til leverancens omfang og varighed. CISO-support kan skaleres efter behov, og yderligere ressourcer kan tilføjes eller reduceres. Det er især praktisk i tider med øgede sikkerhedskrav eller ved implementering af specifikke projekter.
• Ekspertise: Eksterne CISO-tjenester giver adgang til en pulje af erfarne eksperter. Virksomheder kan drage fordel af dybtgående erfaring og få adgang til specialiserede færdigheder, som en intern CISO ikke har.
• Kontinuitet: Eksterne CISO'er holder sig ajour med aktuelle trusler, tendenser og bedste praksis. De kan sikre, at sikkerhedspolitikker og -praksisser løbende forbedres og tilpasses det skiftende trusselsbillede, uden at det er nødvendigt at bruge interne ressourcer.
• Objektivitet: Eksterne medarbejdere giver ideelt set et objektivt og uafhængigt syn på en organisations sikkerhedspraksis. De er ikke involveret i den interne politiske dynamik og kan derfor træffe beslutninger baseret på bedste praksis og objektive analyser.
• Omkostningseffektivitet: Eksterne CISO-services kan være mere omkostningsflexible, da organisationer kun betaler for de tjenester, der efterspørges og rent faktisk leveres. En permanent CISOr får en fast løn, Pension og eventuelt bonusser, uanset deres præstatior.
• Optimering af ressourcer: CISO as a Service gør det muligt for virksomheder at frigøre interne ressourcer til andre strategiske, taktiske og operationelle opgaver.

CISO as a Service er en omkostningseffektiv, fleksibel og effektiv løsning for at opfylde voksende efterspørgsels og krav til informationssikkerhed. Det er især vigtigt, når der er mangel på ressourcer til en permanent CISO. CISO as a Service er velegnede til akutte behov eller midlertidig løsning – modsat onboarding af nye medarbejdere som tager længere tid end at hyre en ekstern ressource . Uanset om der er tale om SMV'er eller nystartede virksomheder, kan mindre og mellemstore virksomheder hvad enten om det er en veletableret eller er under etablering drage fordel af ekspertisen hos erfarne CISO-leverandører på en effektiv og pålidelig måde.

Hvis du gerne vil finde ud af, hvordan CISO-as-a-Service kan se ud i den daglige forretning, så læs vores "CISO-as-a-Service for Steeltec Group". ((Link til UseCase)) Den schweiziske stålproducent er afhængig af CISO-as-a-Service fra Swiss IT Security AG. Det omfatter f.eks. etablering af en roadmap, koordinering mellem forskellige afdelinger og design af en fjernadgangsløsning til enhederne i produktionsanlægget.