Kompetencje CISO bez etatu.
Stała funkcja w organizacji, nie jednorazowy audyt: analiza ryzyka, polityki i procedury, zgodność z NIS2 i ustawą o KSC, nadzór nad SOC oraz reprezentacja wobec CSIRT i UODO. Rozliczana miesięcznym retainerem z ustaloną liczbą godzin.
NIS2 wymaga roli, której w firmie zwykle nie ma
Trzy sytuacje, w których brak funkcji bezpieczeństwa staje się problemem formalnym, nie technicznym.
Nie ma kto podpisać się pod ryzykiem
Dyrektywa wymaga zarządzania ryzykiem i odpowiedzialności Zarządu. Bez osoby, która to prowadzi, zostaje deklaracja w polityce.
Etat CISO się nie spina
Doświadczony dyrektor bezpieczeństwa to koszt etatu plus rekrutacja i czas wdrożenia w organizację. Dla średniej firmy — nieproporcjonalny.
Audyt pyta o dokumenty, których nie ma
Rejestr ryzyk, SZBI, plan ciągłości działania, analiza dostawców. Komplet powstaje miesiącami, nie w tydzień przed audytem.
Co robi vCISO
Odpowiedzialność za utrzymanie systemu bezpieczeństwa i za to, co zobaczy audytor.
Analiza ryzyka i rejestr ryzyk
Roczna z bieżącymi aktualizacjami w wariancie Standard, kwartalna w Premium.
Polityki i procedury (SZBI)
Dokumentacja Systemu Zarządzania Bezpieczeństwem Informacji: opracowanie, wdrożenie i utrzymanie.
Zgodność NIS2, uKSC i RODO
Mapowanie obowiązków na konkretne działania i pilnowanie terminów — w tym terminów zgłoszeń do organów.
Nadzór nad SOC
Kontrola jakości obsługi incydentów i skuteczności reguł detekcji, także wtedy gdy SOC dostarcza ktoś inny.
Reprezentacja wobec regulatora
Punkt kontaktowy NIS2, a w wariancie Premium reprezentacja wobec CSIRT i UODO.
Raportowanie zarządcze
Językiem Zarządu, nie inżyniera. Kwartalnie w Standard, co miesiąc w Premium wraz z udziałem w posiedzeniach.
Standard czy Premium — porównanie zakresu
Standard utrzymuje zgodność. Premium przejmuje zarządzanie bezpieczeństwem.
| Zakres / usługa | vCISO Standard | vCISO Premium |
|---|---|---|
| Pozycjonowanie | Utrzymanie zgodności | Pełne zarządzanie |
| Dla kogo | Podmioty Ważne wg NIS2 i uKSC | Podmioty Kluczowe wg NIS2 i uKSC |
| Analiza ryzyka i rejestr ryzyk | roczna z aktualizacjami | kwartalna |
| Polityki i procedury (SZBI) | ✔ | ✔ |
| Zgodność NIS2, uKSC i RODO | wsparcie | pełna |
| Audyty ISO 27001 | — | ✔ |
| Nadzór nad SOC i polityką bezpieczeństwa | ✔ | ✔ |
| Nadzór nad rozwiązaniami IT | — | ✔ |
| Analiza dostawców usług kluczowych | — | ✔ |
| Plan ciągłości działania (BCP/DRP) | — | ✔ |
| Ćwiczenia tabletop i reagowania (IR) | — | ✔ |
| Zarządzanie incydentami | wsparcie | pełne |
| Reprezentacja wobec CSIRT i UODO | — | ✔ |
| Punkt kontaktowy NIS2 | ✔ | ✔ |
| Roadmapa i budżet bezpieczeństwa | — | ✔ |
| Szkolenia Zarządu | raz w roku | oraz udział w posiedzeniach |
| Program awareness pracowników | — | ✔ |
| Przeglądy uprawnień i dostępów | — | ✔ |
| Raportowanie zarządcze | kwartalne | miesięczne |
| Godziny pracy w miesiącu | 15 h | 25 h |
vCISO Standard
- Pozycjonowanie
- Utrzymanie zgodności
- Dla kogo
- Podmioty Ważne wg NIS2 i uKSC
- Analiza ryzyka i rejestr ryzyk
- roczna z aktualizacjami
- Polityki i procedury (SZBI)
- ✔
- Zgodność NIS2, uKSC i RODO
- wsparcie
- Audyty ISO 27001
- —
- Nadzór nad SOC i polityką bezpieczeństwa
- ✔
- Nadzór nad rozwiązaniami IT
- —
- Analiza dostawców usług kluczowych
- —
- Plan ciągłości działania (BCP/DRP)
- —
- Ćwiczenia tabletop i reagowania (IR)
- —
- Zarządzanie incydentami
- wsparcie
- Reprezentacja wobec CSIRT i UODO
- —
- Punkt kontaktowy NIS2
- ✔
- Roadmapa i budżet bezpieczeństwa
- —
- Szkolenia Zarządu
- raz w roku
- Program awareness pracowników
- —
- Przeglądy uprawnień i dostępów
- —
- Raportowanie zarządcze
- kwartalne
- Godziny pracy w miesiącu
- 15 h
vCISO Premium
- Pozycjonowanie
- Pełne zarządzanie
- Dla kogo
- Podmioty Kluczowe wg NIS2 i uKSC
- Analiza ryzyka i rejestr ryzyk
- kwartalna
- Polityki i procedury (SZBI)
- ✔
- Zgodność NIS2, uKSC i RODO
- pełna
- Audyty ISO 27001
- ✔
- Nadzór nad SOC i polityką bezpieczeństwa
- ✔
- Nadzór nad rozwiązaniami IT
- ✔
- Analiza dostawców usług kluczowych
- ✔
- Plan ciągłości działania (BCP/DRP)
- ✔
- Ćwiczenia tabletop i reagowania (IR)
- ✔
- Zarządzanie incydentami
- pełne
- Reprezentacja wobec CSIRT i UODO
- ✔
- Punkt kontaktowy NIS2
- ✔
- Roadmapa i budżet bezpieczeństwa
- ✔
- Szkolenia Zarządu
- oraz udział w posiedzeniach
- Program awareness pracowników
- ✔
- Przeglądy uprawnień i dostępów
- ✔
- Raportowanie zarządcze
- miesięczne
- Godziny pracy w miesiącu
- 25 h
Retainer miesięczny z ustaloną liczbą godzin. Wysokość retainera ustalamy po Discovery Call, gdy wiemy, jakim podmiotem jesteście w rozumieniu NIS2 i jaki jest stan dokumentacji.
Co dostajecie na papierze
Dokumenty powstające w ramach usługi — to one są dowodem podczas audytu i kontroli.
Jak zaczynamy
Pierwszy przegląd ryzyk zwykle w ciągu miesiąca od podpisania umowy.
Discovery Call
Ustalamy, czy jesteście Podmiotem Ważnym czy Kluczowym wg NIS2 i co z tego wynika.
Przegląd dokumentacji
Co już macie, czego brakuje i co audytor zakwestionuje w pierwszej kolejności.
Wybór wariantu
Standard albo Premium, w zależności od statusu regulacyjnego i skali organizacji.
Praca w rytmie
Analiza ryzyka, dokumentacja, nadzór nad SOC i raport dla Zarządu w powtarzalnym cyklu.
Pytania, które słyszymy najczęściej
Najczęstsze pytania Zarządów i działów IT.
Zacznijmy od ustalenia, co Was faktycznie obowiązuje
Discovery Call: sprawdzamy status wg NIS2, przeglądamy dokumentację i mówimy, co audytor zakwestionuje w pierwszej kolejności. Bezpłatnie i bez zobowiązań.
4itnet.pl · NETBUILD.PL S.C., 38-303 Dominikowice, Dominikowice 44 · NIP 7382157134 · tel. +48 533 800 332 / +48 506 779 945