Co to jest vCISO i kiedy zewnętrzny szef bezpieczeństwa informacji ma sens dla średniej firmy

CISO to skrót angielskiej nazwy stanowiska: dyrektor ds. bezpieczeństwa informacji. Litera „v” oznacza wersję zewnętrzną, czyli „wirtualną” – ta sama rola, ale pełniona przez specjalistę spoza firmy, w ograniczonym wymiarze czasu. W praktyce to doradca, który zna przepisy i normy, a jednocześnie rozumie, jak działa firma.

vCISO nie konfiguruje serwerów i nie zakłada kont. To robi dział IT albo zewnętrzna firma informatyczna. vCISO mówi, co i dlaczego trzeba zabezpieczyć, a informatycy decydują, jak to zrobić.

Jego praca obejmuje zwykle cztery obszary, wymienione poniżej. Bez kogoś, kto prowadzi je wszystkie, bezpieczeństwo w średniej firmie najczęściej sprowadza się do reagowania na kolejne problemy.

Nie. Ustawa o krajowym systemie cyberbezpieczeństwa, znowelizowana w celu wdrożenia dyrektywy NIS2, nie wymaga stanowiska o nazwie CISO. Wymaga natomiast konkretnych działań, które ktoś w firmie musi zaplanować i nadzorować.

Ustawa dotyczy podmiotów kluczowych i ważnych, czyli głównie średnich i dużych firm z sektorów wymienionych w jej załącznikach. W uproszczeniu firma przestaje być mała, gdy zatrudnia co najmniej 50 osób albo gdy jej obrót i suma bilansowa przekraczają 10 mln euro. Termin samorejestracji w wykazie minął 3 października 2026 r., a pozostałe obowiązki trzeba wdrożyć do 3 kwietnia 2027 r.

Najważniejsze obowiązki, przy których vCISO zwykle pomaga, zebraliśmy poniżej. Ustawa pozwala powołać do tego własne struktury albo zawrzeć umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, czyli firmą zewnętrzną, która przejmuje te zadania. vCISO może być częścią takiej usługi albo osobą, która nadzoruje zewnętrznego dostawcę w imieniu zarządu.

Najprostszy test brzmi tak: kogo zarząd pyta, gdy chce wiedzieć, jak firma jest zabezpieczona? Jeśli odpowiedź brzmi „informatyka, który i tak nie ma czasu” albo „nikogo”, warto rozważyć vCISO.

Weźmy hipotetyczną firmę produkującą opakowania, zatrudniającą 140 osób. Duży klient z branży spożywczej przysyła ankietę bezpieczeństwa z 80 pytaniami, a kierownik IT odpowiada na nie po godzinach przez dwa tygodnie. Przy trzeciej takiej ankiecie w roku zewnętrzny specjalista może okazać się tańszy niż czas własnych ludzi i ryzyko utraty kontraktu. Typowe sytuacje, w których vCISO się sprawdza, wymieniamy poniżej.

Małej firmie bez szczególnych wymagań prawnych zwykle nie jest potrzebny vCISO. Więcej da dobry dostawca IT, który wdroży podstawy: kopie zapasowe sprawdzane odtworzeniem, logowanie dwuskładnikowe, aktualizacje i szkolenie pracowników z rozpoznawania oszustw.

Z drugiej strony duża firma w sektorze regulowanym, z własnym zespołem bezpieczeństwa i codziennymi decyzjami do podjęcia, zwykle potrzebuje osoby na etacie. Kilka dni w miesiącu nie wystarczy, gdy trzeba codziennie zarządzać ludźmi i uczestniczyć w każdym projekcie.

vCISO nie zastąpi też ludzi, którzy wykonują pracę techniczną. Jeśli w firmie nie ma nikogo, kto wdroży jego zalecenia, powstanie tylko dokumentacja. Wtedy oprócz vCISO potrzebny jest dostawca usług IT lub bezpieczeństwa, który zajmie się wykonaniem.

Firmy korzystają z vCISO w trzech podstawowych formach, porównanych w tabeli poniżej. Na początek często wybiera się projekt, np. ocenę stanu bezpieczeństwa, a po nim stałą współpracę.

Koszt zależy przede wszystkim od liczby dni pracy w miesiącu, zakresu dokumentacji do przygotowania, liczby lokalizacji i systemów oraz tego, czy vCISO ma być dostępny przy incydentach poza godzinami pracy. Znaczenie ma też punkt startowy: firma z aktualnymi procedurami potrzebuje mniej pracy niż firma, która zaczyna od zera.

Porównując vCISO z etatem, policz pełny koszt pracownika: wynagrodzenie, składki, rekrutację, szkolenia i czas, zanim pozna firmę. Uwzględnij też to, że jedna osoba na etacie rzadko zna się równie dobrze na przepisach, normach, technice i rozmowach z zarządem.

Dobrze zorganizowany start trwa kilka tygodni i kończy się planem, który zarząd rozumie i zatwierdza. Po tym czasie zarząd powinien umieć odpowiedzieć na trzy pytania: jakie są nasze największe ryzyka, co robimy w najbliższym kwartale i kto za to odpowiada.

Jeśli po miesiącu masz tylko stos dokumentów bez priorytetów, to sygnał ostrzegawczy. Typowa kolejność pracy, która prowadzi do dobrego planu, wygląda tak jak poniżej.

Rola vCISO wymaga zaufania, bo ta osoba pozna słabe punkty firmy. Dlatego wybór warto oprzeć na kilku konkretnych pytaniach, a nie na prezentacji handlowej.

Zwróć uwagę na konflikt interesów. Jeśli vCISO jednocześnie sprzedaje oprogramowanie lub usługi, jego zalecenia mogą być mniej obiektywne. Nie musi to dyskwalifikować, ale warto o tym wiedzieć i ustalić to w umowie.