vCISO czy CISO na etacie? Jak wybrać model nadzoru nad bezpieczeństwem informacji

CISO to skrót angielskiej nazwy stanowiska: dyrektor ds. bezpieczeństwa informacji. To osoba, która ustala zasady bezpieczeństwa, ocenia ryzyko, pilnuje zgodności z przepisami i raportuje zarządowi. vCISO („v” od angielskiego „virtual”, czyli wirtualny) pełni tę samą rolę z zewnątrz, w ustalonej liczbie dni w miesiącu.

Zakres obowiązków jest więc podobny, a różnice dotyczą dostępności, ciągłości i kosztu. Etatowy szef bezpieczeństwa jest na każdym spotkaniu projektowym i zna ludzi z imienia. Zewnętrzny pojawia się w ustalonych dniach, ale zwykle zna więcej firm, przepisów i typowych błędów.

W obu modelach pracę techniczną wykonuje ktoś inny: dział IT, dostawca usług IT albo zewnętrzne centrum monitorowania bezpieczeństwa. Szef bezpieczeństwa mówi, co i dlaczego trzeba zabezpieczyć, a nie konfiguruje serwerów.

Ustawa o krajowym systemie cyberbezpieczeństwa, znowelizowana w celu wdrożenia dyrektywy NIS2, nie wymaga stanowiska o nazwie CISO. Nie mówi też, czy osoba odpowiedzialna za bezpieczeństwo ma być na etacie. Pozwala realizować zadania przez własne struktury albo na podstawie umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14).

Wymaga natomiast konkretnych efektów. Firma, która jest podmiotem kluczowym lub ważnym, musi wdrożyć system zarządzania bezpieczeństwem informacji, czyli spisane i stosowane zasady, oceny ryzyka i zabezpieczenia. Musi też zgłaszać poważne incydenty: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i raport końcowy do miesiąca.

Częsty błąd w poradnikach to twierdzenie, że podmiot ważny ma „lżejsze obowiązki”, więc wystarczy mu mniej. Obowiązki w zakresie zarządzania ryzykiem są dla obu kategorii takie same. Podmiot kluczowy jest kontrolowany także zapobiegawczo, a ważny dopiero wtedy, gdy organ ma sygnały o problemach – i grożą mu niższe kary.

Najważniejsze dla wyboru modelu jest to, że odpowiedzialność zostaje przy kierowniku podmiotu, czyli zwykle przy zarządzie. vCISO ani etatowy szef bezpieczeństwa jej nie przejmują. Mogą za to sprawić, że zarząd wie, za co odpowiada, i ma na to dowody.

Tabela poniżej zestawia oba modele w sprawach, o które zwykle pyta zarząd. Nie ma w niej zwycięzcy – każdy wiersz może przeważyć w innej firmie.

vCISO sprawdza się, gdy praca nad bezpieczeństwem ma charakter programu: trzeba zbudować zasady, ocenić ryzyko, zaplanować zmiany i pilnować ich realizacji. Codziennych decyzji jest wtedy niewiele, a dużo zależy od doświadczenia. Typowe sytuacje opisujemy poniżej.

Weźmy hipotetyczną firmę logistyczną zatrudniającą 180 osób, która ustaliła, że jest podmiotem ważnym. Ma trzyosobowy dział IT, który dba o sprzęt i systemy. W pierwszym roku musi zbudować system zarządzania bezpieczeństwem informacji i przygotować się na zgłaszanie incydentów. Tę pracę może poprowadzić vCISO, a dział IT wdroży jego zalecenia.

Etat ma sens, gdy decyzji o bezpieczeństwie jest tyle, że kilka dni w miesiącu nie wystarcza. Dzieje się tak, gdy firma prowadzi wiele projektów informatycznych naraz, często zmienia dostawców albo sama dostarcza usługi, od których zależy bezpieczeństwo klientów.

Drugi powód to zespół. Jeśli w firmie pracuje kilku specjalistów od bezpieczeństwa, ktoś musi nimi kierować na co dzień: ustalać priorytety, oceniać ich pracę, rekrutować. Tego nie da się dobrze robić z zewnątrz kilka dni w miesiącu.

W wielu średnich firmach najlepiej działa połączenie obu podejść. vCISO odpowiada za zasady, ocenę ryzyka i raporty dla zarządu. W firmie jest osoba, która na co dzień pilnuje realizacji: kierownik IT, specjalista ds. bezpieczeństwa albo pełnomocnik ds. systemu zarządzania bezpieczeństwem.

Uzupełnieniem bywa zewnętrzne centrum monitorowania bezpieczeństwa (w skrócie SOC). Jego zespół całą dobę obserwuje alarmy z systemów firmy i reaguje na podejrzane zdarzenia. Ważne, żeby w umowach było jasno zapisane, kto zgłasza incydent do właściwego zespołu reagowania i w jakim czasie.

Model mieszany bywa też etapem przejściowym. vCISO buduje zasady, pomaga zrekrutować etatowego szefa bezpieczeństwa i przekazuje mu dokumentację. Dzięki temu nowa osoba nie zaczyna od zera.

Porównanie „stawka vCISO kontra pensja” prawie zawsze wprowadza w błąd, bo pomija część kosztów etatu. Policz pełny koszt obu modeli w skali roku według poniższych składników. Nie podajemy stawek rynkowych, bo nie znaleźliśmy wiarygodnego, aktualnego raportu płacowego dla tego stanowiska w Polsce.

Po stronie etatu policz wynagrodzenie brutto razy 12 i dodaj składki pracodawcy, zwykle około 20%. Do tego dochodzą premie, koszt rekrutacji, szkolenia i certyfikaty oraz narzędzia. Uwzględnij też kilka miesięcy, zanim nowa osoba pozna firmę, i koszt zastępstwa na czas urlopu.

Po stronie vCISO policz liczbę dni w miesiącu razy stawkę dzienną razy 12. Dodaj opłatę za dostępność przy incydentach poza godzinami pracy, jeśli jest osobna. Dolicz też czas osoby w firmie, która współpracuje z vCISO, bo bez niej zalecenia nie zostaną wdrożone.

Pamiętaj, że w pierwszym roku pracy jest zwykle więcej niż w kolejnych, bo trzeba zbudować zasady od podstaw. Porównuj więc koszty w dwóch lub trzech latach, a nie tylko w pierwszym.

Odpowiedz na poniższe pytania na jednym spotkaniu zarządu. Jeśli większość odpowiedzi wskazuje na codzienną pracę i własny zespół, rozważ etat. Jeśli na budowę zasad i nadzór – zacznij od vCISO.

Przy vCISO największym ryzykiem jest brak kogoś w firmie, kto wdraża ustalenia między spotkaniami. Wtedy powstaje dokumentacja, ale zmiany się nie dzieją. Drugie ryzyko to zależność od jednej osoby u dostawcy, dlatego w umowie zapisz zastępstwo i czas reakcji przy incydencie.

Przy etacie ryzykiem jest odejście jedynego specjalisty i luka, która po nim zostaje. Drugie ryzyko to izolacja: jedna osoba, bez kontaktu z innymi firmami, może przeoczyć nowe zagrożenia. Pomaga dokumentowanie pracy na bieżąco i okresowe przeglądy z udziałem kogoś z zewnątrz.

W obu modelach unikaj sytuacji, w której szef bezpieczeństwa kontroluje sam siebie. Jeśli ta sama osoba wdraża zabezpieczenia i ocenia, czy działają, zarząd nie dostanie obiektywnego obrazu.