什么是CISO即服务（CISOaaS）？

CISO即服务（CISOaaS）是将首席信息安全官（CISO）和信息安全领导职责外包给第三方提供商的服务。通过雇佣第三方提供商远程管理其安全计划，组织可以获得内部缺乏的员工和资源，从而更好地满足信息安全和合规需求。

CISOaaS通常按订阅或按使用付费，类似于许多“即服务”（XaaS）模式。与许多XaaS模式一样，CISOaaS产品可以完全远程或混合模式提供，其中提供商的专家与组织现有的安全团队远程和现场合作。

强大的安全领导在现代组织中至关重要，因为数字化转型增加了组织整体的漏洞广度。行业范围内的网络安全技能短缺意味着负担得起、熟练的安全领导者很难找到且容易流失。高压力水平也加剧了CISO的流动，导致许多人从一个组织跳到另一个组织。CISOaaS可以通过按需提供成本效益高的安全领导力来帮助缓解潜在的人员配置问题。

CISOaaS也被称为虚拟CISO（vCISO）。

CISO是负责制定和实施信息安全计划的高级管理人员。

使用CISO即服务的好处是什么？

使用虚拟CISO既有优点也有缺点。使用CISOaaS的潜在好处包括：

灵活性：CISOaaS平台通常灵活，使组织能够根据其特定需求定制和扩展服务。
无偏见分析：作为外部第三方，CISOaaS平台可以使vCISO比内部员工更客观地评估组织现有的安全计划。
成本效益：按使用付费定价让组织只支付他们使用的时间和服务。CISOaaS平台通常比内部雇佣带薪CISO更便宜，并节省资本支出。
按需服务：使用服务提供商确保持续可用的安全资源。随着需求变化，组织可以相应调整其服务。
长期和短期好处：在短期内，CISOaaS可以通过识别即时风险并引入或加强控制来使组织更安全。长期来看，它可以通过培训和改进核心流程和基础设施，为未来的内部安全计划奠定基础。

CISOaaS模型为无法负担传统内部角色或有人员配置问题的组织提供灵活性和专业知识。

经验：CISOaaS为组织提供访问经验丰富的网络安全专业人员团队，这些人员在与各种不同组织合作方面拥有广泛经验。

雇佣vCISO的一个缺点是，他们可能同时服务于其他组织。这可能导致忠诚度、及时响应和风险所有权方面的问题（如果发生违规）。对于需要没有其他外部承诺的员工的组织来说，内部CISO是更好的选择。

您需要CISO即服务吗？

任何没有内部CISO的组织都可以考虑CISOaaS作为一个可行的选择。以下是CISOaaS可以使用的几种场景：

有限预算：没有资源雇佣全职CISO的初创公司可以利用CISOaaS的专业知识和成本效益。
临时角色空缺：寻找新的永久CISO的组织可以临时雇佣CISOaaS提供商来填补空缺。
合规截止日期：面临满足安全或合规目标压力的公司可以从CISOaaS的按需性质中受益。
安全计划：那些希望升级其网络安全计划的人可以寻求CISOaaS的第三方专业知识。
精益IT环境：使用精益IT原则的企业可以临时雇佣CISOaaS，而不是投资于全职职位。
长期安全实践：希望为新长期计划奠定基础但缺乏永久安全团队的组织可以从CISOaaS开始。

从CISO即服务中期待什么

CISOaaS提供商具有与内部CISO大部分相同的职责。这些包括：

数据保护：CISOaaS保护数据的机密性、完整性和可用性。
网络安全：CISOaaS提供商制定与组织目标一致的长期网络安全战略。
治理、风险和合规：CISOaaS提供商制定治理、风险和合规计划，并确保持续遵守相关法律或行业法规。
风险评估和风险管理：CISOaaS提供商进行持续风险评估以发现潜在威胁和漏洞，并实施管理方法。
安全监督：CISOaaS提供商开发、监控和报告安全、业务和通信操作及实践。
人员管理和供应商关系：CISOaaS提供商跟踪供应商集成并管理其他第三方安全服务。
指标和报告：CISOaaS提供商定义关键绩效指标以衡量安全计划的有效性。

CISOaaS提供商同时服务于多个企业。因此，vCISO必须具备良好的人际交往能力，能够适应、理解并满足每个客户的独特需求。

CISO即服务与全职CISO

传统的CISO是负责制定和实施信息安全计划的高级管理人员。他们在公司全职工作，帮助指导组织的安全努力。这个角色旨在为内部网络安全提供持续领导。

然而，通过CISOaaS产品提供的vCISO是一个外部实体。CISO即服务的理念是将该角色外包给合格的第三方。CISOaaS提供商通常以更灵活的方式工作，而不是以传统方式雇佣全职员工来填补该角色。他们可能兼职工作，担任顾问，或以混合在线或现场方式工作。他们提供与传统全职CISO相同水平的专业知识，但具有更大的灵活性。这对于不需要或无法负担全职传统员工来填补该角色的组织来说是理想的。

有时vCISO被雇佣来实施安全问题的短期修复；其他时候，他们被雇佣用于长期项目，例如开发公司的整个安全计划。

CISO是IT安全中薪酬最高的专业人士之一，使其成为一个有吸引力的角色。由于其支付模式，雇佣vCISO通常大大更便宜。因此，vCISO越来越多地被托管服务提供商和托管安全服务提供商用来提供服务。

5个CISOaaS提供商

尽管有许多CISOaaS产品，但以下只是一个示例：

Bulletproof：这家英国vCISO服务提供模块化订阅包选项，并强烈关注网络安全服务、认证和培训（CREST）最佳实践和实施。CREST是一个国际非营利网络安全行业组织。
FRSecure：FRSecure是一家网络安全咨询公司，提供专注于受监管行业漏洞管理的vCISO服务。
Kroll：这家网络安全和风险管理公司以其事件响应和数字取证能力而闻名。该公司还提供vCISO服务，并以其熟练的专家为荣。
Integris：Integris是一家IT公司，也提供vCISO服务。这些vCISO拥有认证信息系统安全专业人员（通常称为CISSP）认证，并专注于合规和治理支持。
TechMagic：这家CISOaaS提供商提供ISO 27001认证的顾问。它还提供其他网络安全服务，例如威胁情报和应用程序安全即服务。

CISOaaS产品通常是按使用付费和按需模式。它们通常作为年度订阅使用保留金支付。vCISO在现场花费的时间是协商的，保留金基于每年设定的天数或小时数。这根据供应商的产品和客户组织的需求而变化。

CISO角色随着时间的推移而演变，并以内部或外包的即服务模式提供。了解更多关于首席信息安全官角色如何演变的信息。