什么是CISO即服务(CISOaaS)？

CISO即服务（CISO as a service，简称CISOaaS）是将首席信息安全官（CISO）和信息安全领导职责外包给第三方提供商的服务模式。通过雇佣第三方提供商远程管理其安全计划，组织能够获得内部不具备的员工和资源，从而更好地满足信息安全和合规需求。

CISOaaS通常按订阅或按使用量付费，类似于许多"一切即服务"（XaaS）模式。与许多XaaS模式类似，CISOaaS产品可以完全远程提供，也可以是混合模式，即提供商的专家远程和现场与组织现有安全团队合作。

强有力的安全领导在现代组织中非常重要，因为数字化转型增加了组织整体的漏洞广度。全行业的网络安全技能短缺意味着既经济实惠又技术娴熟的安全领导者很难找到且容易流失。高压力水平也加剧了CISO的流动率，导致许多人在不同组织间跳槽。CISOaaS可以通过按需为组织提供经济高效的安全领导力，帮助缓解潜在的人员配置问题。

CISOaaS也被称为虚拟CISO（vCISO）。

CISO是负责制定和实施信息安全计划的高级管理人员。

使用CISO即服务的好处是什么？

使用虚拟CISO既有优点也有缺点。使用CISOaaS的潜在好处包括：

• 灵活性：CISOaaS平台通常很灵活，使组织能够根据其特定需求定制和扩展服务。
• 公正分析：作为外部第三方，CISOaaS平台使vCISO能够比内部员工更客观地评估组织现有的安全计划。
• 成本效益：按需付费定价让组织只需支付他们使用的时间和服务。CISOaaS平台通常比内部雇佣带薪CISO更便宜，并节省资本支出。
• 按需服务：使用服务提供商确保持续可用的安全资源。随着需求变化，组织可以相应调整其服务。
• 长期和短期利益：短期内，CISOaaS可以通过识别即时风险和引入或加强控制使组织更安全。长期来看，它可以通过培训和改进核心流程及基础设施，为未来的内部安全计划奠定基础。

CISOaaS模型为无法承担传统内部角色或存在人员配置问题的组织提供了灵活性和专业知识。

• 经验：CISOaaS为组织提供了一组经验丰富的网络安全专业人员，他们拥有与各种不同组织合作的广泛经验。

雇佣vCISO的一个缺点是，他们可能同时服务于其他组织。如果发生违规，这可能会导致忠诚度、及时响应和风险归属问题。对于需要没有其他外部承诺的员工的组织来说，内部CISO是更好的选择。

您需要CISO即服务吗？

任何没有内部CISO的组织都可以将CISOaaS视为可行选择。以下是CISOaaS可以使用的几种场景：

• 预算有限：没有资源雇佣全职CISO的初创公司可以利用CISOaaS的专业知识和成本效益。
• 临时职位空缺：寻找新的永久CISO的组织可以临时雇佣CISOaaS提供商来填补空缺。
• 合规截止日期：面临达到安全或合规目标压力的公司可以从CISOaaS的按需性质中受益。
• 安全计划：那些希望升级其网络安全计划的人可以寻求CISOaaS的第三方专业知识。
• 精简IT环境：使用精益IT原则的企业可以临时雇佣CISOaaS，而不是投资于全职职位。
• 长期安全实践：希望为新长期计划奠定基础但缺乏永久安全团队的组织可以从CISOaaS开始。

对CISO即服务的期望

CISOaaS提供商承担着与内部CISO大部分相同的职责。这些包括：

• 数据保护：CISOaaS保护数据的机密性、完整性和可用性。
• 网络安全：CISOaaS提供商制定与组织目标一致的长期网络安全战略。
• 治理、风险和合规：CISOaaS提供商制定治理、风险和合规计划，并确保持续遵守相关法律或行业法规。
• 风险评估和风险管理：CISOaaS提供商进行持续风险评估以发现潜在威胁和漏洞，并实施管理方法。
• 安全监督：CISOaaS提供商开发、监控和报告安全、业务和通信运营及实践。
• 人员管理和供应商关系：CISOaaS提供商跟踪供应商整合并管理其他第三方安全服务。
• 指标和报告：CISOaaS提供商定义关键绩效指标以衡量安全计划的有效性。

CISOaaS提供商同时为多个企业服务。因此，vCISO必须具备良好的人际交往能力，能够适应、理解并满足每个客户的独特需求。

CISO即服务与全职CISO

传统的CISO是负责制定和实施信息安全计划的高级管理人员。他们在公司内部全职工作，帮助指导组织的安全工作。该角色旨在为内部网络安全提供持续领导。

然而，通过CISOaaS产品提供的vCISO是一个外部实体。CISO即服务的理念是将该角色外包给合格的第三方。CISOaaS提供商不是以传统方式雇佣全职员工来担任该角色，而是通常以更灵活的方式工作。他们可能兼职工作，担任顾问，或以混合在线或面对面方式工作。他们提供与传统全职CISO相同水平的专业知识，但具有更大的灵活性。这对于不需要或负担不起全职传统员工来担任该角色的组织来说是理想选择。

有时vCISO被雇佣来实施安全问题的短期修复；其他时候，他们被雇佣用于长期项目，例如开发公司的整个安全计划。

CISO是IT安全领域收入最高的专业人士之一，使其成为一个有吸引力的角色。由于其支付模式，雇佣vCISO通常成本大幅降低。因此，托管服务提供商和托管安全服务提供商越来越多地使用vCISO来提供服务。

5家CISOaaS提供商

尽管有许多CISOaaS产品，但以下仅是一个示例：

• Bulletproof：这家总部位于英国的vCISO服务提供模块化订阅套餐选项，并强烈关注网络安全服务、认证与培训（CREST）最佳实践和实施。CREST是一个国际非营利性网络安全行业组织。
• FRSecure：FRSecure是一家网络安全咨询公司，提供专注于受严格监管行业漏洞管理的vCISO服务。
• Kroll：这家网络安全和风险管理公司以其事件响应和数字取证能力而闻名。该公司还提供vCISO服务，并以其技术娴熟的专家为荣。
• Integris：Integris是一家IT公司，也提供vCISO服务。这些vCISO拥有认证信息系统安全专业人员（俗称CISSP）认证，并专注于合规和治理支持。
• TechMagic：这家CISOaaS提供商提供ISO 27001认证的顾问。它还提供其他网络安全服务，如威胁情报和应用程序安全即服务。

CISOaaS产品通常是按需付费和按需模式。它们通常作为年度订阅使用保留金支付。vCISO在现场花费的时间是协商的，保留金基于每年设定的天数或小时数。这根据供应商的产品和客户组织的需求而有所不同。

CISO角色随着时间的推移而演变，既可以内部提供，也可以以服务模式外包。