什么是CISO即服务？

CISO即服务是将首席信息安全官和信息安全领导职责外包给第三方供应商的服务模式。通过远程聘请第三方供应商管理安全计划，组织可以获得内部缺乏的员工和资源，从而更好地满足信息安全和合规需求。

CISO即服务通常采用订阅或按使用量付费的模式，类似于其他一切即服务模式。与许多XaaS模式一样，CISO即服务可以完全远程提供，也可以是混合模式，供应商的专家既远程又与组织现有安全团队现场合作。

采用CISO即服务的优势

使用虚拟CISO既有优点也有缺点。CISO即服务的潜在优势包括：

灵活性：CISO即服务平台通常很灵活，使组织能够根据特定需求定制和扩展服务。

公正分析：作为外部第三方，CISO即服务平台使虚拟CISO能够比内部员工更客观地评估组织现有安全计划。

成本效益：按需付费定价让组织只需支付实际使用的时间和服务。CISO即服务平台通常比内部雇佣带薪CISO更便宜，并节省资本支出。

按需服务：使用服务提供商确保持续可用的安全资源。随着需求变化，组织可以相应调整服务。

长期和短期收益：短期内，CISO即服务可通过识别即时风险和引入或加强控制来提高组织安全性。长期来看，它可以通过培训和改进核心流程及基础设施，为未来内部安全计划奠定基础。

经验：CISO即服务为组织提供了一支经验丰富的网络安全专业团队，这些专家拥有与各种不同组织合作的广泛经验。

雇佣虚拟CISO的一个缺点是，他们可能同时为其他组织服务。如果发生违规，这可能导致忠诚度、及时响应和风险承担方面的问题。对于需要没有其他外部承诺的员工的组织来说，内部CISO是更好的选择。

何时需要CISO即服务？

任何没有内部CISO的组织都可以考虑将CISO即服务作为可行选择。以下是CISO即服务可用的几种情况：

• 预算有限：没有资源雇佣全职CISO的初创公司可以利用CISO即服务的专业知识和成本效益。
• 临时职位空缺：寻找新永久CISO的组织可以临时雇佣CISO即服务提供商来填补空缺。
• 合规期限：面临满足安全或合规目标压力的公司可以从CISO即服务的按需性质中受益。
• 安全计划：希望升级网络安全计划的组织可以寻求CISO即服务的第三方专业知识。
• 精简IT环境：使用精益IT原则的企业可以临时雇佣CISO即服务，而不是投资全职职位。
• 长期安全实践：希望为新长期计划奠定基础但缺乏永久安全团队的组织可以从CISO即服务开始。

CISO即服务的职责范围

CISO即服务提供商承担与内部CISO大部分相同的职责，包括：

• 数据保护：保护数据的机密性、完整性和可用性。
• 网络安全：制定与组织目标一致的长期网络安全战略。
• 治理、风险和合规：制定治理、风险和合规计划，确保持续遵守相关法律或行业法规。
• 风险评估和风险管理：进行持续风险评估以发现潜在威胁和漏洞，并实施管理方法。
• 安全监督：开发、监控和报告安全、业务和通信运营及实践。
• 人员管理和供应商关系：跟踪供应商集成并管理其他第三方安全服务。
• 指标和报告：定义关键绩效指标以衡量安全计划有效性。

CISO即服务提供商同时为多个企业服务。因此，虚拟CISO必须具备良好的人际交往能力，能够适应、理解并满足每个客户的独特需求。

CISO即服务与全职CISO对比

传统CISO是负责制定和实施信息安全计划的高级管理人员。他们在公司内部全职工作，帮助指导组织的安全工作。该角色旨在为内部网络安全提供持续领导。

而通过CISO即服务提供的虚拟CISO是外部实体。CISO即服务的理念是将该角色外包给合格的第三方。CISO即服务提供商通常以更灵活的方式工作，而不是以传统方式雇佣全职员工来担任该角色。他们可能兼职工作、担任顾问或以混合在线或面对面方式工作。他们提供与传统全职CISO相同水平的专业知识，但更加灵活。这对于不需要或负担不起全职传统员工来担任该角色的组织来说是理想选择。

五家CISO即服务提供商示例

尽管有许多CISO即服务产品，以下仅为部分示例：

Bulletproof：这家总部位于英国的虚拟CISO服务提供模块化订阅包选项，并强烈关注CREST最佳实践和实施。

FRSecure：FRSecure是一家网络安全咨询公司，提供专注于受严格监管行业漏洞管理的虚拟CISO服务。

Kroll：这家网络安全和风险管理公司以其事件响应和数字取证能力而闻名。该公司还提供虚拟CISO服务，并以其熟练专家为荣。

Integris：Integris是一家IT公司，也提供虚拟CISO服务。这些虚拟CISO拥有CISSP认证，并专注于合规和治理支持。

TechMagic：这家CISO即服务提供商提供ISO 27001认证的顾问。它还提供其他网络安全服务，如威胁情报和应用程序安全即服务。

CISO即服务产品通常是按需付费和按需模式。它们通常作为年度订阅使用保留金支付。虚拟CISO在现场花费的时间是协商确定的，保留金基于每年设定的天数或小时数。这根据供应商的产品和客户组织的需求而有所不同。