CISO as a Service: wanneer heeft u een externe CISO nodig?

Cybersecurity is allang geen aangelegenheid meer van uitsluitend de IT-afdeling. De Cyberbeveiligingswet legt verantwoordelijkheid bij het bestuur, toezichthouders verwachten aantoonbaar beleid en afnemers vragen in toenemende mate om certificering. Tegelijkertijd heeft niet iedere organisatie behoefte aan, of budget voor, een voltijds Chief Information Security Officer. Voor die situatie bestaat CISO as a Service.

Wanneer heeft u een externe CISO nodig?

De constructie is in de volgende situaties het meest zinvol:

• Uw organisatie valt onder de Cyberbeveiligingswet en moet aantoonbaar beleid voeren en incidenten binnen de wettelijke termijnen melden
• U werkt toe naar certificering volgens ISO 27001 of IEC 62443 en heeft iemand nodig die dat traject stuurt
• Er is geen interne expertise en de IT-manager doet de beveiligingstaken erbij, naast een volle agenda
• Er is een incident geweest en u wilt structureel verbeteren in plaats van symptomen bestrijden
• Afnemers of toezichthouders vragen erom, doordat de eisen aan de keten strenger worden

Wat doet een externe CISO concreet?

• het opstellen en onderhouden van het informatiebeveiligingsbeleid
• risicoanalyse en het aanbrengen van volgorde in maatregelen
• het aansturen van trajecten zoals certificering, pentests en bewustwording
• rapportage aan directie en bestuur over de stand van de beveiliging
• advisering bij incidenten en tijdens crisissituaties
• het begeleiden van audits en bezoeken van toezichthouders
• het beoordelen van leveranciers en de risico's die zij meebrengen

CISOaaS vs. vaste CISO: de vergelijking

Een vaste CISO is een voltijds aanstelling op directieniveau, met het salaris en de secundaire voorwaarden die daarbij horen. Een externe CISO werkt op basis van een vooraf afgesproken aantal dagen per maand, waardoor de uitgave meebeweegt met de vraag die de rol werkelijk oplegt. Voor een organisatie die de rol niet vijf dagen per week kan vullen, is dat het onderscheid dat de afweging bepaalt. Wat de twee opties in uw geval kosten, hangt af van het aantal dagen dat u nodig heeft; vraag daarom naar een tarief per dag en naar het minimum aantal dagen dat een aanbieder hanteert.

Daarnaast brengt iemand van buiten ervaring mee uit meerdere organisaties en sectoren. Die vergelijkingsbasis is in de praktijk vaak waardevoller dan de extra beschikbare uren: het voorkomt dat een organisatie haar eigen werkwijze als norm gaat beschouwen.

Waar moet u op letten bij het kiezen van een CISOaaS?

1. Relevante certificeringen, zoals CISA, CISSP of ISO 27001 Lead Auditor
2. Ervaring in uw sector. Voor industriële omgevingen is kennis van OT geen pluspunt maar een voorwaarde
3. Onafhankelijkheid. Kies een partij die niet tegelijkertijd de producten verkoopt waarover zij u adviseert
4. Heldere afspraken over het aantal dagen per maand, de beschikbaarheid bij incidenten en de frequentie van rapportage