สิ่งที่ควรมองหาใน vCISO เพื่อใช้เป็น service

 

“ประมาณ 64% ของ CISO ทั่วโลกได้รับการว่าจ้างจากบริษัทอื่น” ตามรายงานการวิจัย MH Global CISO ปี 2021 สาเหตุเกิดจากการขาดแคลนผู้มีความสามารถ บทบาทยังใหม่สำหรับบางบริษัท และบริษัทต่างๆ ยังไม่ได้จัดทำแผนการสืบทอดตำแหน่งเพื่อสนับสนุนการเลื่อนตำแหน่งภายใน

 

เพื่อเอาชนะความท้าทายเหล่านี้ บริษัทต่างๆ สามารถมองหา Virtual Chief Information Security Officer (vCISO) หรือ vCISO เป็นผู้ให้บริการ บริษัทควรพิจารณาทั้งผู้สมัคร vCISO และความสามารถเพิ่มเติม “เป็นบริการ” ที่ผู้ให้บริการนำมาใช้เพื่อสนับสนุนโปรแกรมความปลอดภัย บทความนี้ครอบคลุมถึงสิ่งที่ควรพิจารณาเมื่อเลือก vCISO และ vCISO เป็นผู้ให้บริการ

 

---

สิ่งที่ต้องมองหา

ธุรกิจจะต้องการปรับข้อกำหนด CISO ของตนให้สอดคล้องกับชุดทักษะและภูมิหลังของ vCISO ตัวอย่างเช่น ธุรกิจอาจต้องการ vCISO ที่มีประสบการณ์ด้านสถาปัตยกรรมความปลอดภัย เมื่อพวกเขากำลังปรับใช้บริการไฟร์วอลล์ที่มีการจัดการ อีกทางหนึ่ง หากธุรกิจจำเป็นต้องสร้าง Security Operations Center (SOC) ก็อาจต้องการ vCISO ที่มีประสบการณ์การปรับใช้ SOC แม้ว่าประสบการณ์ในด้านที่มุ่งเน้นจะเป็นประโยชน์ แต่ vCISO จะมีทักษะพื้นฐานดังต่อไปนี้ ซึ่งสอดคล้องกับความต้องการด้านการรักษาความปลอดภัยทางธุรกิจและควรที่จะขยายออกไป

 

– ให้คำปรึกษาและนำเสนอในระดับผู้บริหาร

– สร้างและติดตามการลงทะเบียนความเสี่ยงด้วยช่องว่างความปลอดภัยทางไซเบอร์ที่ระบุ

– ความสามารถในการพัฒนา นำไปใช้ และจัดการแผนงานความปลอดภัยทางไซเบอร์

– ทำแบบฝึกหัดบนโต๊ะเพื่อระบุลำดับความสำคัญของหน่วยธุรกิจและสร้างแนวร่วม

– ตอบสนองต่อคำขอตรวจสอบวิเคราะห์สถานะบุคคลที่สาม

– สินทรัพย์ฮาร์ดแวร์และซอฟต์แวร์ตลอดจนการระบุข้อมูลและการวิเคราะห์ความเสี่ยง

– การรายงานตัวชี้วัดและตัวชี้วัดประสิทธิภาพหลัก (KPI)

– ส่งและรายงานการทดสอบช่องโหว่และการเจาะระบบ

– กำกับดูแลการรายงาน การดำเนินการ และการประชุมของคณะกรรมการ

– ทบทวนและอัปเดตแผนการตอบสนองต่อเหตุการณ์

– กิจกรรมการระบุ การบรรเทาผลกระทบ และการแก้ไขสำหรับเหตุการณ์ที่เกี่ยวข้องกับการรักษาความปลอดภัย

– การพัฒนานโยบายและขั้นตอน การปรับปรุง และการสร้าง

– การพัฒนางบประมาณและการวางแผน

– พัฒนาและดำเนินการฝึกอบรมความตระหนักด้านความปลอดภัย

 

---

สิ่งที่ควรมองหาใน vCISO ในฐานะผู้ให้บริการ

vCISO ในฐานะบริการจะขยาย vCISO จากผู้ร่วมให้ข้อมูลแต่ละรายไปสู่ทีมที่มีส่วนร่วมในการเป็นผู้นำโครงการหรือความคิดริเริ่ม ตัวอย่างเช่น แทนที่จะมี vCISO พร้อมประสบการณ์การสร้าง SOC ทั้งทีมจะถูกนำเข้ามาเพื่อสร้างโปรแกรมและสร้าง SOC การสร้างความสัมพันธ์กับผู้ให้บริการช่วยให้ธุรกิจเข้าถึงทรัพยากรต่างๆ ได้อย่างรวดเร็วเพื่อสนับสนุนการริเริ่มประเภทที่ใหญ่ขึ้นเหล่านี้ เมื่อความสัมพันธ์เติบโตขึ้น ธุรกิจก็สร้างความไว้วางใจและขยายไปสู่การเป็นหุ้นส่วนที่มีคุณค่า ด้านล่างนี้คือสิ่งที่ควรพิจารณาเมื่อค้นหาพันธมิตรที่เชื่อถือได้

 

– เข้าถึงทีมผู้เชี่ยวชาญสำหรับหัวข้อหรือข้อกังวลเฉพาะผ่านการทำงานร่วมกันและการแบ่งปันระหว่างคณะกรรมการ vCISO ภายในของผู้ให้บริการ

– จัดหากลุ่มผู้เชี่ยวชาญที่หลากหลายที่ช่วยให้ลูกค้าได้รับ vCISO ที่สามารถมีส่วนร่วมอย่างรวดเร็วภายในระยะเวลาและงบประมาณของลูกค้า

– ใช้ประโยชน์จากประสบการณ์อันหลากหลายที่ได้รับจากผู้ให้บริการเนื่องจากการมีส่วนร่วมในอุตสาหกรรมและขนาดธุรกิจต่างๆ ตั้งแต่ธุรกิจขนาดเล็กไปจนถึงองค์กรระดับโลก

– กรอบกลยุทธ์และทรัพยากรเพื่อสร้างโปรแกรมความปลอดภัยและช่วยสร้างแผนการสืบทอดตำแหน่ง

– ตอบสนองไทม์ไลน์และงบประมาณของลูกค้าผ่านระดับต่างๆ ของการรักษาลูกค้าและรูปแบบการมีส่วนร่วม

– กล่าวถึงหัวข้อและกลยุทธ์ด้านความปลอดภัยอย่างเป็นกลาง พร้อมให้คำแนะนำที่เป็นกลางสำหรับความท้าทายด้านความปลอดภัย

– พื้นที่ครอบคลุมเพื่อสนับสนุนรอยเท้าระดับภูมิภาค ระดับชาติ และระดับโลก

 

บทบาท vCISO เป็นรูปแบบที่ยืดหยุ่นเพื่อช่วยลูกค้าในการจัดการต้นทุน ปรับปรุงคุณภาพของสิ่งที่ส่งมอบ และลดเวลาที่ใช้ในการส่งมอบกิจกรรมด้านความปลอดภัย การมีส่วนร่วมอาจเป็นโครงการเฉพาะเพื่อให้ครอบคลุมในขณะที่มีการระบุ CISO ถาวรหรือรับบทบาทเต็มเวลา ประโยชน์เหล่านี้ช่วยกระชับความสัมพันธ์ระหว่างลูกค้าและผู้ให้บริการ ซึ่งจะสร้างพันธมิตรที่เชื่อถือได้ซึ่งจำเป็นสำหรับการรักษาความปลอดภัยที่แข็งแกร่งยิ่งขึ้น

 

What to look for in a vCISO as a service