Rzeczywistość polskiego i globalnego rynku IT bywa bezlitosna. Z jednej strony rośnie presja regulacyjna i brutalność gangów ransomware, z drugiej – znalezienie kompetentnego lidera do spraw cyberbezpieczeństwa graniczy z cudem, a jego oczekiwania finansowe potrafią zrujnować niejeden budżet. Stanowisko Chief Information Security Officer (CISO) od dawna nie jest już funkcją czysto techniczną. To rola zarządcza, wymagająca łączenia wiedzy o sieciach z umiejętnością czytania bilansów, analizy ryzyka prawnego i zarządzania ludźmi. Zależnie od skali prowadzonych operacji, organizacje stają przed trudnym dylematem: zatrudnić takiego eksperta na wyłączność, czy może skorzystać z rosnącej popularności modelu usługowego i wynająć wirtualnego dyrektora, czyli vCISO. Odpowiedź, jak to zwykle w branży technologicznej bywa, brzmi: to zależy.
Dla największych graczy na rynku posiadanie wewnętrznego, dedykowanego dyrektora do spraw bezpieczeństwa nie jest już kwestią wyboru, lecz twardym wymogiem. Banki, operatorzy telekomunikacyjni, zakłady energetyczne czy potężne grupy kapitałowe to organizacje, w których incydent naruszenia danych może zachwiać gospodarką lub wywołać wielomilionowe kary z tytułu RODO, lub nadchodzącej dyrektywy NIS2. W takich strukturach CISO musi być fizycznie i mentalnie zrośnięty z krwioobiegiem firmy. Pełnoetatowy ekspert zarządza budżetami liczonymi w milionach, nadzoruje wewnętrzne centra operacji bezpieczeństwa (SOC), układa relacje z dostawcami i odpowiada bezpośrednio przed zarządem za ciągłość działania. Outsourcowanie tak newralgicznej funkcji na zewnątrz w modelu abonamentowym byłoby w tym wypadku proszeniem się o kłopoty, a często jest wprost zabronione przez wytyczne branżowych regulatorów, którzy wymagają utrzymania kompetencji wewnątrz organizacji.
Nie oznacza to jednak, że rynkowi giganci mają całkowity zakaz zbliżania się do usług vCISO. W świecie korporacji wirtualny dyrektor pełni po prostu zupełnie inną funkcję. Bywa ratunkiem w sytuacjach kryzysowych, na przykład w okresie tak zwanego „interim managementu”. Gdy dotychczasowy CISO nagle odchodzi, a rekrutacja następcy o odpowiednich kwalifikacjach przeciąga się miesiącami, wynajęty konsultant przejmuje stery, aby utrzymać funkcjonowanie procesów i nie dopuścić do paraliżu decyzyjnego. Giganci korzystają z vCISO również przy projektach o gigantycznej złożoności i bardzo wąskiej specjalizacji. Wewnętrzny lider może świetnie radzić sobie z zarządzaniem ryzykiem, ale w obliczu gigantycznej fuzji, przejęcia innej spółki czy migracji krytycznych systemów do chmury publicznej, obiektywne spojrzenie z zewnątrz, weryfikacja architektury czy niezależny audyt wykonany przez wynajętego eksperta klasy C-level staje się nieocenioną wartością.
Zejdźmy jednak poziom niżej, do sektora małych i średnich przedsiębiorstw, bo to właśnie tutaj model wirtualnego CISO pokazuje pełnię swoich możliwości. Wyobraźmy sobie prężnie działającą firmę produkcyjną, dużą sieć klinik medycznych albo zaawansowany software house. Organizacje te dysponują cenną własnością intelektualną, zatrudniają od kilkudziesięciu do kilkuset pracowników i stanowią łakomy kąsek dla cyberprzestępców. Jednocześnie nie potrzebują stratega ds. bezpieczeństwa na pełne czterdzieści godzin w tygodniu. Zewnętrzny, wynajęty na ułamek etatu dyrektor staje się tutaj opcją idealną. Taki ekspert, pracując na przykład dwadzieścia godzin w miesiącu, ustala polityki, weryfikuje umowy z dostawcami IT, przygotowuje plany przywracania systemów po awarii i buduje świadomość zarządu. Nie konfiguruje on zapór sieciowych osobiście, lecz nadzoruje pracę wewnętrznych informatyków lub zewnętrznego dostawcy usług IT, pilnując, aby ich działania wpisywały się w przyjętą strategię ochrony biznesu. Firma zyskuje wiedzę z najwyższej półki za ułamek ceny, optymalizując koszty bez poświęcania jakości.
Na zupełnie przeciwnym biegunie znajdują się natomiast mikrofirmy. Warto pochylić się nad podmiotami, które zatrudniają zaledwie kilka osób – niech to będzie trzyosobowa agencja PR, butikowa kancelaria lub lokalne biuro rachunkowe. Architektura takich środowisk jest z reguły nieskomplikowana i opiera się na popularnych aplikacjach chmurowych. Pakowanie budżetu w konsultacje z wirtualnym dyrektorem bezpieczeństwa to w ich przypadku klasyczny przerost formy nad treścią. Mikrobiznes nie potrzebuje skomplikowanych strategii zarządzania ryzykiem cyfrowym czy zaawansowanego modelowania zagrożeń. Wymaga wyłącznie żelaznej dyscypliny w stosowaniu podstawowej higieny cyfrowej. Zamiast płacić za doradztwo dyrektorskie, właściciel takiej firmy powinien upewnić się, że jego wsparcie informatyczne prawidłowo wdrożyło wieloskładnikowe uwierzytelnianie, uruchomiło szyfrowanie dysków w laptopach, ustawiło poprawne zasady tworzenia kopii zapasowych oraz wymusiło korzystanie z menedżerów haseł. Tyle i aż tyle wystarczy, aby powstrzymać zdecydowaną większość masowych i zautomatyzowanych ataków na najmniejsze biznesy.
Poniżej znajduje się zestawienie, które pokazuje, jak powinna wyglądać odpowiedzialność za cyberbezpieczeństwo w zależności od parametrów biznesowych.
| Wielkość przedsiębiorstwa | Liczba pracowników | Szacunkowe obroty roczne | Rekomendowana rola | Charakterystyka i zakres odpowiedzialności |
| Mikroprzedsiębiorstwa | 1 – 9 | do 2 mln EUR | Brak (Zewnętrzne wsparcie IT) | Wynajmowanie dyrektora jest bezcelowe. Zaangażowanie dostawcy usług IT (MSP) do konfiguracji podstawowych zabezpieczeń w chmurze (MFA, backup, weryfikacja tożsamości). |
| Małe firmy | 10 – 49 | do 10 mln EUR | Doraźne konsultacje / vCISO projektowy | Bieżącą obsługę zapewnia dział IT, jednak vCISO może zostać wynajęty na krótki projekt (np. audyt RODO, zaplanowanie bezpiecznej pracy zdalnej, weryfikacja odporności na ransomware). |
| Średnie przedsiębiorstwa | 50 – 249 | 10 – 50 mln EUR | vCISO (usługa abonamentowa) | Sweet spot dla tego modelu. Stała, miesięczna współpraca w określonym wymiarze godzin. Nadzór nad administratorami, realizacja wymogów dyrektywy NIS2, regularne raportowanie ryzyka do zarządu. |
| Duże firmy i korporacje | powyżej 250 | powyżej 50 mln EUR | CISO (pełen etat in-house) | Konieczność posiadania dedykowanego dyrektora wewnątrz struktury ze względu na skalę operacji i compliance. Wirtualny dyrektor zatrudniany jest tu wyłącznie jako zastępstwo (interim) lub bardzo wąski doradca przy specyficznych transformacjach technologicznych. |
Rozsądne zaplanowanie struktury bezpieczeństwa to decyzja, która rzutuje na lata funkcjonowania firmy. Próba zaoszczędzenia na pełnoetatowym dyrektorze w korporacji kończy się zwykle chaosem, podobnie jak przepalanie budżetu małej firmy na zbyt rozbudowane usługi doradcze. Sukces leży w chłodnej ocenie własnego środowiska i doborze narzędzi adekwatnych do skali prowadzonego biznesu.