Arbejdet, oversat
Arbejdet er mindre teknisk, end titlen antyder. Kernen er risikostyring. At finde ud af, hvad der kan ramme forretningen, hvor hårdt det rammer, og hvad det er værd at gøre ved. Intet budget fjerner al risiko, og en stor del af jobbet er at vælge, hvad man lever med.
Derfra følger strategi og politikker, ejerskab for compliance med NIS2, GDPR, DORA og ISO 27001, leverandørsikkerhed, beredskab ved hændelser og awareness i organisationen. Og rapportering til direktion og bestyrelse i et sprog, der handler om forretningsrisiko frem for portnumre.
En god CISO måles ikke på antallet af indkøbte sikkerhedsprodukter. Hun måles på, om organisationens vigtigste risici er kendte, prioriterede og håndterede.
Derfor er rollen pludselig aktuel for SMV’er
Lovgivningen. NIS2 gør cybersikkerhed til et eksplicit ledelsesansvar. Ledelsen skal godkende risikostyringen, føre tilsyn og kan holdes personligt ansvarlig. Det kræver, at nogen ejer området fagligt og kan klæde ledelsen på.
Markedet. Kunder, udbud og cyberforsikringer spørger i stigende grad, hvem der er ansvarlig for jeres informationssikkerhed. “Vores IT-mand, når han har tid” er ikke længere et svar, der kommer nogen vegne.
vCISO: kompetencen uden fuldtidsstillingen
En erfaren CISO koster let 1,2 til 1,8 mio. kr. om året, og de færreste SMV’er har arbejde til en fuldtidsrolle.
Alternativet er en vCISO, altså en ekstern specialist, der varetager rollen et fast antal timer om måneden. I får risikostyringen, ejerskabet for compliance og ledelsesrapporteringen skaleret til jeres størrelse. Modellen passer særligt til virksomheder på 20 til 200 ansatte, der rammes af NIS2 eller af kundekrav, men ikke kan bære en fuldtidsansættelse. Det første, en CISO beder om, er som regel en gap-analyse, så prioriteringen hviler på noget målt.