Fib.Code
Model vCISO to odpowiedź na dwa równoczesne wyzwania: rosnące wymogi regulacyjne (NIS-2, KRI, DORA, ISO 27001) i globalny deficyt specjalistów cyberbezpieczeństwa. Zapewniamy ciągły nadzór nad bezpieczeństwem informacji w Twojej organizacji — z kompetencjami zespołu, nie pojedynczej osoby.
Średnie firmy (50–500 pracowników), które podlegają regulacjom, ale nie potrzebują etatowego CISO
Jednostki samorządu terytorialnego zobowiązane do spełnienia wymogów KRI i NIS-2
Spółki komunalne — wodociągi, ciepłownie, zakłady komunalne podlegające regulacjom
Organizacje w trakcie certyfikacji ISO 27001 potrzebujące doświadczonego koordynatora
Firmy po incydencie bezpieczeństwa, które potrzebują natychmiastowego wsparcia
Trzy warstwy kompetencji — strategia, operacje i komunikacja — realizowane przez wielodyscyplinarny zespół
Rozpoznanie — wstępny przegląd organizacji: struktura, systemy IT, dokumentacja, ryzyka. Efekt: raport z priorytetami na pierwsze 3 miesiące.
Ustalenie zasad współpracy — zakres odpowiedzialności, kanały komunikacji, częstotliwość raportowania, zasady eskalacji incydentów.
Quick wins — szybkie, widoczne działania: uporządkowanie dokumentacji, zamknięcie najbardziej oczywistych luk, uruchomienie monitoringu.
Budowa systemu — systematyczna praca nad SZBI: analiza ryzyka, polityki, procedury, szkolenia, audyt wewnętrzny.
Operacja ciągła — monitoring, przeglądy, reagowanie na incydenty, aktualizacja dokumentacji, raportowanie do zarządu.
Tak — pod warunkiem braku konfliktu interesów. W mniejszych organizacjach łączenie ról jest częste i uzasadnione ekonomicznie. W większych organizacjach rekomendujemy rozdzielenie funkcji.
Tak — żadna polska regulacja (KRI, UoKSC, RODO, ISO 27001) nie wymaga, aby osoba odpowiedzialna za bezpieczeństwo informacji była zatrudniona na etacie. Wymóg dotyczy funkcji, nie formy zatrudnienia.
Zależy od wielkości i dojrzałości organizacji. Typowo od kilku do kilkunastu godzin miesięcznie w fazie operacji ciągłej, więcej w fazie wdrożenia. Obecność fizyczna: 1–2 dni w miesiącu plus stała dostępność zdalna.
Faza rozpoznania trwa około tygodnia. Pierwsze quick wins są widoczne w ciągu 2–4 tygodni. Pełna operacyjność modelu — po 4–6 tygodniach.
Tak — ustalamy z góry kanały awaryjne i maksymalny czas reakcji. W przypadku incydentu bezpieczeństwa vCISO koordynuje reakcję, raportowanie i komunikację.