Einen Virtual CISO zur Unterstützung Ihres Security-Teams engagieren

Angesichts der zunehmenden Cyberangriffe erkennen immer mehr Organisationen, wie wichtig wirksame Sicherheitsmaßnahmen sind. Ein Virtual Chief Information Security Officer (vCISO) kann in der Organisation entscheidende Fortschritte in diese Richtung ermöglichen.

Was ist ein Virtual CISO?

Ein Virtual CISO ist eine Security-Fachkraft oder ein Dienstleister, die bzw. der Teilzeit oder remote arbeitet und einer Organisation vorübergehend oder dauerhaft Zeit und Fachwissen zur Verfügung stellt.

Ein Virtual CISO kann für Unternehmen eine gute Lösung sein, die Sicherheitskontrollen einführen möchten, aber keinen Full-Time-CISO einstellen können. Wenn Sie ein kleines oder mittelständisches Unternehmen führen und alle erforderlichen Sicherheitskontrollen einführen möchten, kann die Einstellung eines Virtual CISO ein guter Anfang sein. Da Unternehmen in verschiedenen Bereichen zunehmend mehr Beratungspositionen besetzen, werden Teilzeitstellen als Virtual CISO immer häufiger.

Virtual CISOs können über ein Unternehmen vermittelt werden, das ihre Leistungen anbietet – ähnlich einer Personalvermittlung. Oder sie übernehmen Aufträge als Freelancer. In beiden Fällen können Organisationen einen Virtual CISO engagieren, ohne eine Vollzeitkraft vor Ort einzustellen, und dennoch von deren Security-Expertise profitieren.

CISOs sind sehr schwer zu finden. Das wird zunehmend zur Herausforderung, da immer mehr Unternehmen den Wert eines fest angestellten CISO erkennen – insbesondere angesichts der Fälle, in denen CISOs dazu beitragen können, die Kosten einer Datenschutzverletzung zu senken.

vCISO oder CISO: Was eignet sich für Ihr Unternehmen?

Unternehmen möchten in rasantem Tempo wachsen und müssen gleichzeitig Sicherheitsstandards berücksichtigen und einhalten. Ein vCISO kann ihnen dabei helfen, beides zu erreichen. Unternehmen, die eine zweite Meinung zu ihrer Security-Posture wünschen, können sich dafür an einen vCISO wenden.

In vielen Fällen eignet sich ein Virtual CISO hervorragend für Organisationen, deren Schwerpunkt nicht auf Technologie liegt. Ein Full-Time-CISO hat in solchen Unternehmen möglicherweise nur begrenzte Karrierechancen und sucht mit der Zeit vielleicht nach anderen Möglichkeiten. Dadurch könnte der Organisation qualifizierte Security-Expertise fehlen. Hier kann der Zugang zu einem Virtual CISO äußerst wertvoll sein. Auch in großen Organisationen mit fest angestelltem Full-Time-CISO kann zusätzliche Unterstützung durch einen Virtual CISO hilfreich sein – etwa wenn der Security-Verantwortliche mit Arbeit überlastet ist.

Anwendungsfälle für vCISOs

Ein Virtual CISO kann als Compliance-Beauftragter, Risikobewertungsbeauftragter oder Application-Security-Spezialist tätig sein. Oft ist der CISO mit Führungskräften oder Kunden beschäftigt und braucht Unterstützung bei einigen seiner Spezialaufgaben. Hier kommt ein vCISO ins Spiel.

vCISOs stehen bei Bedarf zur Verfügung und benötigen in der Regel weder eine Einarbeitung noch einen 30-/60-/90-Tage-Plan. Sie legen direkt am ersten Tag los. Ein Full-Time-CISO braucht dagegen Zeit, um in einer neuen Organisation die volle Leistung zu erreichen. Die Kompetenzen verschiedener vCISOs unterscheiden sich zwar, doch viele können ein breites Aufgabenspektrum abdecken – von taktischen bis hin zu strategischen Aufgaben. Sie können bei der Entwicklung von Sicherheitsrichtlinien, Leitlinien und Standards mitwirken. Manche unterstützen außerdem bei der Personalbeschaffung, der Entwicklung von Sicherheitsstrategien, der Auswahl von Lösungen, der Reaktion auf Vorfälle und den Vorbereitungen auf die Zertifizierungen nach ISO 27001 und 9001.

Dauer der vCISO-Tätigkeit

Die Tätigkeit als Virtual CISO kann je nach Bedarf einer Organisation kurz- oder langfristig angelegt sein. Sobald die grundlegenden Arbeiten an der Sicherheitsarchitektur oder am Compliance-Programm abgeschlossen sind, sind innerhalb der gesamten Sicherheitsarchitektur nur noch schrittweise Änderungen erforderlich. Sobald sich die Prozesse stabilisiert haben, ist die Arbeit des Virtual CISO beendet. Dann kann er sich einer neuen Aufgabe in einer anderen Organisation widmen – manche Unternehmen möchten jedoch auch für künftige Arbeiten mit ihrem vCISO in Kontakt bleiben.

Virtual CISO Rohit Srivastwa: „Viele Unternehmen sind wieder auf uns zugekommen und haben gefragt, ob wir ein Retainer-Modell einrichten können, damit wir bei Bedarf Security-Expertise bereitstellen. Aber ja, der Zeitraum ist begrenzt.“

Diese Rolle lässt sich je nach Anforderungen einer Organisation unterschiedlich gestalten. Stellen Sie sich ein Service-Buffet einer vCISO-Agentur vor: Unternehmen wählen die Leistungen aus, die sie benötigen.

Einfluss auf die Geschäftsleitung: CISO vs. vCISO

Als fest angestellte Mitarbeitende müssen Full-Time-CISOs den Vorstand davon überzeugen, ihre Empfehlungen zu Sicherheitsmaßnahmen umzusetzen. Virtual CISOs hingegen werden von der Geschäftsleitung ausgewählt und beauftragt. Ihre Empfehlungen werden daher standardmäßig umgesetzt, da die Geschäftsleitung sie bereits als Autoritäten auf diesem Gebiet anerkannt hat.

Sind grundlegende Sicherheitspraktiken in einer Organisation klar definiert und solide umgesetzt, lässt sich ein vCISO-Programm leicht einrichten. Viele Organisationen erkennen den Wert eines solchen Programms bereits, wenn sie es erstmals in Betracht ziehen. Zu Beginn der COVID-19-Pandemie stellten beispielsweise viele Unternehmen auf cloudbasiertes Remote-Arbeiten um, ohne dafür ausreichende Anforderungen festgelegt zu haben. Das führte zu erheblichen Sicherheitsbedenken. Die Vorstände vieler Organisationen entschieden sich für die Dienste eines vCISO und gewannen Vertrauen in deren Qualität. Wenn ein Vorstand von einem vCISO-Programm überzeugt ist, wird er es auch weiterhin nutzen.

Geschäftliche Aspekte bei der Einstellung eines vCISO:

• Ihre Geheimhaltungsvereinbarung sollte vorliegen. Wenden Sie auf einen projektbezogenen vCISO dieselbe Geheimhaltungsvereinbarung an wie auf einen Full-Time-CISO. Die Vereinbarung sollte einen angemessenen Datenschutz gewährleisten.

• Führen Sie eine gründliche Überprüfung der Mitarbeitenden durch. Überprüfen Sie sowohl die vCISO-Agentur als auch die Person, die die vCISO-Leistungen erbringt.

Ein vCISO könnte die beste Lösung für Sie sein

Mit einem Virtual-CSO-Programm kann eine Organisation von der Expertise eines CISO profitieren, ohne eine Vollzeitkraft dauerhaft einzustellen. Das kann für alle Beteiligten eine Win-win-Situation sein. Jede Organisation sollte prüfen, ob ein vCISO sie beim Erreichen ihrer Sicherheitsziele unterstützen kann.