Recruter un CISO virtuel pour épauler votre équipe de sécurité

Face à la multiplication des cyberattaques, les organisations prennent conscience de l’importance de mettre en place des mesures de sécurité efficaces. La présence d’un directeur de la sécurité des systèmes d’information virtuel (vCISO) au sein de l’organisation peut contribuer de manière significative à cet objectif.

Qu’est-ce qu’un CISO virtuel ?

Un CISO virtuel est un professionnel ou un prestataire de sécurité à temps partiel ou à distance, qui met son temps et son expertise au service d’une organisation, de façon temporaire ou continue.

Un CISO virtuel peut être une solution efficace pour les entreprises qui souhaitent mettre en place des contrôles de sécurité, mais ne peuvent pas recruter un CISO à temps plein. Si vous dirigez une petite ou moyenne entreprise et souhaitez mettre en place tous les contrôles de sécurité nécessaires, recruter un CISO virtuel peut être un bon point de départ. À mesure que les entreprises recrutent davantage de consultants dans différents services, les postes de CISO virtuel à temps partiel se généralisent.

Les personnes qui exercent comme CISO virtuels peuvent être mises à disposition par une entreprise qui les propose en tant que service — à la manière d’une agence de recrutement — ou travailler comme indépendants. Dans les deux cas, les organisations peuvent recruter un CISO virtuel sans embaucher une personne à temps plein sur site, tout en bénéficiant d’une expertise en sécurité.

Il est très difficile de recruter des CISO. La tâche devient encore plus complexe à mesure que les entreprises reconnaissent l’intérêt d’en avoir un dans leurs équipes, notamment parce qu’un CISO peut contribuer à réduire le coût d’une violation de données.

vCISO ou CISO : quelle option convient à votre entreprise ?

Les entreprises veulent se développer à toute vitesse, tout en respectant les normes de sécurité. Un vCISO peut les aider à atteindre ces deux objectifs. Les entreprises qui souhaitent obtenir un deuxième avis sur leur posture de sécurité peuvent faire appel à un vCISO.

Dans bien des cas, un CISO virtuel convient parfaitement aux organisations dont l’activité principale n’est pas la technologie. Un CISO à temps plein pourrait y avoir peu de perspectives d’évolution et finir par chercher d’autres opportunités. L’organisation risque alors de se retrouver sans expertise qualifiée en sécurité. Dans ce cas, pouvoir faire appel à un CISO virtuel peut s’avérer très utile. Même dans les grandes organisations qui ont déjà un CISO à temps plein, l’aide supplémentaire d’un CISO virtuel peut être précieuse, notamment pour prendre en charge une partie du travail lorsque le responsable de la sécurité est débordé.

Cas d’usage des vCISO

Un CISO virtuel peut intervenir comme responsable de la conformité, responsable de l’évaluation des risques ou spécialiste de la sécurité des applications. Dans bien des cas, le CISO est occupé avec des dirigeants ou des clients et peut avoir besoin d’aide pour certaines tâches plus spécialisées. C’est là qu’un vCISO peut intervenir.

Les vCISO sont disponibles à la demande et n’ont généralement besoin ni de formation ni d’un plan à 30, 60 ou 90 jours. Ils se mettent au travail dès le premier jour, alors qu’un CISO à temps plein doit prendre le temps de monter en puissance dans une nouvelle organisation. Les compétences varient d’un vCISO à l’autre, mais beaucoup sont capables de prendre en charge un large éventail de tâches, des plus opérationnelles aux plus stratégiques. Ils peuvent contribuer à l’élaboration de politiques, de directives et de normes de sécurité. Certains peuvent également aider au recrutement, à la définition de stratégies de sécurité, à l’acquisition de solutions, à la gestion des incidents et à la préparation de la conformité aux normes ISO 27001 et 9001.

Durée du rôle de vCISO

Le rôle du CISO virtuel peut être de courte ou de longue durée, selon les besoins de l’organisation. Une fois les principaux travaux d’architecture de sécurité ou de mise en place du programme de conformité terminés, l’architecture de sécurité ne nécessite plus que des changements très progressifs. Dès que le processus est stabilisé, la mission du CISO virtuel prend fin. Il peut alors entamer une nouvelle mission dans une autre organisation, même si certaines entreprises préfèrent garder le contact avec leur vCISO pour de futurs besoins.

Rohit Srivastwa, CISO virtuel Rohit Srivastwa : « Beaucoup d’entreprises sont revenues vers nous pour nous demander si nous pouvions mettre en place un système de forfait afin que nous leur apportions notre expertise en sécurité dès qu’elles en ont besoin. Mais oui, la durée de la mission est limitée. »

Ce rôle peut prendre différentes formes, selon les besoins de l’organisation. Imaginez un buffet de services proposés par une agence de vCISO : les entreprises peuvent choisir ceux qui leur conviennent.

Influence du CISO et du vCISO auprès des dirigeants

En tant que salariés permanents de l’organisation, les CISO à temps plein doivent convaincre et influencer le conseil d’administration pour qu’il adopte leurs recommandations en matière de sécurité. En revanche, les CISO virtuels sont choisis et désignés par l’équipe dirigeante. Leurs recommandations sont donc appliquées par défaut, puisque les dirigeants les ont déjà reconnus comme des autorités dans ce domaine.

Lorsque les pratiques fondamentales sont solides et clairement définies au sein d’une organisation, il est facile de mettre en place un programme de vCISO. Beaucoup d’organisations en perçoivent l’intérêt dès qu’elles commencent à l’envisager. Par exemple, au début de la pandémie de Covid-19, de nombreuses entreprises sont passées au cloud et au télétravail sans avoir mis en place beaucoup de mesures de sécurité. Cela a soulevé d’importantes préoccupations en matière de sécurité. Les conseils d’administration de nombreuses organisations ont choisi de faire appel à un vCISO et ont été convaincus de la qualité de ses services. Lorsqu’un conseil d’administration a confiance dans un programme de vCISO, il continue de l’utiliser.

Points à prendre en compte par les entreprises qui recrutent un vCISO :

• Votre accord de confidentialité doit être en place. Appliquez à un vCISO recruté pour une mission le même accord de confidentialité qu’à un CISO embauché à temps plein. L’accord doit intégrer une politique de confidentialité adaptée.

• Vérifiez correctement les employés. Il convient de vérifier l’agence de vCISO ainsi que la personne qui fournit les services de vCISO.

Un vCISO pourrait être votre meilleure option

Un programme de CSO virtuel permet à une organisation de bénéficier de l’expertise d’un CISO sans ajouter un employé à temps plein à sa masse salariale permanente. Cette solution peut être avantageuse pour toutes les parties concernées. Chaque organisation devrait envisager de faire appel à un vCISO pour atteindre ses objectifs de sécurité.