Contrate um CISO virtual para ajudar sua equipe de segurança

Com o aumento dos ataques cibernéticos, as organizações estão começando a entender a importância de implementar medidas de segurança eficazes. Contar com um diretor de segurança da informação virtual (vCISO) pode representar um grande avanço nessa direção.

O que é um CISO virtual?

Um CISO virtual é um profissional ou prestador de serviços de segurança que trabalha em meio período ou remotamente e oferece seu tempo e conhecimento a uma organização de forma temporária ou contínua.

Um CISO virtual pode ser uma boa opção para empresas que querem implementar controles de segurança, mas não podem contratar um CISO em tempo integral. Se você trabalha em uma pequena ou média empresa e quer implementar todos os controles de segurança necessários, contratar um CISO virtual pode ser um bom começo. À medida que as empresas contratam mais consultores para diferentes áreas, as funções de CISO virtual em meio período estão se tornando cada vez mais comuns.

Os profissionais que atuam como CISOs virtuais podem ser indicados por uma empresa que oferece seus serviços — como uma agência de talentos — ou trabalhar como freelancers. Em ambos os casos, as organizações podem contratar um CISO virtual sem acrescentar um funcionário em tempo integral à equipe presencial, mas ainda aproveitar o acesso a conhecimentos especializados em segurança.

É muito difícil contratar CISOs. Isso está se tornando cada vez mais desafiador, à medida que mais empresas reconhecem o valor de ter um CISO na equipe, especialmente diante de situações em que esse profissional pode ajudar a reduzir o custo de uma violação de dados.

vCISO ou CISO: qual é a melhor opção para sua empresa?

As empresas querem crescer em ritmo acelerado, mas também precisam considerar e cumprir os padrões de segurança. Um vCISO pode ajudar a alcançar os dois objetivos. Empresas que buscam uma segunda opinião sobre sua postura de segurança podem contar com um vCISO para isso.

Em muitos casos, um CISO virtual é uma excelente opção para organizações cujo foco principal não é tecnologia. Um CISO em tempo integral talvez tenha poucas oportunidades de crescimento profissional nessas empresas e, com o tempo, pode buscar outras oportunidades. Isso pode deixar a organização sem conhecimentos especializados em segurança. É aí que ter acesso a um CISO virtual pode ser extremamente vantajoso. Mesmo em grandes organizações que já contam com um CISO em tempo integral, a ajuda adicional de um CISO virtual — que pode assumir parte do trabalho quando o responsável pela segurança está sobrecarregado — pode fazer diferença.

Casos de uso de vCISO

Um CISO virtual pode atuar como responsável por conformidade, avaliação de riscos ou segurança de aplicações. Em muitos casos, o CISO está ocupado com líderes de negócios ou clientes e pode precisar de ajuda em tarefas mais especializadas. É aí que o vCISO entra em cena.

Os vCISOs estão disponíveis sob demanda e, em geral, não precisam de treinamento nem de um plano de 30, 60 ou 90 dias. Começam a trabalhar desde o primeiro dia, enquanto um CISO em tempo integral levaria um tempo para atingir seu pleno desempenho em uma nova organização. Embora tenham conjuntos de habilidades diferentes, muitos vCISOs conseguem lidar com uma ampla variedade de tarefas, das operacionais às estratégicas. Eles podem ajudar a desenvolver políticas, diretrizes e padrões de segurança. Alguns também podem contribuir com recrutamento, desenvolvimento de estratégias de segurança, aquisição de soluções, resolução de incidentes e preparação para a conformidade com as normas ISO 27001 e 9001.

Duração da função de vCISO

A função de CISO virtual pode ser de curto ou longo prazo, conforme as necessidades da organização. Depois que o trabalho principal de arquitetura de segurança ou estruturação do programa de conformidade é concluído, são necessárias apenas pequenas mudanças na arquitetura de segurança como um todo. Quando o processo se estabiliza, o trabalho do CISO virtual termina. Então, ele pode começar uma nova jornada em outra organização — embora algumas empresas prefiram manter contato com o vCISO para trabalhos futuros.

O CISO virtual Rohit Srivastwa: “Muitas empresas voltaram a nos procurar para saber se podemos oferecer um modelo de contrato recorrente, para que possamos fornecer conhecimentos especializados em segurança sempre que houver necessidade. Mas, sim, é por um período limitado.”

Essa função pode ser definida de diferentes maneiras e formatos para atender às necessidades de cada organização. Imagine um bufê de serviços oferecidos por uma agência de vCISO: as empresas podem escolher os serviços que melhor atendem às suas necessidades.

Influência executiva do CISO e do vCISO

Como são funcionários permanentes da organização, os CISOs em tempo integral precisam convencer e influenciar o conselho de administração a adotar suas recomendações de práticas de segurança. Já os CISOs virtuais são escolhidos e contratados pela equipe executiva, por isso suas recomendações são implementadas por padrão (afinal, os executivos já os reconhecem como autoridades no assunto).

Quando as práticas básicas são sólidas e estão bem definidas na organização, é fácil implementar um programa de vCISO. Muitas organizações percebem o valor desse programa assim que começam a considerá-lo. Por exemplo, no início da pandemia de Covid-19, muitas empresas migraram para uma estrutura de trabalho remoto baseada em nuvem, com pouquíssimos requisitos de segurança. Isso gerou grandes preocupações. Os conselhos de administração de muitas organizações optaram por contratar os serviços de um vCISO e passaram a confiar na qualidade desses serviços. Quando o conselho confia no programa de vCISO, continua utilizando-o.

O que considerar ao contratar um vCISO:

• Seu acordo de confidencialidade deve estar em vigor. Use para um vCISO contratado por projeto o mesmo acordo de confidencialidade que usaria para um CISO em tempo integral. Uma boa política de privacidade deve fazer parte do acordo.

• Faça uma verificação adequada dos profissionais. É importante verificar tanto a agência de vCISO quanto a pessoa que prestará os serviços.

Um vCISO pode ser a melhor opção para sua empresa

Um programa de CSO virtual permite que uma organização aproveite os conhecimentos especializados de um CISO sem acrescentar um funcionário em tempo integral à folha de pagamento permanente. Isso pode ser vantajoso para todas as partes envolvidas. Toda organização deve considerar a opção de um vCISO para alcançar seus objetivos de segurança.