Ekstern CISO? Få sikkerhedsledelse uden en fuld stilling.
I får én fast leder, der rådgiver på direktions- og bestyrelsesniveau og præsenterer prioriteter og investeringer i sikkerhed for jeres ledelse, så I kan beslutte med pris og konsekvens foran jer. Accel Comply blev grundlagt af Behzad Motaghi, der har haft seniorroller i IT og sikkerhed siden 2009.
Kort svar
Direktion og bestyrelse får et klart grundlag for at prioritere sikkerheden og investere i den, og Accel Comply følger op hos IT og leverandører på det, I beslutter. Accel Comply er grundlagt af Behzad Motaghi og hjælper virksomheder i Danmark og Norden, der ikke har en sikkerhedschef, eller hvor sikkerheds- eller IT-chefen vil have opbakning. Arbejdet svarer til det, en ekstern CISO eller vCISO typisk står for, og I kan udpege Accel Comply som jeres CISO.
Ansat CISO, udpeget sikkerhedsansvarlig eller erfaren hjælp udefra?
Det er tre forskellige ting, og de kan godt findes side om side. En fastansat sikkerhedschef er i organisationen hver dag, leder medarbejdere og har det langsigtede ansvar for området. En udpeget sikkerhedsansvarlig har et formelt mandat fra ledelsen til at lede arbejdet med informationssikkerhed. En rådgiver udefra forbereder ledelsens beslutninger om sikkerhed og følger op på det aftalte arbejde. Accel Comply kan udpeges som jeres CISO. Har I allerede udpeget en af jeres egne, arbejder den faste leder sammen med vedkommende om den del af opgaven, I aftaler. Om I hellere skal ansætte, gennemgår siden Ansætte eller hente hjælp udefra.
Det arbejde, I typisk søger en ekstern CISO til
Accel Comply omsætter jeres sikkerhedssituation til prioriteter, som direktion og bestyrelse kan beslutte og følge. I får at vide, hvor I er sårbare, og hvad det betyder for jeres planer, og I får opstillet, hvad der skal gøres først, hvad det koster, og hvilken risiko I løber ved at vente. Den, der leder forløbet, deltager i direktions- og bestyrelsesmøder, hvis I vil, og vender tilbage efter beslutningen, når noget ændrer billedet, for eksempel en ny leverandør, et nyt marked eller et opkøb. Resultatet er et forslag til en sikkerhedsplan, som direktion og bestyrelse kan tage stilling til.
Uden en sikkerhedschef, eller med en, der gerne vil have opbakning
Ligger sikkerheden hos direktøren eller økonomichefen, tager Accel Comply den del af arbejdet, der kræver erfaring på ledelsesniveau, så den, der har ansvaret, kan beslutte uden først at sætte sig ind i det tekniske. Har I allerede en sikkerheds- eller IT-chef, arbejder forløbets leder sammen med vedkommende, enten med sparring på en plan eller et budget, før det skal for direktionen, eller med en afgrænset del af opgaven, for eksempel bestyrelsesrapporteringen. Det giver jeres chef tid til den daglige ledelse af området.
Tre situationer, hvor det giver mening
IT-leverandøren foreslår et stort sikkerhedsprojekt, og ingen i direktionen kan vurdere det
Accel Comply holder forslaget op mod det, I faktisk skal beskytte, og siger, hvad der bør købes nu, hvad der kan vente, og hvad I bør spørge leverandøren om. Så kan direktionen bruge pengene på det, der beskytter forretningen, og forklare valget for bestyrelsen.
Jeres sikkerhedschef er fanget i driften, og bestyrelsen vil have et overblik
Accel Comply aftaler med sikkerhedschefen, hvad bestyrelsen skal se på hvert møde, og hvilke investeringer chefen skal bede om. Bestyrelsen kan følge sikkerheden uden en teknisk gennemgang.
Et opkøb eller et nyt marked trækker sikkerheden ind i ledelsens plan
I får klarhed over, hvad skridtet kræver af sikkerheden hos jer, og hvad det sandsynligvis vil koste, før I lægger jer fast. Så er sikkerhed med i planen fra starten og dukker ikke op som en regning bagefter.
Det tager Accel Comply sig af, og det er ikke med
Det tager Accel Comply på sig
- Prioriteter og investeringer i sikkerhed, præsenteret for direktion og bestyrelse med pris og konsekvens
- Deltagelse i direktions- og bestyrelsesmøder, hvis I vil
- Opfølgning hos IT og leverandører på det, ledelsen har besluttet
- Sparring med jeres egen sikkerheds- eller IT-chef
- Afgrænsning af opgaver til specialister, så I ved, hvad I køber
Det tager Accel Comply ikke på sig
- Sikkerhedsdrift og overvågning
- Beredskab døgnet rundt og håndtering af hændelser
- Penetrationstest
- Revision og certificering
Bestyrelse og direktion træffer beslutningerne og har ansvaret, også når Accel Comply er jeres udpegede CISO.
Spørgsmål om ekstern CISO
Hvad skal vi kigge efter, når vi vælger en ekstern CISO i Danmark?
Kig efter, hvem der gør arbejdet, og på hvilket niveau. Taler personen med direktion og bestyrelse eller kun med IT? Og står det klart, hvad der er med, og hvem der har ansvaret for hvad? Hos Accel Comply ved I, hvem der leder jeres forløb, og I har med den samme person at gøre hele vejen. Arbejdet foregår på dansk og engelsk.
Hvad er forskellen på en vCISO, en interim CISO og en CISO på deltid?
Ordene bruges ofte om hinanden, men dækker som regel over noget forskelligt. En vCISO eller CISO as a service er løbende hjælp udefra. En interim CISO dækker en periode, ofte indtil en ny sikkerhedschef er ansat. En CISO på deltid arbejder et fast antal dage om ugen. Uanset hvad det kaldes, skal I vide, hvad der er med, hvor ofte der bliver arbejdet, og hvem der har ansvaret for hvad. Hos Accel Comply står det i kontrakten.
Kan Accel Comply være vores formelt udpegede CISO?
Ja. Accel Comply kan være jeres formelt udpegede CISO og stå for den faglige ledelse af sikkerheden. Omfang, tilgængelighed og svartider aftales i kontrakten.
Vi har allerede en CISO. Hvad kan en ekstern hjælpe med?
Sparring og aflastning: Accel Comply kan vende en plan, et budget eller et bestyrelsesoplæg med jeres CISO, før det skal for direktionen, eller tage en afgrænset del af arbejdet, for eksempel et leverandørvalg. Siden Sparring og second opinion beskriver, hvordan det foregår.
Håndterer I sikkerhedshændelser og drift?
Ikke selv. Beredskab døgnet rundt, overvågning og sikkerhedsdrift kræver en leverandør, der er sat op til netop det. Accel Comply henter en partner ind fra sit netværk og kan stå for projektet.
Hvad er en informationssikkerhedschef, og kan den være ekstern?
Ja, rollen kan godt være ekstern. En informationssikkerhedschef leder arbejdet med at beskytte virksomhedens information. Titlen svarer i praksis til CISO, og rollen dækker risici, regler, krav til leverandører og rapportering til ledelsen. Accel Comply kan påtage sig rollen eller arbejde sammen med en i jeres egen organisation, der allerede har den.
Mere om ledelse af sikkerhed
Fortæl, hvad ledelsen skal beslutte om sikkerhed.
Skriv kort, hvad der ligger på ledelsens bord i år, og om I har en sikkerhedschef. Så får I at vide, hvor arbejdet ville starte, eller om noget andet passer bedre.