vCISO助力中小企業(yè)安全建設(shè)

韓燕萍

由于安全專業(yè)人才的缺失以及高昂的聘用成本等問題，對于中小型企業(yè)來說，很難聘請到合適的首席信息安全官（CISO）。在此背景下，虛擬首席信息安全官（vCISO）開始受到了行業(yè)的關(guān)注。對于許多中小企業(yè)來說，vCISO或許是一種易于實踐且更具備性價比的選擇。

網(wǎng)絡(luò)管理聯(lián)盟（Cyber Management Alliance）將vCISO服務(wù)定義為“企業(yè)獲取經(jīng)驗豐富的安全和合規(guī)專業(yè)人士的有效途徑”。其目標是填補網(wǎng)絡(luò)安全市場存在的人員和技能缺口。它是指企業(yè)可以按一定的工作時間或項目來雇傭一名vCISO，從而獲得高質(zhì)量的網(wǎng)絡(luò)安全咨詢服務(wù)，但實際上這些CISO并不在企業(yè)的工作場所從事全職工作。

借助vCISO服務(wù)，中小型企業(yè)不僅可以接觸到全球公認的網(wǎng)絡(luò)安全專業(yè)人士，而且只需支付相對較少的酬金就可以完成相應(yīng)的工作。相關(guān)研究數(shù)據(jù)顯示，一名vCISO的成本大約只有全職CISO年成本的30 %。

重要的是，這些vCISO一般都是在行業(yè)中工作多年的人，他們擁有豐富的經(jīng)驗來處理各種不同的情況，指導企業(yè)進行信息安全管理，對企業(yè)進行風險評估。此外，vCISO還能夠培訓內(nèi)部安全人員，幫助其提高安全技能與意識，并為組織制定合適的安全戰(zhàn)略規(guī)劃。很顯然，這種模式相對安全需求有限的中小企業(yè)來說，比聘請全職CISO更具成本效益。

雖然vCISO的職位描述可能因組織而異，但總的來說，vCISO主要在網(wǎng)絡(luò)安全和網(wǎng)絡(luò)彈性、事件響應(yīng)和事件管理、風險評估與風險管理、供應(yīng)鏈、認證、治理與合規(guī)、技術(shù)部署、數(shù)據(jù)安全、運營安全、資產(chǎn)管理等10個領(lǐng)域發(fā)揮價值。

除此之外，vCISO還需要承擔以下工作：審查企業(yè)現(xiàn)有的網(wǎng)絡(luò)安全產(chǎn)品（政策和文件）并分享他們的專業(yè)意見；幫助企業(yè)調(diào)整政策和程序；在了解組織環(huán)境、定義風險和威脅后，與企業(yè)安全團隊一起創(chuàng)建必要的文檔，例如事件響應(yīng)計劃或網(wǎng)絡(luò)安全事件響應(yīng)手冊等。

除了在性價比方面的優(yōu)勢外，聘請vCISO還會給企業(yè)帶來以下價值：

vCISO會在了解企業(yè)的特定業(yè)務(wù)目標后，幫助其更新、完善和重建網(wǎng)絡(luò)安全政策和程序；

借助vCISO咨詢服務(wù)，企業(yè)可以獲取公正且中立（與供應(yīng)商無關(guān)）的建議，以客觀地了解自身的技術(shù)投資和其他安全控制；

vCISO更加擅長處理不同類型的利益相關(guān)者，并就問題與領(lǐng)導團隊、監(jiān)管機構(gòu)和其他業(yè)務(wù)利益相關(guān)者進行溝通；

通過vCISO服務(wù)，企業(yè)能夠得到相對完善的風險、治理和合規(guī)專家團隊支持。這可確保無縫處理企業(yè)業(yè)務(wù)的各種需求，與聘請獨立顧問相比，這顯然更具優(yōu)勢；

vCISO可幫助企業(yè)為可能發(fā)生的數(shù)據(jù)泄露、勒索軟件攻擊或其他網(wǎng)絡(luò)安全事件做好準備，他們會評估企業(yè)安全風險情況，并指導其提高網(wǎng)絡(luò)彈性。

不過，這并不是說vCISO是一個能夠解決企業(yè)安全問題的萬全之策，在以往的實踐中，也暴露出vCISO主要存在一些缺陷：

人始終是安全防護鏈中最薄弱的環(huán)節(jié)之一，vCISO也會犯錯，對vCISO的依賴可能會讓企業(yè)陷入困境；

找到一個適合的vCISO可能與招聘一名全職CISO同樣困難；

vCISO是一個良莠不齊的服務(wù)，而且虛擬人物或服務(wù)的責任難以明確要求，如果出現(xiàn)問題，vCISO的責任有時會很難認定；

vCISO服務(wù)不能幫助企業(yè)開展實施工作。如果企業(yè)希望vCISO為他們監(jiān)控系統(tǒng)、應(yīng)用程序和基礎(chǔ)架構(gòu)，并維護安全設(shè)備的運營，那么很難通過vCISO服務(wù)完成。

企業(yè)在聘請vCISO時，需要從以下方面進行考慮：

從業(yè)者的經(jīng)驗，并在其職業(yè)生涯中擔任過CISO；

在信息安全的各個領(lǐng)域擁有經(jīng)驗，包括信息風險管理、治理和合規(guī)性；

兼具技術(shù)和業(yè)務(wù)認知，既能與高級管理人員進行溝通，也能與技術(shù)員工進行有價值的探討；

保持公正和中立（與供應(yīng)商無關(guān)）態(tài)度，并提供不支持任何特定產(chǎn)品的建議；

了解審計和合規(guī)的基礎(chǔ)知識，并能夠與內(nèi)部和外部審計師打交道；

了解業(yè)務(wù)和商業(yè)的基礎(chǔ)知識。

對于提供vCISO服務(wù)的提供商，則必須具備靈活性，允許企業(yè)根據(jù)不斷變化的需求來擴大或縮小他們的需求，而不會收取懲罰性費用。

理想情況下，vCISO服務(wù)必須基于企業(yè)自身的信息安全和業(yè)務(wù)需求、組織規(guī)模及其業(yè)務(wù)的復雜性，其持續(xù)時間可以從每月幾個小時到臨時全職CISO。最好尋找一位樂于分享和提供指導意見的vCISO，他們可以幫助組織培養(yǎng)出一批專業(yè)的安全人員。