Външни експерти по сигурност и съответствие
Нужно ли Ви е ръководство по сигурността без назначаване на пълен работен ден? Външният ръководител по киберсигурност (vCISO) е специалист, който изпълнява договорени ръководни задачи в определен обем часове. Работим дистанционно, а присъствие на място се уточнява според задачите.
Кога Ви е нужна тази услуга
- Нямате специалист по сигурност и не искате да назначавате човек на пълен работен ден.
- Задачите по изискванията се отлагат, докато не дойде проверка.
- Ръководството иска някой да докладва редовно какво е направено.
Ползата за Вашата организация
- Получавате експерт за договорените часове, без да назначавате специалист на пълен работен ден.
- Някой движи задачите по сигурността и съответствието всеки месец, а не само при проверка.
- Ръководството вижда какво е изпълнено и какво изисква решение.
Месечни планове
Месечните планове са за работа по киберсигурност и ИКТ (информационни и комуникационни технологии) риск. ДЛЗД (длъжностно лице по защита на данните) и други специализирани роли са по отделна оферта. Месечната подкрепа включва договорен обем работа, а не неограничено време на разположение. Публикуваме обема, за да можете лесно да сравните услугата с други.
| Месечен вариант | На месец | Включено |
|---|---|---|
| 1 ден месечно | 1 400 € | 8 часа експертна работа |
| 2 дни месечно | 2 600 € | 16 часа експертна работа |
| 4 дни месечно | 4 900 € | 32 часа експертна работа |
| Публикувана дневна ставка | 1 300 € |
Примерен месец (8 часа): преглед на избрани рискове, актуализиране на договорения регистър, проследяване на корекциите и кратък отчет с решенията, които ръководството трябва да вземе. Конкретните задачи се планират според приоритетите и договорения обем.
Годишна програма за съответствие — 24 700 €
Оценка по DORA (регламент на ЕС за цифровата оперативна устойчивост на финансовия сектор) или NIS2 (директива на ЕС за киберсигурност) в обхвата на пакета за оценка и доказателства и 12 месеца външна експертна роля с 8 експертни часа месечно: годишен план, регистри, доказателства, подготовка на решенията на ръководството и готовност за проверка. Един договор за годината, с приемане по етапи.
Оценката е включена в годишната програма и не се поръчва отделно.
Стандартен обхват: оценка по една регулация и 8 часа работа месечно по киберсигурност и ИКТ риск. Внедряване, допълнителни часове и специализирани роли се договарят отделно. Условията за плащане и за предсрочно прекратяване на годишния договор се посочват в офертата.
Кои роли можем да поемем
Специалист от Диасол изпълнява договорените задачи с ясен месечен обем. Отговорността на ръководството остава при Вас.
Външна подкрепа на контролната функция по ИКТ риска
Преглед на ИКТ риска и отчет към ръководството.
ЗаконСлужител по киберсигурност (NIS2)
Поддържане на мерките по киберсигурност и връзка с органите.
ЗаконДлъжностно лице по защита на данните
Външно длъжностно лице по защита на данните или подкрепа за Вашето вътрешно ДЛЗД — по отделна оферта.
ЗаконОтговорности по информационна сигурност
Поддържане на политики, рискове и задачи по сигурността.
СтандартОтговорник по управление на ИИ
Опис на начините, по които се използва ИИ (изкуствен интелект), правила и отчет към ръководството.
СтандартОтговорник за риска от външни доставчици на ИКТ услуги
Регистър на доставчиците, клаузи и преглед на риска от тях.
ЗаконОтговорности по непрекъснатост на дейността
Планове за непрекъсваемост, тестове и протоколи.
ЗаконКоординатор по докладване на инциденти
Подготовка и координация на докладването при инцидент.
Организационен изборКанал за сигнали — приемане и регистриране
За частни организации — приемане и регистриране на писмени сигнали. За публични — подкрепа на вътрешния процес.
ЗаконВременно заместване на Ваш служител
Временно поемане на функцията при отсъствие или напускане.
Организационен изборЗакон Законово задължение в определени случаиСтандарт Изискване на стандарт, по който избирате да се сертифициратеОрганизационен избор Организационен избор — задълженията съществуват, длъжността не е определена от закон
Подробности: правни основания, независимост, използване на времето
| Външни експерти | На какво се основава | Закон, стандарт или организационен избор |
|---|---|---|
| Външна подкрепа на контролната функция по ИКТ риска | Чл. 6, § 4 от DORA изисква финансовите субекти в обхвата на регламента, различни от микропредприятията, да възложат управлението и надзора на ИКТ риска на контролна функция с подходяща независимост. Чл. 6, § 10 допуска външно възлагане на задачи за проверка на съответствието. Субектът запазва функцията, надзора и пълната отговорност. Случаите по чл. 16 се проверяват отделно | Закон |
| Служител по киберсигурност (NIS2) | Закон за киберсигурност (ЗКС) и наредбата за минималните мерки — дали се изисква определено лице, се потвърждава за Вашия вид субект | Закон |
| Длъжностно лице по защита на данните | Чл. 37 от ОРЗД — за публични органи, освен съдилища при правораздаване; когато основните дейности включват редовно и систематично мащабно наблюдение или мащабно обработване на специални категории данни или данни за присъди и нарушения. Може да е външно лице; без конфликт на интереси | Закон |
| Отговорности по информационна сигурност | ISO/IEC 27001, т. 5.3 изисква ролите и отговорностите да бъдат разпределени и съобщени. Това е изискване на стандарта, а не длъжност, определена със закон | Стандарт |
| Отговорник по управление на ИИ | ISO/IEC 42001 — възложени отговорности по стандарта. Регламентът за ИИ възлага задължения на организацията: чл. 26 — на внедрителите, други членове — на доставчиците; не създава длъжност „отговорник по ИИ“ | Стандарт |
| Отговорник за риска от външни доставчици на ИКТ услуги | За финансовите субекти в обхвата на DORA, които не са микропредприятия, чл. 5, § 3 изисква роля, която наблюдава договореностите с ИКТ доставчици, или възлагане на тази отговорност на висшето ръководство. Наименованието на длъжността и начинът на работа се определят за всяка организация. NIS2 също изисква пропорционални мерки за веригата на доставки. | Закон |
| Отговорности по непрекъснатост на дейността | ISO 22301 изисква възложени отговорности. Чл. 11, § 7 от DORA изисква и функция за управление на кризи за финансовите субекти в обхвата му, различни от микропредприятията. Случаите по чл. 16 се проверяват отделно. Конкретно наименование на длъжността не е предписано. | Закон |
| Координатор по докладване на инциденти | NIS2, DORA и Регламентът за киберустойчивост определят законови срокове за докладване. Кой координира процедурата, решава самата организация | Организационен избор |
| Канал за сигнали — приемане и регистриране | Директива (ЕС) 2019/1937 и ЗЗЛПСПОИН: работодатели в частния сектор с 50 и повече служители, а независимо от броя — при дейност по актовете на ЕС от приложението към закона (напр. финансови услуги, мерки срещу изпирането на пари) — чл. 12, ал. 1. Според указанията на КЗЛД (Комисия за защита на личните данни) външно лице може само да приема и регистрира писмени сигнали; разглеждането остава при вътрешен определен служител | Закон |
| Временно заместване на Ваш служител | Задължителната длъжност остава заета, докато назначите свой служител | Организационен избор |
Преди съвместяване на роли оценяваме работата, приложимостта и независимостта. Законовата отговорност остава при Вашия управителен орган.
Начинът на работа зависи от функцията, отговорностите, натоварването и нужната независимост. Можем да откажем, ако предложеният обхват е недостатъчен.
Посочените нива са за текуща работа по сигурност и управление на ИКТ риска. За ДЛЗД и други специализирани функции определяме обхвата, времето и цената отделно.
Месечният абонамент включва планиран обем часове, договорено време за реакция и публикуваните условия за прехвърляне на часове. Отделно поръчаният ден е насрочена работа и сам по себе си не означава постоянна готовност за реакция. Условията за определен заместник се потвърждават в договора.
Един експертен ден е осем часа работа, които могат да се ползват на части. В тях влизат подготовка, анализ, срещи, писмени отговори и договорена координация. Работата между срещите не е неограничена.
Извън договореното работно време стандартният абонамент не включва задължение за незабавна реакция или техническо овладяване на инцидент. Използвайте реда при инциденти, уговорен за Вашата организация. Договорът определя часовете, часовата зона и към кого се насочват неотложните въпроси; среща в друга часова зона не удължава договореното време.
Сравнявайте отговорностите, а не само часовете. ИТ доставчикът може вече да изпълнява част от задачите по сигурността. Уточняваме какво вече е покрито, кои решения остават за ръководството и къде е полезно допълнително ръководство или независим преглед. Ако работата трайно надхвърля договорения обем, обсъждаме по-голям обем или вътрешна роля. Сравнение на цена и отговорности →
- Неизползваното време до половината от месечния обем можете да прехвърлите в следващия месец. Прехвърленото време се използва първо и изтича в края на следващия месец.
- Преди да се използват допълнителни дни, потвърждаваме писмено дали те се плащат като еднократни, или преминавате към по-голям месечен вариант и от кой месец. Ако по-големият вариант излиза по-евтино за нужното време, предлагаме него.
- При критичен случай отговаряме до 4 работни часа в договореното работно време. Това означава потвърждение и първи насоки, а не овладяване на инцидента и възстановяване на работата. В останалите случаи отговаряме до 1 работен ден. Работното време, каналът за връзка и определеният заместник се посочват в договора.
- Не обещаваме 24/7 в стандартната услуга. Където е нужно денонощно покритие, го договаряме отделно с проверен партньор, след като той потвърди, че може да поеме случая. Кой приема сигнала за инцидент, кога и какво прави Диасол е описано в помощ при инцидент.
- Месечните абонаменти можете да прекратите по всяко време с 30-дневно предизвестие. Условията на годишната програма се посочват в офертата.
Как изглежда Ниво 1 през първите 90 дни
Как може да се използва включеното време
Илюстративно разпределение за ограничен договорен обхват. Не е гарантиран списък с резултати за всяка функция.
| Ниво | Пример |
|---|---|
| 1 — 8 часа | 2 ч подготовка, 1 ч работна среща, 3 ч преглед по избрана тема, 2 ч писмена бележка и актуализация на договорения регистър. |
| 2 — 16 часа | 3 ч подготовка, 2 ч срещи, 7 ч договорени прегледи, 4 ч документация и проследяване. |
Разпределението се променя според задачите. Нов казус или инцидент може да измести планирана дейност. Техническите промени и управленските решения остават задача на отговорниците, посочени в договора.
| Кой | Какво прави |
|---|---|
| Диасол | Анализира, препоръчва и документира договорената работа. |
| Клиентът | Взема управленските решения и осигурява изпълнението. |
| Независим оценител | Извършва приложимата независима проверка. |
Примерен резултат
Демонстрационен пример — не е реален клиент.
| Раздел | Съдържание |
|---|---|
| Приключени задачи | Преглед на достъпите за третото тримесечие; обновен регистър на доставчиците; проведено обучение за новопостъпилите |
| Решения за ръководството | Одобрение на договора с облачен доставчик Б; бюджет за многофакторен вход за всички служители |
| Оставащи рискове | Тестът за възстановяване на счетоводството е насрочен за следващия месец |
| Използвано време | 7,5 от 8 експертни часа |
Какво включва месечната работа по съответствието (CaaS)
Проверката приключва, но изискванията остават. Поемаме договорената текуща работа по изискванията за киберсигурност и управлението на ИКТ риска: срокове, доказателства, пропуски и отчетност. Други специализирани функции, включително длъжностно лице по защита на данните, се договарят отделно според приложимостта, натоварването и независимостта. Услугата е подходяща, когато тези задачи се повтарят, а вътрешният екип има нужда от експертна помощ и координация.
Какво договаряме за всеки месец
- Календар и промени
- Преглед на договорените изисквания и срокове; оценка дали промяна засяга организацията.
- Доказателства
- Преглед на избраните записи, валидността им и липсващите потвърждения; поддържане на указател към тях.
- Рискове и действия
- Актуализация на приоритетите, отговорниците и сроковете; проследяване на възложените корекции.
- Отчет към ръководството
- Какво е проверено, какво остава непотвърдено, кои решения или ресурси са необходими.
Преди началото определяме дружествата, приложимите направления, източниците, достъпа, месечните часове и честотата на прегледите. Всеки месец избираме задачите според риска и наличните часове. Всеки отчет показва извършеното, доказателствата и отложената работа. При най-малкия абонамент не обещаваме, че ще бъдат изпълнени всички изброени дейности.
Пример за месечен резултат
Предстои клиентска проверка. Преглеждаме договорен набор от доказателства, установяваме кои са остарели, посочваме отговорник за всяка липса и подготвяме кратък отчет за решенията на ръководството. Примерът е илюстративен. Броят на документите и нужното време уточняваме предварително.
CaaS и външен CISO / vCISO: каква е разликата?
CaaS организира текущата работа по съответствието. Външният CISO, наричан и vCISO (виртуален CISO), е определен специалист, който осигурява договорено ръководство по сигурността — приоритети, риск, управленска отчетност и координация. Двете могат да се съчетаят, след като преценим натоварването и независимостта. Една месечна такса обаче не означава неограничен брой функции.
Управленските решения и законовата отговорност остават при клиента. Сертификация, независим одит, правно представителство, денонощна реакция и техническо внедряване не се включват автоматично. Часовете, в които сме на разположение, сроковете за отговор и допълнителната работа се договарят писмено. Не обещаваме успешен одит или одобрение от регулатор.
Месечната работа започва от 1 400 € за един експертен ден (8 часа) при ограничен договорен обхват. Месечните планове са показани по-горе. Ако първо трябва да се отстранят натрупани пропуски, това може да изисква отделен проект.
След уточняване на нуждите получавате писмено предложение с обхват, резултати, часове и отговорности.
Работен лист за обхвата на CaaS (TXT) · Как да сравните месечния капацитет и цената на външен CISO