CISO vs vCISO — kiedy zatrudnić na etat, a kiedy wybrać usługę

CISO odpowiada za to, żeby bezpieczeństwo w firmie było prowadzone jak proces, a nie jak seria reakcji na incydenty. W praktyce oznacza to cztery rzeczy: rozumienie, gdzie firma ma ryzyko, decydowanie, które z nich akceptuje, a które ogranicza, pilnowanie zgodności z regulacjami oraz tłumaczenie tego wszystkiego zarządowi w języku decyzji biznesowych.

Warto rozdzielić dwie role, które w mniejszych firmach zwykle się zlewają. Administrator lub inżynier bezpieczeństwa dba o to, żeby zabezpieczenia działały technicznie — żeby firewall miał aktualne reguły, a kopie zapasowe faktycznie się wykonywały. CISO odpowiada za pytanie o poziom wyżej: czy w ogóle mamy właściwe zabezpieczenia i czy wydajemy pieniądze tam, gdzie ryzyko jest największe. To rola zarządcza, nie operacyjna.

Rozróżnienie to ma istotne konsekwencje praktyczne. Zespół techniczny działający bez nadzoru zarządczego optymalizuje obszary mieszczące się w jego kompetencjach, niekoniecznie te o najwyższym wpływie na ryzyko organizacji. Prowadzi to do typowej dysproporcji: zaawansowane narzędzia detekcji przy jednoczesnym braku przetestowanych procedur odtworzeniowych i planu ciągłości działania.

Rynek wymusił ten model z dwóch stron naraz. Z jednej strony regulacje zaczęły wymagać, żeby za bezpieczeństwo ktoś realnie odpowiadał — z imienia i nazwiska, z udokumentowanymi decyzjami i śladem, kto co zatwierdził. Wcześniej wystarczyło, że IT po prostu działało. Dziś organ kontrolny pyta, kto ocenił ryzyko i na jakiej podstawie zdecydowano, że dany poziom zabezpieczeń jest wystarczający.

Równolegle podaż kandydatów z doświadczeniem na tym poziomie pozostaje ograniczona, a organizacje średniej wielkości nie generują zakresu zadań uzasadniającego pełen etat. Powstała luka strukturalna: obowiązek istnieje, kompetencje są trudno dostępne, a etat byłby wykorzystany w niewielkiej części.

Model vCISO odpowiada na tę lukę. Organizacja uzyskuje kompetencje i formalnie przypisaną odpowiedzialność w wymiarze odpowiadającym rzeczywistemu zapotrzebowaniu. Nie jest to uproszczona wersja etatu, lecz alternatywna forma pozyskania tej samej funkcji, adekwatna do skali, w której pełen etat oznaczałby nieefektywne wykorzystanie zasobów.

Poniższe zestawienie nie ma zwycięzcy. Oba modele są poprawne — pytanie brzmi, który pasuje do skali, dojrzałości i profilu ryzyka konkretnej organizacji. Warto przejść przez nie punkt po punkcie i zaznaczyć, które kryteria są dla Was ważne, a które nieistotne.

Porównywanie samego wynagrodzenia z fakturą za usługę jest mylące, bo pomija większość składników. Etat to nie tylko pensja: to również koszty pracodawcy, rekrutacja, wdrożenie, szkolenia i certyfikacje, narzędzia oraz czas menedżera poświęcony na zarządzanie tą osobą. Do tego dochodzi ryzyko nietrafionej rekrutacji, które przy stanowiskach senioralnych bywa kosztowne.

Model usługowy ma inną strukturę kosztu: jest zmienny, przewidywalny w skali miesiąca i nie niesie kosztów stałych ani zobowiązań kadrowych. Nie zawiera natomiast tego, co daje etat — pełnej dostępności i obecności w codziennym życiu organizacji.

Miarodajne porównanie wymaga oszacowania, ile pracy na poziomie zarządczym organizacja faktycznie potrzebuje w skali miesiąca. Jeżeli jest to kilka dni, znaczna część kosztu etatu finansuje gotowość, a nie realizację zadań. Jeżeli potrzeba ma charakter codzienny, model usługowy zaczyna ograniczać tempo decyzji i generuje koszt w postaci opóźnień.

Najczęstszy scenariusz to firma, która właśnie zorientowała się, że podlega regulacji, albo dostała od kontrahenta ankietę bezpieczeństwa, na którą nie umie odpowiedzieć. Jest presja i termin, nie ma kompetencji wewnątrz, a rekrutacja trwałaby dłużej niż sam termin. W tej sytuacji model usługowy jest jedyną drogą, która mieści się w kalendarzu.

Drugi scenariusz to organizacja, która ma sprawny dział IT, ale nikogo, kto patrzy na bezpieczeństwo z poziomu ryzyka biznesowego. IT wie, jak coś wdrożyć — brakuje osoby, która powie, co wdrożyć najpierw i dlaczego akurat to. Bez tej perspektywy budżet rozchodzi się na narzędzia, które łatwo kupić, zamiast na zmiany, które trudno przeprowadzić.

Trzeci scenariusz bywa pomijany: firma po prostu chce wiedzieć, jak stoi, zanim podejmie decyzję inwestycyjną. Niezależna ocena przed wydaniem pieniędzy zwykle zwraca się szybciej niż samo wdrożenie.

Przejście na model etatowy uzasadnia kilka mierzalnych sygnałów. Najistotniejszy dotyczy charakteru pracy: bezpieczeństwo przestaje być zestawem cyklicznych decyzji i przeglądów, a staje się działalnością operacyjną prowadzoną codziennie. W takiej sytuacji ograniczony wymiar współpracy przestaje być optymalizacją kosztu, a zaczyna ograniczać tempo organizacji.

Drugi sygnał to zespół. W momencie, gdy w firmie pracują już osoby zajmujące się wyłącznie bezpieczeństwem, potrzebują one kogoś, kto nimi kieruje na co dzień, ustala priorytety i odpowiada za ich rozwój. Tej roli nie da się sensownie powierzyć komuś, kto bywa w firmie kilka razy w miesiącu.

Trzeci sygnał ma charakter zewnętrzny. Kluczowy klient, inwestor lub organ nadzoru może wprost oczekiwać obecności etatowej funkcji bezpieczeństwa w strukturze organizacyjnej. Takie wymaganie przesądza wybór modelu niezależnie od pozostałych przesłanek.

W praktyce wiele organizacji nie musi wybierać. Firma zatrudnia specjalistę bezpieczeństwa na etacie, ale nadzór strategiczny i kontakt z zarządem powierza doradcy zewnętrznemu. Osoba wewnętrzna prowadzi bieżące działania i zna organizację od środka, doradca odpowiada za kierunek, priorytety i niezależną ocenę.

Model hybrydowy pełni również funkcję planu sukcesji. Specjalista wewnętrzny rozwija kompetencje we współpracy z doświadczonym doradcą i sukcesywnie przejmuje kolejne obszary odpowiedzialności — najpierw zarządzanie ryzykiem, następnie zgodność, na końcu komunikację z zarządem. Po kilkunastu miesiącach objęcie stanowiska kierowniczego stanowi naturalny etap rozwoju, a nie zmianę skokową obarczoną wysokim ryzykiem.

Hybryda dobrze sprawdza się też przy dużych wdrożeniach. Na czas projektu zgodności wymiar współpracy rośnie, po odbiorze wraca do poziomu nadzorczego. Etat takiej elastyczności nie daje.

Współpraca prowadzona według uporządkowanej metodyki ma przewidywalny przebieg, przy czym pierwszy kwartał jest z założenia bardziej pracochłonny niż kolejne. Warto uwzględnić to w planowaniu: przed podejmowaniem decyzji doradca musi zbudować rzetelny obraz organizacji.

Pierwszy miesiąc to rozpoznanie. Rozmowy z właścicielami procesów, przegląd istniejącej dokumentacji, ustalenie, jakie dane firma przetwarza i od jakich systemów zależy jej działalność. Efektem jest wstępny obraz ryzyka i lista rzeczy, które wymagają decyzji.

Drugi miesiąc to priorytety i plan. Ryzyka trafiają do rejestru, dostają właścicieli i terminy, a zarząd dostaje pierwszą wersję planu z uzasadnieniem kolejności. To moment, w którym najczęściej okazuje się, że najpilniejsze nie jest to, czego wszyscy się spodziewali.

Trzeci miesiąc obejmuje uruchomienie cyklu operacyjnego: regularnych przeglądów, raportowania i pierwszych wdrożeń. Od tego momentu współpraca przechodzi w tryb stały, a nakład pracy stabilizuje się na ustalonym poziomie.

Uczciwe wyznaczenie granic jest ważniejsze niż lista obietnic, bo większość rozczarowań bierze się z niedopowiedzeń na starcie. vCISO to funkcja zarządcza i doradcza — nie zastępuje działu IT, dostawcy usług monitorowania ani zespołu reagującego na incydenty.

Doradca nie będzie administrował systemami ani konfigurował narzędzi. Ustala wymagania i sprawdza rezultat, a wykonanie leży po stronie IT lub wskazanego wykonawcy. Nie pełni też dyżurów — jeśli organizacja potrzebuje całodobowego monitorowania, jest to usługa zewnętrznego dostawcy, którego vCISO pomaga wybrać, a potem nadzoruje jakość jego pracy.

Nie zastąpi także decyzji zarządu. Doradca przedstawia ryzyko, opcje i konsekwencje, ale to zarząd akceptuje poziom ryzyka i zatwierdza budżet. Regulacje przypisują tę odpowiedzialność organom zarządzającym i żadna umowa jej z nich nie zdejmuje.

Pomiar skuteczności bezpieczeństwa jest utrudniony, ponieważ rezultatem prawidłowo prowadzonych działań jest brak zdarzeń. Z tego powodu przedmiotem raportowania powinien być postęp i gotowość, a nie liczba incydentów. Poniższe wskaźniki nie wymagają dedykowanych narzędzi i mają wyższą wartość decyzyjną niż statystyki operacyjne z systemów monitorujących.

Obowiązuje przy tym jedna zasada: wskaźnik ma odpowiadać na pytanie decyzyjne. Wartość, która nie wpływa na żadną decyzję ani na alokację zasobów, nie powinna trafiać do raportu zarządczego.

Niepowodzenia w tym modelu wynikają rzadziej z kompetencji doradcy, a znacznie częściej ze sposobu osadzenia funkcji w strukturze organizacji. Poniżej najczęstsze przyczyny.

Umowa na doradztwo różni się od umowy wdrożeniowej tym, że nie da się w niej opisać rezultatu jednym zdaniem. Nie kupujecie systemu, który albo działa, albo nie — kupujecie funkcję, która ma prowadzić organizację przez czas. Dlatego zapisy powinny opisywać rytm pracy i produkty, a nie obiecywać poziom bezpieczeństwa, którego nikt uczciwie nie zagwarantuje.

Odrębnego uregulowania wymaga tryb postępowania w sytuacjach nadzwyczajnych. Incydent bezpieczeństwa, kontrola organu nadzoru lub pilna ankieta bezpieczeństwa od kluczowego klienta wykraczają poza ustalony wymiar współpracy. Brak takich zapisów oznacza konieczność negocjowania warunków pod presją czasu.

Osobno warto zapisać kwestię własności dokumentacji. Rejestr ryzyka, polityki, procedury i dowody zgodności powstają na Wasz użytek i powinny zostać w firmie bez żadnych warunków — także wtedy, gdy współpraca kończy się przedwcześnie.

Tempo pierwszych tygodni zależy w większym stopniu od organizacji niż od doradcy. Im wcześniej uzyska on dostęp do interesariuszy i dokumentacji, tym szybciej przejdzie od analizy do rekomendacji. Kilka elementów warto przygotować jeszcze przed rozpoczęciem współpracy.

Kluczowe znaczenie ma wyznaczenie osoby dysponującej czasem i umocowaniem do zapewnienia dostępu do interesariuszy. Nie musi być specjalistą w obszarze bezpieczeństwa — powinna natomiast znać podział odpowiedzialności w organizacji i mieć pozycję pozwalającą zaangażować każdy dział. Brak takiego umocowania jest najczęstszą przyczyną wydłużenia fazy rozpoznania.

Drugim warunkiem jest rzetelna informacja o stanie wyjściowym. Obszary nieuporządkowane i tak zostaną zidentyfikowane w toku analizy, a ich pomijanie wyłącznie opóźnia rozpoczęcie działań naprawczych. Projekty o najlepszym przebiegu rozpoczynają się od otwartej deklaracji, że dokumentacja wymaga aktualizacji, a procedury odtworzeniowe nie były testowane.

Jakość usług doradczych na rynku jest zróżnicowana, a określenie vCISO nie podlega ochronie ani certyfikacji. Posługują się nim zarówno doświadczeni praktycy, jak i podmioty, dla których jest to wyłącznie rozszerzenie oferty. Kilka pytań pozwala zweryfikować rzeczywisty poziom kompetencji.

Najważniejsze z nich dotyczy niezależności. Doradca, który zarabia na prowizji od sprzedanych licencji, ma wbudowany konflikt interesów: jego rekomendacja zawsze będzie ciążyć w stronę zakupu. Warto zapytać wprost o model wynagrodzenia i powiązania z producentami.