什么是虛擬首席信息安全官？何時(shí)需要聘請(qǐng)他們？
由于信息安全只是IT行業(yè)中一個(gè)相對(duì)較新的領(lǐng)域，且只占行業(yè)的一小部分，所以首席信息安全官(CISO)是一種相對(duì)而言較為稀缺的人才，雖然多數(shù)大型企業(yè)現(xiàn)在都自稱擁有CISO、CSO(首席安全官)或是信息安全主管，但許多企業(yè)仍然沒有。畢竟事實(shí)上，通常情況下，公司都是在數(shù)據(jù)泄露之后才任命第一位CISO，比如Target 和TalkTalk以及索尼公司都是如此。
然而，想要發(fā)展成為一名CISO，并且是一名優(yōu)秀的CISO卻并非易事。有數(shù)據(jù)表明，信息安全領(lǐng)域存在的技術(shù)缺口已達(dá)約150萬至200萬人。那么，如果您的公司沒有CISO，該怎么辦呢?這時(shí)候，虛擬CISO(vCISO)便應(yīng)運(yùn)而生了。虛擬CISO通常為外包的安全從業(yè)人員，他們主要通過兼職或遠(yuǎn)程操作的形式，隨時(shí)為企業(yè)提供服務(wù)和技術(shù)支持。
企業(yè)家、CISO顧問兼《InSecurity: Why a Failure to Attract and Retain Women in Cybersecurity is Making Us All Less Safe》一書作者Jane Frankland表示，一個(gè)虛擬CISO就是一個(gè)在行業(yè)中工作多年的人，他們擁有豐富的經(jīng)驗(yàn)來處理各種不同的情況，并指導(dǎo)您的企業(yè)(機(jī)構(gòu))進(jìn)行信息安全管理。他說，“通常這些CISO從事設(shè)計(jì)企業(yè)的安全戰(zhàn)略，有些可能還負(fù)責(zé)管理實(shí)施。許多人還成為董事會(huì)成員、主要利益相關(guān)者和監(jiān)管機(jī)構(gòu)人員。“
你需要一名虛擬CISO嗎?
不得不承認(rèn)，聘請(qǐng)一名虛擬CISO確實(shí)有一定實(shí)際意義。也許憤世嫉俗者會(huì)提出這樣的質(zhì)疑：既然公司可以簡(jiǎn)單地聘用一名長(zhǎng)期合同工，為什么還需要虛擬CISO呢?所以，對(duì)于到底需不需要聘請(qǐng)?zhí)摂MCISO，需要根據(jù)企業(yè)的具體情況而定。對(duì)于初創(chuàng)企業(yè)而言，資源有限，最優(yōu)秀的CISO身價(jià)昂貴，他們想要聘請(qǐng)到技能嫻熟的全職CISO并不是一件易事，即便聘請(qǐng)到也存在被競(jìng)爭(zhēng)對(duì)手挖走的可能性。
相比之下，虛擬CISO的優(yōu)勢(shì)就凸顯出來了。讓我們通過下述一組數(shù)字了解一下這種優(yōu)勢(shì)：一名全職CISO每年收入是10萬美元以上，如果需要的話，一名兼職CISO可以大幅度降低成本(如果行業(yè)標(biāo)準(zhǔn)可信的話，大約只有全職CISO年成本的30%至40%)。
此外，您還可以按一定的工作時(shí)間來雇傭一名兼職CISO，或者按項(xiàng)目來雇傭。你甚至可以在需要的時(shí)候，雇傭CISO一段時(shí)間來做技術(shù)支持。簡(jiǎn)而言之，這是一種在您需要時(shí)獲得最佳網(wǎng)絡(luò)安全人才的方式，而且只需付出很少的費(fèi)用。
雖然不同的虛擬CISO會(huì)提供不同的技能組合，但是絕大多數(shù)人都能夠承擔(dān)從戰(zhàn)術(shù)到戰(zhàn)略的各項(xiàng)任務(wù)。他們可以直接了解您最緊迫的問題，并且負(fù)責(zé)從與安全和合規(guī)團(tuán)隊(duì)就標(biāo)準(zhǔn)、方針和安全策略進(jìn)行溝通，到進(jìn)行企業(yè)風(fēng)險(xiǎn)評(píng)估，確保其符合PCI和HIPAA等標(biāo)準(zhǔn)的工作。此外，他們還能夠幫助企業(yè)招聘，為企業(yè)制定并監(jiān)督實(shí)施BYOD政策，培訓(xùn)新成立的CISO，以及在全職CISO缺席時(shí)幫助管理董事會(huì)關(guān)系。
毫無疑問，這種模式非常適用于初創(chuàng)企業(yè)以及發(fā)展中的企業(yè)。Frankland認(rèn)為，虛擬CISO最適合大部分中小型企業(yè)(SME), 因?yàn)榇蠖鄶?shù)中小企業(yè)可能沒有預(yù)算雇用一名全職安全專業(yè)人員，而是需要短期指導(dǎo)，以幫助他們處理中長(zhǎng)期的戰(zhàn)術(shù)問題和戰(zhàn)略計(jì)劃。
Ben De La Salle(曾為Old Mutual Wealth公司CISO，2017年10月離職后創(chuàng)立ICA Consultancy)就是一位虛擬CISO，他也認(rèn)同中小型企業(yè)將是最大的獲益方。“創(chuàng)業(yè)公司和成長(zhǎng)型企業(yè)都是虛擬資源合作模式的最佳人選。大多數(shù)此類企業(yè)都需要具備擁有高技能的專業(yè)人士，能夠清楚地了解企業(yè)內(nèi)的威脅情況，并根據(jù)監(jiān)管要求制定出適合企業(yè)發(fā)展的戰(zhàn)略路線圖。”
成為一名優(yōu)秀的虛擬CISO需要具備哪些條件?
Brian Honan是愛爾蘭創(chuàng)業(yè)公司BH Consulting的創(chuàng)始人，其公司的業(yè)務(wù)就是為客戶提供vCISO服務(wù)，幫助客戶接觸更多經(jīng)驗(yàn)豐富的網(wǎng)絡(luò)安全顧問來為他們提供持續(xù)的咨詢服務(wù)。他說，“對(duì)于一名優(yōu)秀的虛擬CISO來說，首先也是最為重要的一點(diǎn)是，必須成為董事會(huì)的良好溝通者。您最終的目的是與來自不同背景和行業(yè)的客戶企業(yè)合作，因此您需要能夠清楚地溝通與信息安全相關(guān)的業(yè)務(wù)所面臨的業(yè)務(wù)風(fēng)險(xiǎn)。”
Honan還補(bǔ)充道，“一名優(yōu)秀的虛擬CISO還需要能夠快速地適應(yīng)和學(xué)習(xí)，因?yàn)槟枰焖僬莆湛蛻艚M織的獨(dú)特業(yè)務(wù)環(huán)境以及該業(yè)務(wù)的關(guān)鍵戰(zhàn)略目標(biāo)，一旦虛擬CISO了解這些信息后，他們需要具備將信息安全戰(zhàn)略與客戶企業(yè)的業(yè)務(wù)戰(zhàn)略相整合的技術(shù)和能力。”
Nic Miller也于去年從歐洲對(duì)沖基金管理公司Brevan Howard的全職CISO一職轉(zhuǎn)為了Aedile Consulting公司的虛擬CISO。他補(bǔ)充道，“作為一名虛擬CISO，其關(guān)鍵職責(zé)就是識(shí)別和解釋企業(yè)在信息安全方面存在多大的風(fēng)險(xiǎn)，并制定合適的戰(zhàn)略以降低這些風(fēng)險(xiǎn)級(jí)別。企業(yè)有責(zé)任就他們認(rèn)為合適的風(fēng)險(xiǎn)水平與虛擬CISO們達(dá)成一致。此外，我認(rèn)為，虛擬CISO自身所具備的經(jīng)驗(yàn)應(yīng)該與其提供服務(wù)的企業(yè)相匹配，例如，如果您服務(wù)的是小型企業(yè)，而您自身經(jīng)驗(yàn)則是來自銀行或大公司，很顯然您可能無法滿足客戶的需求。當(dāng)然反之亦然。”
雇傭虛擬CISO時(shí)需要注意什么?
可以說雇傭vCISO的危險(xiǎn)之一在于，它是一個(gè)新生的且未知的領(lǐng)域。正如Miller所言，虛擬CISO是一個(gè)良莠不齊的服務(wù)，隨便在線搜索一下就會(huì)出現(xiàn)眾多您聞所未聞的供應(yīng)商。試想一想，虛擬CISO也是會(huì)犯錯(cuò)的首席信息安全官，同時(shí)這些被雇傭的人才對(duì)他們正在服務(wù)的企業(yè)幾乎沒有忠誠度或上下級(jí)關(guān)系。所以，在沒有廣泛審計(jì)的情況下，你能確保自己得到的會(huì)是什么質(zhì)量的服務(wù)嗎?你又如何能夠保證他們可以實(shí)現(xiàn)自己所說的任務(wù)?
作為愛爾蘭計(jì)算機(jī)安全事件響應(yīng)小組(CSIRT) 負(fù)責(zé)人和歐洲刑警組織顧問的Honan表示，咨詢行業(yè)必須要為“虛擬CISO將要做什么”確定一個(gè)清晰的定義，然后再與符合所需技能和知識(shí)的人員進(jìn)行接觸，以尋找到適合您的業(yè)務(wù)類型的且具備相關(guān)技能和經(jīng)驗(yàn)的人才。
De La Salle表示，企業(yè)應(yīng)該尋找更廣泛的行業(yè)經(jīng)驗(yàn)，并且需要考慮他們所需的虛擬資源類型(他們需要一種資源還是多種資源)。他說，“理解企業(yè)主題很重要，但是理解應(yīng)用程序的風(fēng)險(xiǎn)偏好更是至關(guān)重要。組織往往存在相互沖突的優(yōu)先事項(xiàng)，這意味著需要在業(yè)務(wù)最佳和安全理想之間尋找平衡點(diǎn)。然而，單靠行業(yè)經(jīng)驗(yàn)還遠(yuǎn)遠(yuǎn)不夠，虛擬資源同時(shí)與多個(gè)客戶共同運(yùn)行，他們必須具備快速無縫地在風(fēng)險(xiǎn)偏好和企業(yè)文化之間轉(zhuǎn)換的能力和經(jīng)驗(yàn)。”
曾經(jīng)在英國政府擔(dān)任資深信息安全要職的Miller還建議公司可以讓適當(dāng)?shù)娜素?fù)責(zé)領(lǐng)導(dǎo)并推動(dòng)項(xiàng)目運(yùn)行。他表示，“我遇到過最大的一個(gè)問題是，我知道公司具備哪些資源可以用來解決問題，也可以確定最高優(yōu)先級(jí)的緩解措施，但是卻難以在業(yè)務(wù)部門內(nèi)部尋找到領(lǐng)頭人來牽動(dòng)項(xiàng)目實(shí)施。”
虛擬CISO應(yīng)該如何與您的團(tuán)隊(duì)合作?
正如Honan所言，虛擬CISO如何與企業(yè)團(tuán)隊(duì)進(jìn)行合作取決于兩者間達(dá)成的約定以及現(xiàn)有的資源，但是唯一的要求是，這種整合過程必須是無縫且無痛的。他說，“虛擬CISO的存在完全是為了補(bǔ)充企業(yè)現(xiàn)有的能力。所以，虛擬CISO需要整合、利用、發(fā)展以及依賴現(xiàn)有的能力來發(fā)揮效用。”
長(zhǎng)期虛擬CISO Phil Cracknell表示，虛擬CISO如何與他們的團(tuán)隊(duì)合作完全取決于其承擔(dān)的角色。他解釋稱，“虛擬CISO可以作為現(xiàn)有資源的補(bǔ)充，但是也可以成為相關(guān)職能的領(lǐng)導(dǎo)者，例如，與董事會(huì)的溝通職能(現(xiàn)有的CISO對(duì)該級(jí)別的溝通能力不足)，或是作為導(dǎo)師和高級(jí)團(tuán)隊(duì)成員等方面的職能。”
Miller補(bǔ)充道，“虛擬CISO與現(xiàn)有IT團(tuán)隊(duì)有時(shí)候可以處得非常好，因?yàn)槟憧梢越忉屇慵尤胧菫榱酥С炙麄儯⒋_保他們能夠有足夠的時(shí)間和資源來正確地處理他們的工作。知道你不是來批評(píng)和懲罰他們之后，他們就能夠更公開地分享他們面臨的挑戰(zhàn)。”但是，他也表示，這種合作同時(shí)也存在諸多挑戰(zhàn)，這一點(diǎn)想必是不言而喻的。
成功實(shí)踐和挑戰(zhàn)
作為一名虛擬CISO，Honan表示自己已經(jīng)取得了一些成功，例如，幫助企業(yè)增強(qiáng)信息安全團(tuán)隊(duì)的能力以擴(kuò)大現(xiàn)有安全團(tuán)隊(duì)，以及幫助企業(yè)CISO在長(zhǎng)期的病假或產(chǎn)假過程中繼續(xù)他們的安全計(jì)劃等。但是他也承認(rèn)仍然存在挑戰(zhàn)，而這些挑戰(zhàn)通常是“由于企業(yè)的盲目期待或管理不當(dāng)”造成的。
Honan表示，“造成這種挑戰(zhàn)的原因在于，企業(yè)不切實(shí)際地期待虛擬CISO能夠在短時(shí)間內(nèi)解決所有問題;或者是由于組織只是盲目地加入虛擬CISO，而不從IT等其他關(guān)鍵業(yè)務(wù)領(lǐng)域入手;亦或是只是聘請(qǐng)?zhí)摂MCISO來履行審計(jì)要求，而不向他們提供必要的預(yù)算、自主權(quán)或完成任務(wù)所需的權(quán)限等。”
他繼續(xù)補(bǔ)充道，“虛擬CISO本質(zhì)上來說并不是一個(gè)長(zhǎng)期存在的職務(wù)，所以如果你想圍繞其作為首席信息安全官(CISO)的角色來建立一個(gè)團(tuán)隊(duì)或制定長(zhǎng)期的戰(zhàn)略，顯然是不可取的。”
此外，Miller和Frankland也都認(rèn)為，除了提出建議外，虛擬CISO不應(yīng)該提供任何東西(如審核客戶或?qū)嵤└?，就像律師或稅務(wù)專家的服務(wù)，由公司決定是否采納他們的建議。
Frankland強(qiáng)調(diào)稱，“由于虛擬CISO是在沒有預(yù)算的情況下運(yùn)行的，通常在出現(xiàn)問題的情況下并不會(huì)承擔(dān)任何責(zé)任，因此該角色應(yīng)該定義為顧問。安全是一項(xiàng)至關(guān)重要的任務(wù)，如果CISO想要取得進(jìn)展就必須獲取組織管理層和董事會(huì)的認(rèn)同和重視。對(duì)于這一點(diǎn)，虛擬CISO顯然并沒有辦法實(shí)現(xiàn)，因?yàn)樗麄兪遣豢梢姷?遠(yuǎn)程工作)卻并不會(huì)長(zhǎng)期存在。”
【本文是51CTO專欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
