Virtuele CISO: wat bepaalt de kosten en hoe werkt het contract?

Wat een virtuele CISO (vCISO) is

Een virtuele CISO vervult de rol van Chief Information Security Officer of Information Security Officer zonder op uw loonlijst te staan. In de praktijk geeft hij leiding aan het informatiebeveiligingsprogramma, rapporteert hij risico-indicatoren aan de raad van bestuur, houdt hij toezicht op de naleving van regelgeving en vervult hij de taken van een interne beveiligingsfunctionaris binnen de bevoegdheden die in het contract zijn vastgelegd, op basis van een dienstverleningsovereenkomst in plaats van een arbeidsovereenkomst.

Deze functie is ontstaan omdat de meeste kleine en middelgrote ondernemingen, en veel middelgrote bedrijven, met hetzelfde probleem kampen: zij hebben behoefte aan leidinggevend personeel op het gebied van informatiebeveiliging, maar beschikken niet over voldoende werkvolume of budget om een fulltime leidinggevende functie te rechtvaardigen. Een vCISO vult die leemte in met het juiste ervaringsniveau, afgestemd op de daadwerkelijke omvang van uw organisatie.

Wat bepaalt de kosten van een vCISO?

Er bestaat in Nederland geen standaardmarkttarief voor een vCISO, en een cijfer dat zonder context wordt gepubliceerd, zegt u weinig. Wat er wel bestaat, is een reeks concrete factoren die de prijs bepalen. Dit zijn de vijf belangrijkste.

Hoe berekent u de maandelijkse kosten van een vCISO?

U kunt zien hoe de maandelijkse vergoeding tot stand komt, ook zonder dat er een gepubliceerde tarieflijst beschikbaar is. De meeste offertes volgen deze logica:

Een bedrijf dat twee dagen per maand reserveert, betaalt voor die vastgelegde capaciteit, plus eventuele afzonderlijk overeengekomen diensten: een eerste beoordeling, noodhulp of specifieke projecten. Dit zijn de onderdelen die doorgaans in de berekening worden meegenomen:

Om u een idee te geven van hoe de capaciteit doorgaans wordt bepaald, volgen hier drie voorbeelden van opstellingen (dit zijn geen marktstandaarden of offertes van Cyvra):

• Licht fractioneel, 1 tot 2 dagen per maand: een bestaand programma dat toezicht door het hoger management vereist.
• Standaard fractioneel, 3 tot 5 dagen per maand: actief beveiligingsbeleid, coördinatie van leveranciers en werkzaamheden op het gebied van naleving.
• Interim-leiderschap, 2 tot 5 dagen per week gedurende een bepaalde periode: het opbouwen of stabiliseren van de functie, of het opvullen van een vacature.

Contractvormen: interim en fractioneel

Twee veelvoorkomende manieren om een vCISO in te schakelen zijn op interim-basis en op fractionele basis. Bij Cyvra organiseren wij virtueel beveiligingsleiderschap voornamelijk in deze twee vormen.

Interim-CISO. Een contract voor bepaalde tijd, dat doorgaans wordt ingezet om een vertrek op te vangen, de beveiligingsfunctie voor het eerst op te zetten of een specifiek project of een audit uit te voeren. De opdracht heeft een duidelijk begin- en eindmoment, met een ordelijke overdracht aan het einde, hetzij aan een vaste medewerker, hetzij in de vorm van een fractioneel contract.

Fractionele CISO. Een doorlopend contract waarbij elke maand een vast aantal dagen wordt gereserveerd. De vCISO woont bestuurs- en auditvergaderingen bij, onderhoudt de relaties met beveiligingsleveranciers en zorgt ervoor dat de beveiligingsrijpheid gelijke tred houdt met de bedrijfsontwikkeling. Dit is het meest gangbare model voor bedrijven die behoefte hebben aan permanent toezicht, zonder de kosten van een fulltime medewerker.

Bij Cyvra hanteren wij een minimale initiële looptijd van drie maanden. Deze periode stelt ons in staat om inzicht te krijgen in de omgeving, de risico's in kaart te brengen, prioriteiten te stellen en de eerste resultaten aan de raad van bestuur te presenteren, voordat de samenwerking op fractionele basis wordt voortgezet. Voor sommige organisaties is drie maanden wellicht niet voldoende.

Virtuele CISO versus IT-adviesbureau

Mensen verwarren deze twee diensten vaak met elkaar, en het verschil is van belang wanneer u beslist wat u wilt aanschaffen.

Een beveiligingsadviesbureau werkt doorgaans binnen een vastgestelde reikwijdte of aan een specifiek project, hoewel het ook doorlopende diensten kan verlenen. Een vCISO wordt onderdeel van uw bestuursstructuur en geeft leiding aan het beveiligingsprogramma op doorlopende of interim-basis, waarbij de verantwoordelijkheden, bevoegdheden, te leveren resultaten en aansprakelijkheid in het contract worden vastgelegd.

In de praktijk neemt de vCISO de leiding en het dagelijks beheer van het programma op zich. Hij of zij stelt prioriteiten voor, begeleidt het vaststellen van de risicobereidheid, houdt toezicht op de beheersmaatregelen en rapporteert de resultaten aan de raad van bestuur. Het goedkeuren van de risicobereidheid, het aanvaarden van significante risico's en beslissingen die voorbehouden zijn aan het management blijven bij uw organisatie. Dat is van belang wanneer een verbetering kostbaar is, wanneer een kritiek systeem niet kan worden gepatcht, of wanneer een bedrijfsonderdeel een hoog restrisico wil aanvaarden: de vCISO doet aanbevelingen en de raad van bestuur beslist.

De vCISO vervult een contractueel vastgelegde leidinggevende functie. De operationele uitvoering kan worden uitgevoerd door uw interne team, uw MSP, een SOC/MDR-aanbieder of gespecialiseerde leveranciers. Continue monitoring, penetratietests, noodhulp en onafhankelijke audits dienen afzonderlijk te worden gecontracteerd en vastgelegd, indien deze geen deel uitmaken van de overeenkomst.

Wanneer dezelfde dienstverlener zowel leidinggevende taken op het gebied van beveiliging als implementatiediensten verzorgt, dient in het contract aandacht te worden besteed aan mogelijke belangenconflicten en aan de wijze waarop de resultaten zullen worden gevalideerd. Audits en beoordelingen waarvoor onafhankelijkheid vereist is, dienen te worden uitgevoerd door personen of afdelingen die over de nodige onpartijdigheid beschikken.

Is het de moeite waard voor een MKB-bedrijf?

Een vCISO-oplossing is zinvol wanneer uw bedrijf al te maken heeft met reële beveiligingsrisico's en nalevingsverplichtingen, maar onvoldoende werkvolume heeft om een fulltime beveiligingsmanager te rechtvaardigen. Typische voorbeelden zijn middelgrote ondernemingen in gereguleerde sectoren, of kleinere bedrijven die omgaan met gevoelige klantgegevens, betaalkaarten of gezondheidsinformatie.

Het is minder zinvol wanneer de organisatie zo klein is dat uw eigen IT-team de basisbeveiligingsmaatregelen kan beheren, zonder dat er sprake is van aanvullende wettelijke vereisten. In dergelijke gevallen volstaat doorgaans een eenmalige audit of een gerichte adviesopdracht om aan de behoefte te voldoen, zonder dat een doorlopend contract nodig is.

Vervangt een virtuele CISO een interne CISO?

Een vCISO kan dezelfde strategische verantwoordelijkheden dragen als een interne CISO, waarbij de reikwijdte, bevoegdheden en tijdsbesteding in het contract worden vastgelegd. De tijdsbesteding wordt afgestemd op de daadwerkelijke behoeften van de organisatie, en of dit model geschikt is, hangt af van de complexiteit en de risico's van uw onderneming. Voor een bedrijf dat onvoldoende werk heeft voor een fulltime functie, is deze afstemming een voordeel.

Naarmate de organisatie groeit, kan het model mee evolueren. Bedrijven beginnen vaak met een fractionele vCISO en nemen, zodra zij voldoende omvang hebben bereikt, een fulltime interne CISO in dienst, waarbij de vCISO de overgang ondersteunt en kennis overdraagt.

Aansprakelijkheid en wettelijke verantwoordelijkheid van de vCISO

Elke raad van bestuur dient deze vraag te stellen alvorens het contract te ondertekenen, en het juiste antwoord hangt af van het contract zelf en niet van een algemene regel.

Een op de juiste wijze gecontracteerde vCISO vermindert het risico in plaats van een nieuwe risicolaag toe te voegen, mits in het contract duidelijk is vastgelegd wie welke beslissingen neemt en wie verantwoordelijk is voor elke beslissing. Wij raden aan om elk vCISO-contract vóór ondertekening door een onafhankelijke jurist te laten beoordelen.

Controleer voordat u ondertekent of het contract de volgende punten omvat:

Hoe u beveiligingsstatistieken aan de raad van bestuur rapporteert

Een van de eerste resultaten die een bekwame vCISO kan leveren, is een rapportagestructuur die de raad van bestuur daadwerkelijk begrijpt. Dat betekent doorgaans een verschuiving van technische kengetallen (aantal kwetsbaarheden, aangebrachte patches) naar indicatoren voor bedrijfsrisico's, zoals:

• kritieke risico's en de ontwikkeling daarvan;
• achterstallige cruciale herstelmaatregelen;
• herstelcapaciteit voor kritieke diensten;
• het toepassingsgebied van identiteits- en beveiligingsmaatregelen;
• belangrijke voorvallen en daaruit getrokken lessen;
• regelgevende en controlemaatregelen, met de bijbehorende termijnen;
• beslissingen inzake risicoacceptatie waarvoor de raad van bestuur vereist is;
• voortgang van de begroting en het stappenplan.

Ramingen van het financiële risico kunnen nuttig zijn, maar er is veel onzekerheid aan verbonden. Wanneer u hiervan gebruikmaakt, leg dan de methode, de aannames en de mate van onzekerheid vast.

De frequentie van de rapportage dient af te hangen van de ernst van de risico's, de mate van volwassenheid van het programma en de bestuurscyclus van uw onderneming. Maandelijkse rapportages kunnen geschikt zijn voor een opstart- of herstelfase; driemaandelijkse presentaties kunnen dienen ter ondersteuning van het strategisch toezicht door de raad van bestuur. Incidenten en kritieke risico's vereisen rapportage buiten de normale cyclus om.

Een veiligheidsactieplan voor 90 dagen

Bij een vCISO-opdracht dienen doelstellingen, te behalen resultaten en prioriteiten voor de eerste 90 dagen te worden vastgesteld, afgestemd op de ontwikkelingsfase van uw bedrijf en de meest urgente risico's. Een gangbare structuur verdeelt deze periode in drie fasen.

Dag 1 tot en met 30: beoordeling. Het in kaart brengen van bedrijfsmiddelen, het beoordelen van bestaand beleid, een nalevingscontrole aan de hand van de voor u geldende regelgeving (zoals de AVG, DORA, NEN 7510 of PCI DSS), gesprekken met belangrijke teams en een eerste risicobeoordeling om de meest urgente tekortkomingen op te sporen. Kritieke risico's die in deze fase worden vastgesteld, dienen te worden gemeld en aangepakt op basis van hun urgentie, zonder te wachten tot de beoordeling is afgerond.

Dag 31 tot en met 60: prioriteitenstelling en actieplan. De risico's uit de eerste fase worden geprioriteerd, waarbij oplossingen, verantwoordelijken en deadlines worden vastgesteld. In deze fase wordt begonnen met het uitvoeren van de prioritaire oplossingen, in samenwerking met het interne team en leveranciers, waarbij het tempo afhangt van het budget en van wie elk onderdeel uitvoert.

Dag 61 tot en met 90: follow-up en eerste officiële verslag. Het toezicht houden op de uitvoering van het plan en het voorleggen van het eerste gestructureerde verslag aan de raad van bestuur, waarmee het ritme voor de rest van de contractperiode wordt bepaald.