Постоянна подкрепа

vCISO (виртуален CISO) и Compliance-as-a-Service

Нужно ли ви е ръководство по сигурността без назначаване на пълен работен ден? Външният, или виртуален CISO (vCISO), е специалист, който изпълнява договорени ръководни функции с определен капацитет. Работим дистанционно, а присъствие на място се уточнява според задачите. Преди съвместяване на роли оценяваме работата, приложимостта и независимостта. Законовата отговорност остава при вашия управителен орган.

Compliance-as-a-Service (CaaS): постоянна подкрепа по съответствието

Проверката приключва, но изискванията остават. Поддържаме договорената работа по изискванията за киберсигурност и управление на риска, свързан с ИКТ: срокове, доказателства, пропуски и отчетност. Други специализирани функции, включително длъжностно лице по защита на данните, се договарят отделно според приложимостта, капацитета и независимостта. Услугата е подходяща, когато тези задачи се повтарят, а вътрешният екип има нужда от експертен капацитет и координация.

Какво договаряме за всеки месец

Календар и промени: Преглед на договорените изисквания и срокове; оценка дали промяна засяга организацията.
Доказателства: Преглед на избраните записи, валидността им и липсващите потвърждения; поддържане на указател към тях.
Рискове и действия: Актуализация на приоритетите, отговорниците и сроковете; проследяване на възложените корекции.
Отчет към ръководството: Какво е проверено, какво остава непотвърдено, кои решения или ресурси са необходими.

Преди началото определяме дружествата, приложимите направления, източниците, достъпа, месечния капацитет и честотата на прегледите. Месечният план избира задачи според риска и наличните часове. Всеки отчет показва извършеното, доказателствата и отложената работа. Изброените дейности не са обещание, че всички ще бъдат изпълнявани в най-малкия абонамент.

Пример за месечен резултат

Предстои клиентска проверка. Преглеждаме договорен набор от доказателства, установяваме кои са остарели, посочваме отговорник за всяка липса и подготвяме кратък отчет за решенията на ръководството. Това е илюстративен обхват; количеството документи и нужният капацитет се уточняват предварително.

CaaS и външен CISO / vCISO: каква е разликата?

CaaS организира текущата работа по съответствието. Външният CISO, наричан и vCISO (виртуален CISO), е определен специалист, който осигурява договорено ръководство по сигурността — приоритети, риск, управленска отчетност и координация. Двете могат да се съчетаят след оценка на натоварването и независимостта, но една месечна такса не означава неограничени функции.

Управленските решения и законовата отговорност остават при клиента. Сертификация, независим одит, правно представителство, денонощна реакция и техническо внедряване не се включват автоматично. Часовете за наличност, сроковете за отговор и допълнителната работа се договарят писмено. Не обещаваме положителен одит или приемане от регулатор.

Месечният капацитет започва от 1 400 € за един експертен ден (8 часа), при ограничен договорен обхват. По-долу са останалите нива и условия. Първоначално отстраняване на натрупани пропуски може да изисква отделен проект.

Първият разговор е безплатен. След уточняване на нуждите получавате писмено предложение с обхват, резултати, капацитет и отговорности.

Обсъдете месечна подкрепа по съответствието

Работен лист за обхвата на CaaS (TXT) · Как да сравните месечния капацитет и цената на външен CISO

Постоянна подкрепа	На какво се основава	Закон, стандарт или организационен избор
Външна подкрепа на контролната функция по ИКТ риска	DORA, чл. 6, § 4 изисква обхванатите финансови субекти, различни от микропредприятията, да възложат управлението и надзора на ИКТ риска на контролна функция с подходяща независимост. Чл. 6, § 10 допуска външно възлагане на задачи за проверка на съответствието; субектът запазва функцията, надзора и пълната отговорност. Случаите по чл. 16 се проверяват отделно	Закон
Служител по киберсигурност (NIS2)	Закон за киберсигурност (ЗКС) и наредбата за минималните мерки — дали се изисква определено лице, се потвърждава за вашия вид субект	Закон
Длъжностно лице по защита на данните	Чл. 37 от ОРЗД — за публични органи, освен съдилища при правораздаване; когато основните дейности включват редовно и систематично мащабно наблюдение или мащабно обработване на специални категории данни или данни за присъди и нарушения. Може да е външно лице; без конфликт на интереси	Закон
Отговорности по информационна сигурност	ISO/IEC 27001, т. 5.3 изисква ролите и отговорностите да бъдат възложени и съобщени — изискване на стандарта, а не законова длъжност с определено наименование	Стандарт
Отговорник по управление на ИИ	ISO/IEC 42001 — възложени отговорности по стандарта. Регламентът за ИИ възлага задължения на организацията: чл. 26 — на внедрителите, други членове — на доставчиците; не създава длъжност „отговорник по ИИ“	Стандарт
Отговорност за риска от трети страни и ИКТ	За обхванатите финансови субекти, които не са микропредприятия, чл. 5, § 3 DORA изисква роля за наблюдение на договореностите с ИКТ доставчици или възлагане на тази отговорност на висшето ръководство. Длъжностното наименование и моделът на работа се определят за организацията. NIS2 също изисква пропорционални мерки за веригата на доставки.	Закон
Отговорности по непрекъснатост на дейността	ISO 22301 изисква възложени отговорности. Чл. 11, § 7 от DORA изисква и функция за управление на кризи за обхванатите финансови субекти, различни от микропредприятията. Случаите по чл. 16 се проверяват отделно. Не се предписва конкретно длъжностно наименование.	Закон
Координатор по докладване на инциденти	NIS2, DORA и Регламентът за киберустойчивост определят законови срокове за докладване; координаторът, който изпълнява процедурата, е организационен избор	Организационен избор
Канал за сигнали — приемане и регистриране	Директива (ЕС) 2019/1937 и ЗЗЛПСПОИН: работодатели в частния сектор с 50 и повече служители, а независимо от броя — при дейност по актовете на ЕС от приложението към закона (напр. финансови услуги, мерки срещу изпирането на пари) — чл. 12, ал. 1. Според указанията на КЗЛД външно лице може само да приема и регистрира писмени сигнали; разглеждането остава при вътрешен определен служител	Закон
Временно заместване на ваш служител	Непрекъснатост на задължителна длъжност, докато назначите човек	Организационен избор

Закон Законово задължение в определени случаиСтандарт Изискване на стандарт, по който избирате да се сертифициратеОрганизационен избор Организационен избор — задълженията съществуват, длъжността не е определена от закон

Подходящият модел на възлагане зависи от функцията, отговорностите, натоварването и необходимата независимост. Може да откажем недостатъчен обхват.

Посочените нива са за текуща работа по сигурност и управление на ИКТ риска. За ДЛЗД и други специализирани функции определяме обхвата, капацитета и цената отделно.

Съвместяване на функции. Дали едно лице може да изпълнява няколко функции, зависи от конфликтите на интереси и от капацитета: длъжностното лице по защита на данните например не може същевременно да определя целите и средствата на обработването. Оценяваме това за вашата организация и оферираме съответно.

Месечната подкрепа е с ясно договорено време

Месечната подкрепа включва договорен обем работа, а не неограничена наличност. Публикуваме го, за да можете ясно да сравните услугата.

Месечният ангажимент включва планиран капацитет, договорен прозорец за реакция и публикуваните условия за прехвърляне на часове. Отделно възложеният ден е насрочена работа и сам по себе си не създава постоянна наличност за реакция. Условията за определен заместник се потвърждават в договора.

Месечен вариант	На месец	Включено
1 ден месечно	1 400 €	8 часа експертна работа
2 дни месечно	2 600 €	16 часа експертна работа
4 дни месечно	4 900 €	32 часа експертна работа
Публикувана дневна ставка	1 300 €

Един експертен ден е осем часа работа, използваеми на части — подготовка, анализ, срещи, писмени отговори и договорена координация влизат в този обем. Няма неограничен труд между срещите.

Извън договорения работен прозорец стандартният абонамент не осигурява поет ангажимент за незабавна реакция или техническо овладяване. Използвайте уговорения за вашата организация ред при инциденти. Договорът определя часовете, часовата зона и ескалацията; среща в друга часова зона не разширява прозореца.

Сравнявайте отговорностите, а не само часовете. ИТ доставчикът може вече да изпълнява част от задачите по сигурността. Уточняваме покритото, решенията при ръководството и нуждата от допълнително управление или независим преглед. При трайно превишаване на капацитета обсъждаме по-голям обем или вътрешна роля. Сравнение на цена и отговорности →

Можете да прехвърлите за един месец неизползвано време до половината от месечния обем; прехвърленото време се използва първо и изтича в края на следващия месец.
Преди използване на допълнителни дни потвърждаваме писмено дали остават еднократни дни или се прилага по-голям месечен вариант и от кой месец. Когато по-големият вариант е по-евтин за нужния капацитет, предлагаме него.
Реакция при критичен случай до 4 работни часа в договорения работен прозорец означава потвърждение и първи насоки, не разрешаване на инцидента; в останалите случаи — до 1 работен ден. Работният прозорец, каналът и определен заместник се посочват в договора.
Не обещаваме 24/7 в стандартната услуга. Където е нужно денонощно покритие, го договаряме отделно с проверен партньор след потвърдена наличност. Кой приема сигнала за инцидент, кога и какво прави Диасол е описано в помощ при инцидент.
Можете да прекратите по всяко време с 30-дневно предизвестие.

Как изглежда Ниво 1 през първите 90 дни

Месец 1Писмо за назначаване и описание на длъжността; опис на това, за което длъжността отговаря; регистър на решенията и сроковете, които се повтарят.

Месец 2Първият документиран цикъл: регулярният преглед, поддържан актуален регистър на доставчиците или инцидентите, първата бележка, четима от ръководството.

Месец 3Установен ритъм — един ден месечно е ритъм за преглед, не щатен служител. Ако натоварването трайно надвишава нивото, го казваме и преминавате на по-високо ниво или назначавате човек.

Как може да се използва включеното време

Илюстративно разпределение за ограничен договорен обхват. Не е гарантиран списък с резултати за всяка функция.

Ниво	Пример
1 — 8 часа	2 ч подготовка, 1 ч работна среща, 3 ч преглед по избрана тема, 2 ч писмена бележка и актуализация на договорения регистър.
2 — 16 часа	3 ч подготовка, 2 ч срещи, 7 ч договорени прегледи, 4 ч документация и проследяване.

Разпределението се променя според задачите. Нов казус или инцидент може да измести планирана дейност. Изпълнението на технически промени и управленските решения остават при определените в договора отговорници.

Кой	Какво прави
Диасол	Анализира, препоръчва и документира договорената работа.
Клиентът	Взема управленските решения и осигурява изпълнението.
Независим оценител	Извършва приложимата независима проверка.

Независимост. Когато подкрепяме контролната функция по ИКТ риска или изпълняваме възложени задачи за проверка на съответствието, не действаме като ваш ИКТ одитор; финансовият субект запазва функцията, надзора и отговорността; когато изграждаме системата ви за управление, сертификацията или независимата оценка се извършва от друг орган. Проверката, че собствените ни корекции работят, остава част от приемането на работата. Описваме това писмено, преди да ни наемете.

Да обсъдим от какъв експерт имате нужда

Образци и подготовка за възлагане

Примерите и работните листове показват как се описват резултатът, вашето участие и приемането. Конкретните условия се попълват и съгласуват за ангажимента.