Публикуваните варианти на Диасол
Страницата за външни роли публикува три нива на месечен капацитет: 1 400 € за един ден, 2 600 € за два дни и 4 900 € за четири дни. Един експертен ден е осем часа и може да се използва на части. Допълнителен договорен старши експертен ден е 1 300 €. Това са публикуваните варианти на Диасол, а не средни пазарни цени или обещание за неограничена функция по сигурността.
Подготовката, анализът, срещите, писмените отговори и договорената координация използват този капацитет. Крайният обхват и цената се потвърждават писмено. Обхватът и условията за работа обясняват и прехвърлянето: до половината месечен капацитет може да се използва през следващия месец, след което изтича. Потвърдете условията в договора, вместо да планирате, че цялото неизползвано време се натрупва безсрочно.
Уточнете коя отговорност купувате
Външният CISO може да помага на ръководството да определя приоритети, да тълкува доказателства, да координира отговорниците и да формулира решенията за сигурността. Човекът, ангажиран да съветва, не става автоматично администраторът, който изпълнява всяка промяна. Месечната консултантска работа също не установява сама по себе си денонощна услуга за реакция при инциденти.
Запишете кои решения остават при ръководството, кои задачи са на ИТ и коя работа принадлежи на външния отговорник. Например той може да преглежда изключенията в достъпа и да докладва нерешения риск; вътрешният администратор да изпълнява одобрените промени; бизнес отговорникът да приема остатъчния риск. Сравнението между CISO, външен CISO и ИТ мениджър помага първо да се уточни организационната граница.
Планирайте един месец преди избора
Започнете с работата, която предстои, зависимостите и оценката на необходимото време. Кратка среща може да изисква значителна подготовка, ако никой още не е съпоставил доказателствата. Въпросникът на банка може да включва правни ангажименти и информация от доставчици наред с техническите отговори. Назоваването на тези зависимости прави оценката полезна.
Измислено разпределение на осем часа може да включва два часа за доказателства, два за координация, два за подготовка на управленска дискусия, един за нея и един за дневника на решенията. То илюстрира само аритметиката на капацитета. Не е стандартен пакет, обещание за ниво на обслужване или гаранция, че вашият преглед се побира в един ден.
Сега добавете непредвидена клиентска заявка. Решете предварително дали тя измества планирана работа, използва допълнително договорено време или изчаква. Без такова решение месечният отчет може да изглежда завършен, докато най-спешният бизнес въпрос остава без отговор.
Сравнявайте офертите на една основа
| Въпрос при избора | Какво трябва да уточнява офертата |
|---|---|
| Кой изпълнява работата? | Водещ експерт, участници и заместване |
| Какво използва времето? | Подготовка, разговори, преглед, писмена работа и координация |
| Какво става при спешност? | Канал, договорен отговор и изключения |
| Какво остава след месеца? | Решения, препратки към доказателства, действия, отговорници и дати |
| Какво изисква друг бюджет? | Внедряване, лицензи, специализирано изпитване или отделни проекти |
Поискайте списък с приоритети за първия месец и критерии за приемане. „Подобряване на зрелостта“ е твърде широко, за да се провери срещу фактура. „Преглед на договорените изключения в достъпа, описание на нерешените въпроси и определяне на отговорници за корекциите“ може да се оцени, когато системите и доказателствата са уточнени.
Кога отделен проект е по-подходящото начало
Ако непосредствената нужда е ограничен въпрос, отделната оценка може да е по-полезна от отворен месечен ангажимент. Примери са приложимост на регулация, един клиентски въпросник или определен проблем с пощата. Когато липсва надеждна начална картина, договорете как създаването ѝ се отразява на месечния капацитет.
Ако повтарящата се работа надвишава предложеното време, обсъдете това открито. Евтин абонамент с неясна отговорност може да създаде повече координационна работа за клиента. По-големият капацитет има смисъл, когато има съгласувани задачи и хора, които могат да действат по резултатите.
Работен лист и следващ разговор
Използвайте листа за сравнение на обхвата на външен CISO, за да запишете решенията, резултатите, часовете, наличността и изключенията за всяка оферта. Оставяйте неизвестните условия като въпроси. Не отбелязвайте неуточнен ангажимент като включен.
За полезен първи разговор подгответе причината да търсите ръководство сега, най-важния срок и хората, които вече отговарят за ИТ и сигурността. Диасол може да предложи подходяща външна роля и капацитет. Ръководството запазва отговорностите си; ангажиментът трябва да му помага да ги упражнява с доказателства.