Fractional CISO

Sorun genellikle bilgi eksikliği değil, sahiplik eksikliğidir

Çoğu orta ölçekli kurumda güvenlik, BT müdürünün zaten dolu olan gündemine eklenmiş bir başlıktır. Zafiyet raporu gelir, listeye eklenir ve acil bir işin altında kalır. Kimse kötü niyetli değildir; kimsenin birincil sorumluluğu da değildir.

Tam zamanlı bir CISO istihdam etmek çoğu kurum için ne bütçe ne de iş yükü açısından anlamlıdır. Fractional CISO modeli bu boşluğu doldurur: rolü kısmi zamanlı üstleniyoruz, kararları alıyor ve sonuçlarını raporluyoruz.

Ne yapıyoruz?

Teknik bir CISO, kâğıt üzerinde bir CISO değil

Bu role sızma testi ve güvenlik araştırması tarafından geliyoruz. Bir zafiyet raporunu okurken hangi bulgunun gerçekten sömürülebilir olduğunu, hangisinin tarayıcı gürültüsü olduğunu ayırt edebiliyoruz. Bir tedarikçinin ürün vaadini test edebiliyoruz. Geliştirici ekiple aynı dili konuşuyoruz.

Buna karşılık, bu rolün kapsamı teknik güvenlik liderliğidir. KVKK uyum danışmanlığı, VERBİS kaydı, hukuki metin hazırlama ve denetim dosyası yönetimi gibi idari başlıklar bizim alanımız değildir; bu konularda uyum danışmanınızla birlikte çalışıyoruz.

Nasıl çalışıyor?

Aylık sabit bir zaman taahhüdüyle ilerliyoruz. Kapsam ilk görüşmede belirleniyor ve üç ayda bir gözden geçiriliyor. Sürekli sızma testi ile birlikte alındığında, test programını yürüten ve bulguları önceliklendiren aynı kişi olduğu için döngü belirgin biçimde hızlanıyor.