你為什么需要一個(gè)虛擬的首席信息安全官

這是晚上8點(diǎn)。，你懷疑你的公司系統(tǒng)被黑了。你知道該怎么做嗎?

IT World Canada (ITWC)的CIO Jim Love在最近的一次網(wǎng)絡(luò)研討會(huì)上說(shuō):“對(duì)于一個(gè)沒(méi)有適當(dāng)政策的公司來(lái)說(shuō)，這是一場(chǎng)噩夢(mèng)?！笔聦?shí)上，加拿大隱私專員最近的一項(xiàng)調(diào)查發(fā)現(xiàn)，十分之四的公司沒(méi)有應(yīng)對(duì)安全漏洞的政策。

考慮到加拿大即將實(shí)施的新規(guī)定，這是個(gè)問(wèn)題。從11月1日起，《個(gè)人信息保護(hù)和電子文件法》(PIPEDA)將要求公司報(bào)告可能造成重大損害的涉及個(gè)人信息的違規(guī)行為。他們還必須保留所有違規(guī)記錄。

“你需要證明你已經(jīng)做了盡職調(diào)查，你知道你的信息在哪里，你已經(jīng)采取了措施來(lái)緩解漏洞，”邁克爾·鮑爾(Michael Ball)說(shuō)，他是一名虛擬的首席信息安全官，在Performance Advantage工作?！叭绻阕霾坏竭@一點(diǎn)，人們就會(huì)群起而攻之。”

Ball說(shuō)，雇傭一個(gè)虛擬的首席信息安全官(vCISO)可能是解決方案，特別是對(duì)于那些負(fù)擔(dān)不起雇傭全職專家的中小型公司來(lái)說(shuō)。

您的安全計(jì)劃需要包括哪些內(nèi)容

為了遵守這些規(guī)定，公司需要做的第一件事就是找到并分類它所保存的所有個(gè)人數(shù)據(jù)。該公司還必須建立檢測(cè)和記錄違規(guī)行為的機(jī)制。

洛夫說(shuō)，最基本的要求是確保有適當(dāng)?shù)恼吆统绦颍U明一旦發(fā)生違約應(yīng)采取的步驟。這應(yīng)該包括一個(gè)計(jì)劃，如何處理最初的發(fā)現(xiàn)和報(bào)告的違反，評(píng)估是否影響個(gè)人信息，步驟，以遏制和消除威脅，計(jì)劃恢復(fù)和事后學(xué)習(xí)的情況。詳細(xì)的溝通計(jì)劃是另一個(gè)重要組成部分。

最后，公司需要定期測(cè)試和更新他們的計(jì)劃，并為員工提供持續(xù)的培訓(xùn)。“如果你認(rèn)為自己可以在這些政策上游刃有余地，那就再想想吧，”洛夫說(shuō)。“如果你不能把它們拿給隱私專員看，那你就有大麻煩了?！?/p>

一個(gè)虛擬的CISO如何幫助

公司意識(shí)到他們需要一個(gè)管理角色以及隱私專家,說(shuō)球,指出CIO和IT經(jīng)理可能沒(méi)有這個(gè)技能。虛擬CISO與一個(gè)公司合作,可以把所有這些必需的元素發(fā)生反應(yīng)計(jì)劃的地方,或只是為你處理它。更重要的是，一個(gè)虛擬的CISO由一群訓(xùn)練有素、經(jīng)驗(yàn)豐富的專家組成，他們的技能很難找到?！?/p>

您對(duì)虛擬CISO有什么期望?Ball說(shuō)，在最初的30天里，他們應(yīng)該進(jìn)行評(píng)估和面試，看看你有什么合適的程序，他們是如何工作的。他們將找出差距并采取措施加以解決。他們也會(huì)為你的組織制定一個(gè)長(zhǎng)期的計(jì)劃。

在60天內(nèi)，虛擬CISO將為您建立一個(gè)信息安全政策框架，Ball說(shuō)。他們將與您一起實(shí)施新的安全措施、訪問(wèn)管理和事件響應(yīng)程序。還將建立季度指標(biāo)來(lái)評(píng)估正在進(jìn)行的進(jìn)展。

鮑爾說(shuō):“新的隱私規(guī)定將影響所有公司，無(wú)論其規(guī)模或行業(yè)。”“所有的公司都需要一個(gè)稱職的CISO和事故響應(yīng)計(jì)劃。”