Внешний руководитель информационной безопасности на подписке

Задача

Инвестор или корпоративный клиент требует доказательств зрелости в безопасности. Штатный руководитель ИБ стоит дорого и ищется месяцами, а ответ нужен к следующей встрече.

Что сделано

• Дорожная карта безопасности и регулярная отчётность для руководства
• Политики и регламенты: от политики ИБ до плана реагирования на инциденты
• Ответы на опросники клиентов и инвесторов по безопасности
• Подготовка раздела безопасности к проверке при сделке
• Участие в архитектурных решениях и разбор инцидентов

Внутри системы

• Корпоративный клиент и инвестор проверяют не защищённость, а управляемость: есть ли назначенный ответственный, есть ли реестр рисков, кто утверждает доступы, что происходит при увольнении. Поэтому первые недели уходят не на технику, а на то, чтобы у каждой процедуры появился владелец и след.
• Опросник по безопасности от крупного заказчика — это сто-двести вопросов, где половина не применима к компании из тридцати человек. Ответ «нет» стоит сделки, ответ неправдой — ещё дороже при проверке. Рабочая форма — компенсирующая мера: чего нет, чем это закрыто и когда появится.
• Дорожная карта считается не по идеальному состоянию, а по тому, что компания успеет к своей ближайшей дате: раунду, сделке, выходу на нового заказчика. Всё, что не влияет на эту дату, уходит во второй год — иначе программа безопасности не доживает до конца первого квартала.

Как устроено

Формат подписки, а не проекта: месячный ритм с отчётом для руководства, квартальный разбор процессов и срочная связь при инциденте. Объём участия выбирается от советника до исполнителя, который сам вносит изменения в системы.

Результат

Функция закрывается с первой недели, без найма и без остановки разработки.