CISO esterno: la regia della sicurezza senza assumere a tempo pieno
Presidio della sicurezza delle informazioni con giornate distribuite nell'anno, da remoto. Gestione dell'ISMS, degli incidenti, dei cambiamenti e dei fornitori, con reporting periodico alla direzione. Per le aziende che hanno ottenuto il label TISAX® o avviato la conformità NIS 2 e devono mantenerli nel tempo.
Prenota una call gratuitaCosa comprende
Un referente per la sicurezza, con continuità
Le attività seguono un piano annuale e si adattano alle esigenze che emergono durante l'anno.
Gestione dell'ISMS
Mantenimento del sistema di gestione: aggiornamento di rischi, politiche e registri, audit interni e riesami della direzione, preparazione agli assessment TISAX® e alle verifiche successive.
Gestione degli incidenti
Classificazione degli incidenti, coordinamento con l'IT interno e il fornitore, contenimento e supporto alla gestione della crisi. Per la NIS 2, supporto alla notifica al CSIRT Italia nei tempi previsti.
Valutazione dei cambiamenti
Valutazione di sicurezza prima dei cambiamenti rilevanti: nuove infrastrutture, modifiche architetturali, servizi esposti su internet. Le decisioni vengono prese con i rischi davanti, non dopo.
Sicurezza dei fornitori
Valutazione dei fornitori critici, requisiti di sicurezza nei contratti e risposte ai questionari dei clienti. Un presidio della catena di fornitura richiesto sia da TISAX® sia dalla NIS 2.
Reporting alla direzione
Report periodici sullo stato della sicurezza, sui rischi principali e sulle decisioni necessarie. Supporto alla direzione nelle responsabilità di approvazione e supervisione previste dalla NIS 2.
Phishing simulato periodico
Campagne di phishing simulato ripetute nel corso dell'anno, per misurare la consapevolezza del personale, seguirne i progressi e orientare la formazione sui punti deboli emersi.
Perché scegliere General Tech di Rosario Zappalà
Un consulente che conosce sia la norma sia la tecnica
La differenza tra un progetto che si chiude con documenti nel cassetto e uno che supera la verifica sta nel metodo e nella persona che lo segue.
Un referente diretto, dall’inizio alla fine
Nessun passaggio di consegne tra figure diverse: la stessa persona segue analisi, documenti, audit interno e affiancamento durante la verifica.
Lo sguardo dell’auditor, prima dell’audit
Lead Auditor ISO 19011 e auditor interno ISO/IEC 27001:2022: ogni evidenza viene preparata pensando alle domande che arriveranno in sede di verifica.
Competenze organizzative e tecniche
Sistemi di gestione e politiche da un lato, competenze Red Team e Blue Team dall’altro: le misure tecniche vengono verificate, non solo descritte.
Documenti su misura, non modelli
Politiche e procedure scritte sulla realtà dell’azienda, comprensibili per chi le applica e coerenti con le evidenze da mostrare.
Metodo
Il servizio di CISO esterno in 5 fasi
Il servizio parte dopo l'approvazione della proposta scritta e segue un calendario condiviso.
Call gratuita
Call di 30 minuti su organizzazione, sistemi, obblighi in essere (label TISAX®, NIS 2, ISO/IEC 27001) e figure interne già coinvolte nella gestione della sicurezza.
Analisi e proposta scritta
Analisi del punto di partenza e proposta scritta con attività, numero di giornate distribuite nell'anno e tempi. Le condizioni vengono definite su misura per azienda e requisiti.
Avvio e piano annuale
Presa in carico dell'ISMS, verifica delle priorità aperte e definizione del piano annuale: riesami, audit interni, campagne di phishing simulato, formazione e scadenze dei clienti.
Presidio periodico
Giornate distribuite nell'anno, da remoto: aggiornamento del sistema, valutazione dei cambiamenti, gestione dei fornitori e supporto in caso di incidente, secondo le modalità concordate.
Reporting e riesame
Report periodici alla direzione e riesame annuale del sistema, con aggiornamento del piano per l'anno successivo in base a risultati, incidenti e nuovi requisiti.
Cosa si ottiene
Continuità, decisioni documentate, evidenze aggiornate
Piano annuale delle attività
Calendario di riesami, audit interni, formazione, campagne di phishing simulato e scadenze dei clienti, condiviso con la direzione e aggiornato durante l'anno.
ISMS aggiornato
Analisi dei rischi, politiche, procedure e registri mantenuti allineati alla realtà dell'azienda, con le evidenze pronte per i rinnovi dei label e per le verifiche esterne.
Report periodici alla direzione
Stato della sicurezza, rischi principali, incidenti, avanzamento del piano e decisioni richieste, in un formato chiaro per chi deve approvare e sovrintendere.
Registro incidenti e lezioni apprese
Ogni incidente classificato, gestito e documentato, con le azioni correttive conseguenti. Un'evidenza richiesta sia dal VDA ISA sia dalle misure di base ACN.
Valutazioni dei cambiamenti
Una valutazione documentata per ogni cambiamento rilevante, con rischi, misure e decisione presa: la prova che la sicurezza entra nei progetti fin dall'inizio.
Report delle campagne di phishing
Risultati di ogni campagna di phishing simulato, confronto con le precedenti e indicazioni per la formazione, collegati ai requisiti TISAX® e NIS 2 e alle misure ACN.
Domande frequenti
Che cos'è un CISO esterno?
È un responsabile della sicurezza delle informazioni che opera per l'azienda senza essere assunto a tempo pieno. Presidia il sistema di gestione, i rischi e gli incidenti con giornate distribuite nell'anno e riferisce direttamente alla direzione.
Per quali aziende è indicato?
Per le PMI che hanno ottenuto un label TISAX®, avviato la conformità NIS 2 o costruito un ISMS e non dispongono di una figura interna dedicata alla sicurezza delle informazioni.
Il servizio si svolge da remoto?
Sì, le giornate si svolgono da remoto. La presenza in sede si concorda quando serve, ad esempio per audit, sopralluoghi o riunioni con la direzione.
Il CISO esterno sostituisce il Responsabile IT?
No. Il Responsabile IT e il fornitore IT gestiscono i sistemi; il CISO esterno definisce regole, valuta i rischi, verifica l'applicazione delle misure e supporta la direzione nelle decisioni. I ruoli restano distinti e complementari.
Come si stabilisce il numero di giornate?
In base a dimensioni dell'azienda, obblighi in essere, maturità del sistema e attività previste nel piano annuale. Giornate e condizioni vengono definite nella proposta scritta, su misura per l'azienda.
Serve un presidio della sicurezza continuativo?
In 30 minuti si chiariscono obblighi in essere, figure interne e priorità per il primo anno. La call è gratuita e senza impegno.
Prenota una call gratuitaGeneral Tech di Rosario Zappalà · P.IVA 06157870871 · TISAX® è un marchio registrato di ENX Association.