CISO as a service: wat kost het en wanneer is het slimmer dan zelf aannemen?

CISO as a service kost bij ons 1200 euro per maand. Daarvoor heb je een vaste, ervaren Chief Information Security Officer die je organisatie kent, meekijkt op beleid, risico’s, awareness, leveranciers en incidenten, en aan de directie rapporteert. Geen vaste aanstelling en geen wervingstraject, wel een vast bedrag waarvan je vooraf weet waar je aan toe bent.

In dit artikel lees je wat je voor die 1200 euro per maand krijgt, wanneer een security partner logischer is, en waar het omslagpunt ligt naar een eigen CISO in dienst.

Kort samengevat

• CISO as a service kost 1200 euro per maand, met een vast aanspreekpunt en zonder vaste aanstelling.
• De CISO pakt beleid, risicoanalyses, awareness, leveranciersbeoordeling en interne audits op, begeleidt externe audits en rapporteert aan de directie.
• Wil je dat BOEM ook het werk zelf doet, het managementsysteem opbouwt en technisch controleert, dan is een security partner 1500 euro per maand.
• Weet je nog niet waar je staat, dan geeft een GAP-analyse van 3000 euro het startpunt.
• Een eigen CISO wordt logisch zodra de rol structureel een halve baan of meer vraagt.
• De eindverantwoordelijkheid blijft altijd bij de directie, ook als je de rol volledig inhuurt.

Wat je voor 1200 euro per maand krijgt

CISO as a service is een vaste specialist met eindverantwoordelijkheid voor informatiebeveiliging, die je organisatie leert kennen en het onderwerp doorlopend in de gaten houdt. In de praktijk gaat het om vier soorten werk.

1. Beleid, rollen en risico’s. Beleid dat de directie goedkeurt, heldere rollen en verantwoordelijkheden, en een risicoanalyse die richting geeft aan de maatregelen. Werk je naar een norm of wettelijk kader toe, zoals ISO 27001-implementatie of de zorgplicht onder de Cyberbeveiligingswet, dan houdt de CISO de regie over dat traject.
2. Uitvoeren en borgen. Medewerkers en directie trainen, leveranciers beoordelen en het incidentproces inrichten. Je eigen mensen pakken het werk op, de CISO stuurt bij.
3. Een interne audit. Zelf toetsen of wat je hebt ingericht ook werkt, voordat een externe partij dat doet. Wie die audit mag uitvoeren en waar op wordt gelet staat bij de interne audit.
4. Externe audit en rapportage. Meelopen in het certificeringstraject: bewijsstukken op orde, de juiste mensen voorbereiden en tijdens de audit het gesprek voeren met de auditor. Zie ook je audit voorbereiden. Daarnaast rapporteert de CISO aan de directie, zodat het bestuur weet waar het staat.

Het voordeel van een vast maandbedrag is dat het voorspelbaar is. Een jaar CISO as a service is 14.400 euro, en dat is een bedrag waarmee een directie een besluit kan nemen. Het gesprek gaat dan niet meer over de vraag of er geld naar security gaat, maar over wat je ervoor terugkrijgt: een directie die weet waar ze staat, en informatiebeveiliging die je kunt laten zien aan klanten, auditors en toezichthouders.

Wanneer kies je een security partner?

CISO as a service geeft je de rol: regie, beleid, risico’s en rapportage. Je eigen mensen voeren het meeste werk uit. Dat werkt goed zolang je intern capaciteit hebt om de maatregelen op te pakken.

Heb je geen eigen securityteam en wil je dat het werk ook wordt gedaan, dan is de security partner de logische stap, voor 1500 euro per maand. Dan bouwen we het managementsysteem en de maatregelen op als onderdeel van het abonnement en houden we het daarna bij, inclusief GRC-tooling en elk kwartaal een technische controle door een ethisch hacker. Het verschil zit dus in wie het werk doet: bij CISO as a service stuurt de CISO je eigen mensen aan, bij een security partner levert BOEM ook de handen.

Beide vormen houden het onderwerp levend na een certificering, en juist daar gaat het vaak mis. Waarom dat zo vaak gebeurt staat bij na je ISO 27001-certificering, en de afweging tussen doorlopende ondersteuning en losse trajecten bij security partner of losse projecten.

Wanneer is zelf aannemen verstandiger?

Het omslagpunt is praktisch en niet alleen financieel: zodra de rol structureel een halve baan of meer vraagt, wordt een eigen CISO logisch. Niet alleen omdat de rekensom kantelt, maar omdat iemand die zoveel tijd in je organisatie doorbrengt de interne verhoudingen moet kennen om nog effectief te zijn.

Drie situaties wijzen op een eigen CISO. Je hebt een eigen ontwikkelafdeling die dagelijks besluiten neemt met securitygevolgen. Je zit in een sterk gereguleerde sector met aantoonbaar doorlopend toezicht. Of je hebt zoveel losse leveranciers en koppelingen dat het beheer daarvan alleen al een baan is.

Wat de rol feitelijk inhoudt staat bij wat een CISO precies doet. Lees dat eerst, want de echte vraag is niet wat een CISO kost maar welk deel van dat takenpakket jij nodig hebt.

Waar begin je?

Het maandbedrag staat vast; de vraag is wat de CISO in de eerste maanden oppakt. Dat hangt af van waar je nu staat. Een organisatie die al een managementsysteem heeft, begint ergens anders dan een organisatie die bij nul begint.

Daarom start CISO as a service met een kennismaking en een korte nulmeting: wat staat er al, wat vragen klanten en wetgeving van je, en waar zitten de grootste risico’s. Wil je dat vooraf grondig laten vaststellen, dan doen we een GAP-analyse voor een vaste prijs van 3000 euro. Die levert een lijst op van wat er ontbreekt, met prioriteiten, zodat je weet wat de CISO als eerste moet oppakken.

Waar je verder op moet letten: zorg dat iemand binnen je organisatie tijd krijgt om de maatregelen uit te voeren. Een CISO die adviseert terwijl niemand het oppakt, levert beleid op dat niemand uitvoert. Heb je die capaciteit niet, dan is een security partner de betere keuze, omdat het werk dan ook wordt gedaan.

Veelgestelde vragen over CISO as a service

Wat kost CISO as a service?

Bij ons 1200 euro per maand. Daarvoor heb je een vaste CISO die meekijkt op beleid, risico’s, awareness, leveranciers en incidenten en die aan de directie rapporteert. Je weet vooraf waar je aan toe bent, zonder de kosten van een vaste aanstelling.

Wat doet de CISO voor dat bedrag?

Beleid en risicoanalyses opzetten, medewerkers en directie trainen, leveranciers beoordelen, het incidentproces inrichten, interne audits uitvoeren, begeleiden bij externe audits en rapporteren aan de directie.

Wat is het verschil met een security partner?

Wie het werk doet. Bij CISO as a service stuurt een vaste CISO je eigen mensen aan, voor 1200 euro per maand. Een security partner bouwt en onderhoudt daarnaast het managementsysteem en de maatregelen zelf, inclusief elk kwartaal een technische controle, voor 1500 euro per maand.

Waar begin ik?

Met een kennismaking en een korte nulmeting. Wil je vooraf precies weten wat er ontbreekt, dan geeft een GAP-analyse van 3000 euro een lijst met prioriteiten.

Kan ik de verantwoordelijkheid overdragen aan een ingehuurde CISO?

Nee. Je kunt de uitvoering en de regie beleggen, maar de eindverantwoordelijkheid voor informatiebeveiliging blijft bij de directie. Onder de Cyberbeveiligingswet zijn bestuurders daar persoonlijk op aanspreekbaar.

Een CISO zonder vaste aanstelling? Lees meer over CISO-as-a-Service.