适合需要高级安全判断力、而非全职编制的公司
制定规则、承担艰难决断的兼职首席信息安全官
如果您身边已经有人能做周二的日常决定，而您需要一位资深人士来制定规则、承担艰难决断，并在董事会、审计师和最大客户面前有公信力，兼职模式就行得通。它不能当作廉价的全职 CISO。我写过如何在两者之间作出选择，我宁愿您先读完它、再得出与我相反的决定，也不愿您为一个需要全职的岗位只聘请了一部分。
我提供的兼职服务是什么样子
每月固定的天数，事先约定，您这边有一位指定的副手负责日常工作。在这些天里：安全体系获得方向和计划；风险接受事项有负责人和到期日；事件流程有明确的决策人并经过演练；董事会收到我书面出具的、可据以决策的简报；客户发来的安全问卷由一位签名有分量的人来回答。在非工作日，对于不能等待的决定，您可以联系到我，哪些属于此类，我们事先约定。
在兼职角色中，我不做的是：逐小时运营您的事件响应、管理您团队的绩效评估，或出席每一场架构会议。如果您需要这些，就需要一位全职领导者，我会如实相告。
监管机构大多不在乎是哪种方式，只要有人被明确指定
FTC 的 Safeguards Rule 和纽约州的金融监管规定都允许指定的安全负责人由服务提供商担任，前提是您的机构仍承担责任，并有一位高级人员监督这一安排。上市公司必须说明由谁管理网络风险，以及其专业背景。如果这个角色是实实在在的，兼职首席信息安全官就能满足所有这些要求；如果只是表格上的一个名字，则不能。
最适合的情形
员工人数在几百人以下、不在监管最严格的行业、拥有称职的 IT 或工程负责人的公司。处于两任 CISO 之间、需要保持连续性而不必仓促招聘的公司。需要把安全体系建起来、写成文档并移交，并可以选择之后招聘一位职责已明确的人员的公司。以及面临特定事件的公司，比如客户审计、保险续保、董事会开始提出疑问，在这些时候，一个阶段内的高级判断力比一位长期员工更有价值。
经验从何而来
三十年安全领导经验，其中大约二十年为一线事件响应与运营，并长期担任从初创公司到国家政府等各类机构的主题专家。大部分工作受保密协议约束。能在这里说的，我都说了；其余的，我们私下保密交谈。
我就此写过的文章。
如果愿意，请在我们交谈之前读一读这些。它们是这一论点的详尽版本。
相关工作。
我参与处理同样问题的其他方式。
- 在您用心招聘期间守住阵线的临时首席信息安全官在约定期限内对安全承担全部责任，让招聘可以用上一位好人选所需要的时间。
- 聘请一位亲自主导过响应、而不只是汇报过的首席信息安全官一位带领过应对数据泄露、建设过安全运营、向董事会做过简报的安全负责人。以下是我能为该岗位带来的价值，以及我不适合的情形。
- 聘请一位真正建成安全运营、而不只是做幻灯片的网络安全总监由亲自做过团队所做工作的人，担任安全运营、安全工程或安全项目的总监级负责人。
- 为必须做决定的高管提供顾问，而不是为负责落实的团队为签字的人提供独立判断：该问什么，该相信什么，该决定什么，以及该向董事会说什么。