Sophos CISO Advantage: syfte, tjänstegränser och införande

Sophos CISO Advantage hjälper till att omsätta säkerhetsrisker i en prioriterad förbättringsplan och begripliga ledningsrapporter. Erbjudandet riktar sig både till organisationer utan egen Chief Information Security Officer och till befintliga säkerhetsteam. Det ingår i Sophos Fusion (tidigare Sophos Central)-erbjudandet och stödjer planeringen av ett säkerhetsprogram; det är ingen extra endpointagent eller ersättning för incidenthantering.

Tillgänglighet, kontrollerad den 28 oktober 2026: Sophos beskriver fortfarande en utrullning i utvalda regioner. Det bekräftar inte tillgänglighet i Schweiz, för en viss juridisk person eller i varje Fusion-tenant. Bekräfta land, leveransväg, beställbar tjänst och faktisk startdag före planering. Ett synligt produktnamn eller ett allmänt tillkännagivande räcker inte.

För den tekniska tillgängligheten är Fusion-tenantens dataregion avgörande; företagets adress och tenantregionen kan skilja sig åt. Före beställning stäms tenant, region, licens och åtkomstväg av med partnern. Vid partnerdrift behöver även den konkreta kund- och Estate-strukturen kontrolleras. Ett allmänt GA-tillkännagivande innebär ingen aktivering för varje tenant eller varje administrationsstruktur. Om My Products > CISO Advantage saknas kontrolleras dessa punkter och den utförande rollen i stället för att en andra tenant skapas på försök.

Vilken uppgift erbjudandet fyller

Sophos beskriver fyra sammanhängande steg: en grundbedömning med miljödata och verksamhetskontext, rapporter för ledningen, en prioriterad förbättringsplan och återkommande uppföljning. Koppling till ramverk som NIST och CIS kan strukturera arbetet; den intygar ingen certifiering eller juridisk efterlevnad.

Den praktiska skillnaden mot en larmöversikt ligger i beslutet: vilken risk påverkar vilken verksamhetsprocess, vilken åtgärd prioriteras och hur kan förbättring påvisas senare? En rekommendation behöver fortfarande en intern ansvarig, budget och godkänd genomförandeplan.

Enligt Sophos kan CISO Advantage användas av ett internt team eller tillsammans med en tjänstepartner. Det innebär inte automatiskt ett personligt CISO-uppdrag, övertaget ledningsansvar eller obegränsad rådgivning. Vilket stöd som faktiskt levereras ska framgå av det konkreta uppdraget.

Skilj från närliggande tjänster

Account Health Check kontrollerar konkreta Sophos-skydd och tenantinställningar. CISO Advantage behandlar den övergripande bedömningen och prioriteringen av säkerhetsprogrammet. En god hälsostatus ersätter inte den bedömningen.

MDR och MDR Plus gäller övervakning och hantering av aktiva hot. Managed Risk undersöker den avtalade attackytan efter sårbarheter. En strategisk rapport aktiverar eller levererar inte automatiskt dessa tjänster. Även en Security Services Retainer är en separat inköpsmodell med avgränsade uppdrag.

Stäm av licens och omfattning i förväg

Sophos erbjuder en årlig Term-licens för drift i den egna organisationen eller med en tjänstepartner samt en månadsprenumeration via MSP Flex. Dessa modeller beskrivs i det offentliga GA-tillkännagivandet. Plattformen ensam inkluderar varken produkten eller personliga rådgivningstimmar.

Modellerna använder olika beräkningsenheter. I det offentliga MSP Summit förklarar Sophos Term per användare och MSP Flex per kund som hanteras, månadsvis med en licens oavsett organisationens storlek. Den allmänna licenspolicyn med datum 16 oktober 2026 anger CISO Advantage som en prenumeration per användare, utan att beskriva denna Flex-skillnad. Därför dokumenteras den konkreta modellen i erbjudandet och i License Schedule. En Term-offert beräknas inte utifrån antalet kundtenanter; för Flex får användarantal och månatlig kundenhet inte blandas ihop. Separat avtalad rådgivning beskrivs för sig. Den allmänna licenskontrollen i Sophos Fusion ersätter inte denna produktspecifika kontroll.

Vad som registreras manuellt och hur AI hjälper

Dagens arbetsgång börjar med en organisationsprofil och ett frågeformulär. Ansvariga beskriver säkerhetskontrollernas status, bedömer den och bifogar bevis. CISO Advantage samlar för närvarande inte automatiskt in bevis från Sophos-produkter eller tredjepartsprodukter. En befintlig Fusion-produkt och dess telemetri ersätter därför varken svar eller underlag. Sophos användningsöversikt anger uttryckligen profil, besvarad bedömning, bevis och mål som arbetssteg.

AI kan förklara en kontroll och förbereda formuleringar eller bedömningar. Under Analyze conversation kan ett godkänt VTT-transkript från ett samtal analyseras mot en bedömning. Hela ramverket, vissa avsnitt eller enskilda frågor väljs, deltagarnas nödvändiga samtycke bekräftas och Analyze startas. Under Review changes granskas förslagen; poäng, anteckningar eller båda kan väljas för överföring och redigeras dessförinnan. Detta är en assisterad analys av tillhandahållna uppgifter, ingen självständigt genomförd säkerhetsrevision. Den dokumenterade arbetsgången kräver uttryckligen mänsklig granskning.

CISO Advantage Plus med kontinuerlig assurance, utökad governance och automatiserad efterlevnad beskrivs i GA-tillkännagivandet för 2027. Det innebär inget bindande leveransdatum eller automatisk kontrollvalidering som är tillgänglig i dag. Vid godkännandet räknas de funktioner som faktiskt tillhandahålls och de resultat som har kontrollerats.

Från profil till publicerad bedömning

En assessment är en strukturerad bedömning mot ett valt ramverk. Före starten fastställs sakansvar, den organisation som omfattas och bedömningsperioden. Ett godkänt ramverk med några välkända kontroller passar som en avgränsad pilot. Det kräver ingen avsiktligt försvagad produktionskonfiguration.

Fastställ profil och bedömningsmodell

Under My Products > CISO Advantage leder assistenten genom organisationsprofilen. Organizational context beskriver exempelvis bransch, antal anställda och omsättning. Additional context kompletterar med verksamhetsmål, riskhistorik och IT-beroende. Okända värden registreras som okända; påhittad precision skulle också snedvrida de modellerade konsekvenserna. Båda profildelarna måste vara kompletta för senare rapporter. En befintlig profil kan uppdateras under Assessments > Update profile.

Ramverket väljs utifrån det faktiska bedömningsmålet. Ramverkshjälpen skiljer mellan tre modeller:

Den exakta versionen och urvalet kontrolleras i tenanten före starten, exempelvis för CIS v8, NIST CSF 2.0 eller NIS2. Om ett visst ramverk som AIUC-1 är ett avtalskrav bekräftas dess tillgänglighet i förväg. ISO-Aligned Assessment är ingen ISO-certifiering; Cyber Essentials innebär inget löfte om Cyber Essentials Plus-certifiering. Poäng från olika modeller kan inte jämföras som om de vore identiska procentvärden.

Besvara kontroller och sätt mål

Arbetsgången för bedömningen är dokumenterad enligt följande:

1. Öppna Assessments > Create Assessment. Ange Framework, en entydig Label och Period start, exempelvis Grundbedömning oktober 2026 med den faktiska bedömningsstarten. Namnet är valfritt. Skapa med Create Assessment.
2. Expandera ett avsnitt och öppna en kontroll. Ange faktisk Deployment status och vid behov Remediation under Overview. För mognadsbaserade ramverk väljs en mognadsgrad som kan styrkas.
3. Ange under Overview med Owner och Target Date vem som ska genomföra förbättringen och när. Förklara genomförandet och kända luckor under Additional information. Svaren sparas automatiskt.
4. Ange målvärden per Framework under CISO Advantage > Targets, tillämpa med Apply och spara med Save. Avvikande värden för en enskild bedömning kan anges på dess Targets-flik.

Ett mål måste passa risk, budget och tidsplan. Alla kontroller behöver inte omedelbart nå högsta mognadsgrad. Targets-hjälpen beskriver även avvikelser per avsnitt och prioriteringar enligt Implementation Groups. N/A tar bort en kontroll från poängberäkningen; valet kräver därför en saklig motivering av omfattningen och används inte för att förbättra värdet rent visuellt.

Koppla bevis och dokumentera resultatet

Ett bevis ska stödja det konkreta svaret, exempelvis ett rensat konfigurationsunderlag eller protokollet från ett faktiskt genomfört återställningstest. Före uppladdning kontrolleras åtkomst, sekretess och tillåtet innehåll. Lösenord, tokens och onödiga personuppgifter hör inte hemma i filen.

Via My Products > CISO Advantage > Evidence > Add evidence får beviset ett namn och en beskrivning; filen läggs till under Attachments. Med Add controls väljs bedömningen och tillhörande kontroller, följt av Submit evidence. Via Actions > Assign to controls kan befintliga bevis senare kopplas till ytterligare kontroller. Alternativt läggs de till i bedömningen eller direkt på en kontrolls Evidence-flik. Bevishjälpen förklarar dessa vägar.

Efter kopplingen öppnas samma kontroll på nytt: Stämmer fil, beskrivning, datum och faktiskt genomförande med svaret? En gammal skärmbild eller ett enbart planerat test räcker inte som ett aktuellt effektbevis. Under bedömningens Findings kontrolleras öppna svar, måluppfyllelse och tillgängliga jämförelser. Bedömningen publiceras först efter granskning av svar, bevis och mål. Endast ett utkast per ramverk kan finnas samtidigt; en ny bedömning måste därför samordnas med det befintliga arbetet.

Skapa en rapport och granska innehållet

Rapporthjälpen kräver båda profildelarna och minst en publicerad bedömning. Om något saknas uppmanar CISO Advantage till komplettering.

1. Öppna CISO Advantage > Reporting > Create report.
2. Välj önskad bedömning, ange namnet på den bedömningsansvariga och slutför assistenten.
3. Dölj olämpliga avsnitt i anpassningsvyn och granska eller redigera AI-genererad text. För ledningen är konsekvenser och prioriteringar viktiga; IT behöver dessutom konkreta luckor och genomförandesteg.
4. Spara med Save report och skapa filen med Render PDF. Kontrollera mottagare, period, omfattning och säkerhetsinformationen i rapporten före delning.

Modellerade ekonomiska konsekvenser är uppskattningar utifrån inmatade uppgifter, inga garanterade skadebelopp. En branschjämförelse är endast meningsfull när lämpliga jämförelsedata finns. Den föreslagna färdplanen granskas utifrån risk, beroenden, arbetsinsats och tillgängliga ansvariga; en automatiskt formulerad text ersätter inte detta beslut.

För uppföljning görs senare en ny bedömning med jämförbar omfattning och samma ramverk. I rapporten och under Findings jämförs skillnader med de åtgärder som faktiskt har genomförts. En högre poäng utan nya bevis visar ingen teknisk förbättring. Om rapporten saknas kontrolleras först att profilen är komplett och att bedömningen är publicerad. Om förväntade framsteg saknas jämförs period, ramverk, målvärden och nya bevis innan svar ändras enbart för att förbättra nyckeltalet.

Förbered en användbar start

Följande förberedelser är en Avanet-rekommendation, ingen dokumenterad klickväg:

1. Definiera beslutsfrågan. Nästa budgetomgång ska exempelvis motivera de tre viktigaste säkerhetsförbättringarna för en kritisk verksamhetsprocess. Ange period och ansvarig ledning.
2. Dokumentera utgångsläget. Samla kritiska tjänster, befintliga skyddsprodukter, kända risker, ansvariga och planerade åtgärder. Markera saknade eller inaktuella data uttryckligen.
3. Avgränsa uppdraget. Bekräfta landstillgänglighet, licensantal, löptid, intern eller partnerledd användning, förväntade rapporter och eventuell rådgivning. Bestäm även dataåtkomst, mottagare och rapporternas lagringstid.
4. Gör resultaten verifierbara. Ange risk, berörd process, ansvarig, tidsfrist, arbetsinsats och observerbart måltillstånd för varje prioriterad åtgärd. En AI-sammanfattning räcker inte som bevis.
5. Planera uppföljningen. Bedöm samma omfattning med samma kriterier vid avtalad tidpunkt. Tekniska ändringar godkänns och verifieras enligt respektive produkthandbok.

Saknas landstillgänglighet, dataunderlag eller tydliga leveranser är beställningen fortfarande öppen. Använd den avtalade incidentprocessen vid ett pågående angrepp; en strategisk bedömning är ingen akutinsats.