Werken als Chief Information Security Officer (CISO)

Wat doet een CISO?

Een CISO beheert de cybersecuritystrategie van een organisatie en de uitvoering ervan, zodat digitale systemen, diensten en bedrijfsmiddelen voldoende beveiligd zijn. Dat is de omschrijving in het profiel Chief Information Security Officer van het European Cybersecurity Skills Framework van ENISA, het EU-agentschap voor cyberbeveiliging. De missie van het profiel bestaat uit drie delen: de visie, strategie, beleidsregels en procedures vaststellen, onderhouden en communiceren; de uitvoering van het cybersecuritybeleid in de hele organisatie aansturen; en zorgen voor informatie-uitwisseling met externe autoriteiten en beroepsorganisaties.

De rol is meer bestuurlijk dan technisch. Een CISO configureert zelden zelf, maar moet begrijpen wat de teams bouwen en wat een risico technisch betekent. Het vakgebied security leadership beschrijft de sturing die bij deze rol hoort.

Een werkweek laat zien hoe dat werkt. Het plan voor het komende jaar ligt klaar, maar het budget dekt niet alles. De CISO legt de directie voor wat het plan oplevert, wat erbuiten blijft en welk risico daardoor blijft staan, en de directie kiest. Op een andere dag brengt een nieuw product of een nieuwe dienst een risico mee, en bespreekt de CISO met de productleiding wat nodig is voordat het live gaat. Bij een ernstig incident vertelt de CISO het bestuur wat er is gebeurd, wat dat kan betekenen en wat er nu gebeurt, zonder technisch jargon. De specialisten doen het onderzoek.

Organisaties gebruiken niet altijd dezelfde titel. ENISA noemt als alternatieven onder meer de Information Security Officer (ISO), Information Security Manager en Head of Information Security. De taken in de vacature zijn bepalend, want een Nederlandse vacature kan andere accenten leggen dan het Europese profiel.

Welke taken horen bij de functie?

Het ECSF-profiel van ENISA is gepubliceerd op 19 september 2022 en beschrijft de hoofdtaken van de CISO in vier richtingen. Het is een Europees referentiekader, geen vacaturetekst. Het volledige profiel staat op de publicatiepagina van ENISA.

Richting en beleid. Een CISO stelt de cybersecuritydoelen, eisen, strategieën en beleid vast, afgestemd op de bedrijfsstrategie. Die worden ingevoerd, gecommuniceerd en onderhouden. Daarbij horen het opstellen van cybersecurityplannen en het begeleiden van de toepassing en verbetering van het Information Security Management System (ISMS).

Bestuur en risico. De CISO bereidt de visie, strategie en het beleid voor, legt die voor aan de hoogste leiding en zorgt dat ze worden uitgevoerd. De CISO licht de hoogste leiding voor over cybersecurityrisico's, dreigingen en de gevolgen daarvan, zorgt dat de hoogste leiding de cybersecurityrisico's van de organisatie goedkeurt en rapporteert incidenten, risico's en bevindingen.

Middelen en mensen. De CISO zorgt dat er middelen komen om de strategie uit te voeren. De CISO onderhandelt met de hoogste leiding over het cybersecuritybudget, beoordeelt en wijst middelen toe, en beheert de opbouw van kennis en vaardigheden in de organisatie.

Buitenwereld en incidenten. De CISO bouwt relaties op met autoriteiten en gemeenschappen op het gebied van cybersecurity, volgt de ontwikkelingen en zorgt dat de organisatie weerbaar is tegen cyberincidenten.

De twee opleverproducten van het profiel zijn een cybersecuritystrategie en een cybersecuritybeleid.

Welke skills heb je nodig?

Het ECSF-profiel noemt als kernvaardigheden onder meer: de cybersecurityhouding van een organisatie beoordelen en verbeteren, een strategie ontwikkelen, verdedigen en de uitvoering ervan leiden, de cultuur van een organisatie beïnvloeden, communiceren en samenwerken met interne en externe partijen, mensen motiveren en volwassenheidsmodellen toepassen. Daarbij hoort kennis van cybersecuritybeleid, normen, methoden en kaders, wet- en regelgeving, risicomanagement en resourcemanagement.

Het zwaartepunt is het vertalen tussen techniek en bestuurstaal. Stel dat een team meldt dat een systeem een kwetsbaarheid heeft. De CISO moet uitleggen wat er kan misgaan, hoe groot de schade kan zijn en wat het kost om het nu te voorkomen in vergelijking met later. Zo kan het bestuur kiezen, zonder dat de technische details het gesprek overnemen.

Daarbij horen ook een paar gewone vaardigheden: nee kunnen zeggen zonder de relatie te beschadigen, prioriteiten stellen als het budget niet voor alles reikt, een team motiveren, en kalm blijven als het bestuur tijdens een incident om antwoorden vraagt.

Welke kaders en hulpmiddelen gebruikt een CISO?

Een CISO werkt minder met scanners en meer met kaders en overzichten. Een voorbeeld is een managementsysteem voor informatiebeveiliging (ISMS). Dat is een manier om security structureel te organiseren, met beleid, risico's, maatregelen, controle en verbetering. Bij dat systeem hoort een risicoanalyse, die laat zien welke risico's de organisatie loopt. Zie ook het vakgebied risk management.

Een vacature kan een norm als ISO 27001 noemen. De kennisbank heeft er een eigen pagina over. Het NIST Cybersecurity Framework (CSF) 2.0 helpt volgens NIST organisaties hun beheer van cybersecurityrisico beter te begrijpen en te verbeteren. Lees meer in de kennisbank over het NIST Cybersecurity Framework of bekijk de vacatures met dit kader.

Welk kader een organisatie gebruikt, verschilt per organisatie en staat in de vacature. Een rapportage voor het bestuur is een kort stuk met besluiten, geen technisch overzicht.

Welke opleiding en certificeringen passen bij een CISO?

Geen enkele certificering is verplicht om CISO te worden. Twee certificeringen sluiten aan bij deze rol: CISM en CISSP.

CISM van ISACA toetst volgens ISACA de vaardigheden voor de uitdagingen en verantwoordelijkheden van een moderne IT security manager, in de domeinen Information Security Governance, Information Security Risk Management, Information Security Program en Incident Management. Voor certificering vraagt ISACA vijf of meer jaar werkervaring in informatiebeveiligingsmanagement over minstens drie van de vier domeinen, opgedaan in de tien jaar voor de aanvraag. Het examen staat open voor iedereen met interesse in informatiebeveiliging, ook als de ervaring nog ontbreekt. Zie ISACA over CISM en de pagina over het behalen van CISM.

CISSP van ISC2 is breder en technischer. Voor certificering vraagt ISC2 minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer van de acht domeinen van de CISSP Exam Outline. Het eerste domein is Security and Risk Management. Zie de ervaringseisen van ISC2.

CISM sluit aan bij de managementkant van de rol. Een certificering vervangt geen ervaring met bestuurlijke rapportage, budget en teamleiding, en werkgevers verschillen in wat ze vragen. Vergelijk de certificeringen in de gids over CISSP, CISM en CISA, en lees de artikelen over CISM en CISSP.

Hoe word je CISO?

Er is geen vast pad naar deze functie. Een aantal routes loopt via een rol waarin je al met beleid, risico en controle werkt, zoals Information Security Officer, Security Manager of Risk Manager. Andere routes lopen via een technische rol, zoals Security Architect of SOC Manager, waarna je de overstap naar management maakt.

Het verschil met die rollen zit vooral in ervaring met bestuurlijke rapportage, budget en teamleiding. Je kunt die ervaring opbouwen door rapportages voor de directie voor te bereiden, mee te praten over het budget, een project of een klein team aan te sturen en risico's in bestuurstaal uit te leggen.

Begin met een paar concrete stappen: neem de rapportage aan de directie over, schrijf een beleidsstuk en stuur een project aan. Vergelijk daarna de eisen in de vacatures voor CISO's, want wat een werkgever vraagt, verschilt per werkgever.

Waar werk je als CISO?

Een CISO kan werken in organisaties van allerlei soort en omvang, bijvoorbeeld in sectoren waar informatie grote waarde heeft of waar de gevolgen van een incident groot zijn, zoals financiële dienstverlening, zorg en life sciences, de rijksoverheid, energie en infrastructuur en IT, SaaS en technologie.

Organisaties noemen de rol soms anders, zoals Head of Security, Security Manager of Head of Information Security. Bij grotere organisaties stuurt de CISO vaak een eigen team aan, en werkt de CISO samen met andere directieleden zoals financiën, juridisch en HR. In kleinere organisaties is er soms geen groot team en combineert iemand de rol met die van Information Security Officer. Zie ook de werkgevers die een CISO zoeken.

CISO of Information Security Officer?

De ISO kijkt naar de regels en of ze in de praktijk werken. De CISO kijkt naar de richting en verantwoordt de strategie aan de directie. In een kleine organisatie vult één persoon beide rollen in. Het volledige verschil staat in het vergelijkingsartikel over CISO en ISO.

CISO en functionaris voor gegevensbescherming (FG) zijn verschillende rollen. De Autoriteit Persoonsgegevens schrijft dat een FG binnen de organisatie geen functie mag hebben waarin die het doel en de middelen van een gegevensverwerking bepaalt, zoals een managementpositie als hoofd financiën, strategie, marketing, IT, HRM of als CISO. Zie de tekst van de AP. Meestal vervullen daarom verschillende personen de twee rollen. Ze werken samen, bijvoorbeeld bij een datalek, maar ze vervangen elkaar niet. Meer over de FG-rol vind je in de rolgids voor de Data Protection Officer.

Waar groei je naartoe?

In veel organisaties is de CISO een van de hoogste rollen in het securityvak. Dit is een overzicht van mogelijke doorgroei, geen belofte. Doorgroei kan naar een grotere organisatie gaan, of naar een bredere verantwoordelijkheid, bijvoorbeeld met risico en compliance erbij. Denkbaar zijn ook toezichthoudende of adviserende rollen. De rolgids voor de Security Manager beschrijft een rol die dichtbij deze functie ligt.

Vacatures en werkgevers

Op de vacaturepagina voor CISO's zie je welke vacatures nu open staan. Op de werkgeverspagina zie je welke werkgevers een CISO zoeken.