Werken als Information Security Officer

Wat doet een Information Security Officer?

Een Information Security Officer bewaakt dat het beleid voor informatiebeveiliging er is en dat medewerkers, afdelingen en leveranciers zich eraan houden. Het werk gaat over afspraken, risico's en mensen meer dan over configuraties. ISO is hier de afkorting van Information Security Officer, niet van de norm ISO 27001.

Een officer configureert zelden zelf, maar moet wel begrijpen wat een afdeling bouwt. Anders kan de officer niet beoordelen of het beleid in de praktijk werkt. Drie voorbeelden laten zien hoe dat in een gewone week eruitziet.

Stel dat een afdeling een nieuwe leverancier wil die klantgegevens gaat inzien. De officer leest het contract op beveiligingsafspraken, vraagt na welke gegevens het precies gaat en schrijft op welk risico overblijft. De afdeling beslist, met dat risico zichtbaar op papier. Een paar weken later controleert de officer of de afspraken ook in de praktijk kloppen.

Een medewerker meldt een verdachte mail. De officer stemt met IT-beheer en het security operations center (SOC) af wat er is gebeurd, zorgt dat de melding wordt vastgelegd en bepaalt wat de directie moet weten. Blijkt het een loos alarm, dan krijgt de medewerker een bedankje, want melden moet normaal blijven.

Een auditor stuurt vragen over toegangsbeheer: wie heeft toegang tot dit systeem, wie heeft dat goedgekeurd en wanneer is dat voor het laatst gecontroleerd? De officer verzamelt het bewijs bij de afdelingen en legt uit hoe het beleid werkt. Ontbreekt er iets, dan wordt dat een verbeterpunt met een eigenaar en een datum.

De officer werkt daarbij nauw samen met IT-beheer en het SOC, die de techniek beheren en bewaken. Het werk hoort bij het vakgebied security-leiderschap.

Welke taken horen bij de functie?

Het European Cybersecurity Skills Framework (ECSF) van ENISA beschrijft twaalf typische profielen van cybersecurityprofessionals. Een apart profiel voor de Information Security Officer staat er niet in. Wel noemt ENISA de titel als alternatieve titel van het profiel Chief Information Security Officer (CISO), naast onder meer Information Security Manager en Head of Information Security. Organisaties halen de twee rollen in de praktijk vaak uit elkaar, al verschilt dit per organisatie. Meer over de profielen staat in het ECSF van ENISA.

De taken hieronder komen uit de ECSF-profielen van de CISO, de Cyber Legal, Policy & Compliance Officer en de Cybersecurity Risk Manager. Ze zijn hieronder in gewone taal gegroepeerd.

Beleid. Je schrijft het informatiebeveiligingsbeleid, houdt het actueel en legt het ter goedkeuring voor aan de directie. Je draagt bij aan de strategie en de procedures voor cybersecurity.

Risico. Je beoordeelt cyberrisico's, stelt passende maatregelen voor en bewaakt of die werken. Je voert de risicomanagementcyclus uit of laat dat doen, legt risico's en uitzonderingen vast en rapporteert erover. Meer over het vakgebied vind je bij risicomanagement.

Naleving. Je stelt vast waar afspraken niet worden nageleefd. Je helpt maatregelen te ontwerpen, in te voeren, te auditen en te toetsen. Met auditors heb je regelmatig contact, en verbeterpunten krijgen een eigenaar en een datum.

Bewustzijn. Je zorgt dat medewerkers weten wat er van hen wordt gevraagd, bijvoorbeeld hoe ze een verdachte mail melden. Je stelt trainingen voor die een cultuur van zorgvuldig omgaan met gegevens bevorderen.

Welke taken er precies bij een functie horen, verschilt per vacature. Lees daarom de taken in de vacature en niet alleen de titel.

Information Security Officer of CISO?

De Information Security Officer werkt meestal onder of naast de CISO. De officer werkt het beleid uit en controleert of het wordt nageleefd. De CISO bepaalt de strategie en legt daarover verantwoording af aan de directie. Het patroon verschilt per organisatie. In een kleine organisatie kan één persoon beide rollen hebben. De volledige vergelijking staat in Information Security Officer of CISO: het verschil.

De titel zegt weinig zonder de taken in de vacature. Security Manager of Head of Security is in sommige organisaties de naam van de leidinggevende functie. Lees de rolgids voor de CISO en voor de Security Manager, dan zie je waar de grens tussen beide rollen ligt.

Welke skills heb je nodig?

Begin met de niet-technische kant, want die bepaalt of het beleid werkt. Je moet in gewone taal kunnen uitleggen wat een risico betekent, aan een afdeling en aan de directie. Beleid dat niemand leest, helpt niemand, dus nauwkeurig schrijven is een vaardigheid op zich.

Je onderhandelt over wat kan. Een afdeling wil snel live, een risico blijft, en dat moet je helder maken zonder het gesprek dicht te slaan. Nee zeggen hoort erbij, maar met een alternatief: niet zo, wel zo, met deze maatregel. Een officer ziet gevoelige zaken, dus integriteit en discretie horen bij het vak. Een goede officer brengt slecht nieuws vroeg.

Technisch hoef je geen beheerder te zijn, maar je moet begrijpen wat een afdeling bouwt. Denk aan een netwerk dat wordt gekoppeld aan een clouddienst. Wie die koppeling niet begrijpt, kan het risico van toegangsbeheer niet beoordelen. Een basis in risicoanalyse maakt het verschil tussen een lijst met bezwaren en een besluit dat de directie kan nemen.

Welke kaders en hulpmiddelen gebruikt een Information Security Officer?

Een managementsysteem voor informatiebeveiliging (ISMS) is de vaste cyclus waarin dit werk past. Je bepaalt wat je beschermt, beoordeelt de risico's, kiest maatregelen, controleert of die werken en verbetert waar nodig. De officer houdt die cyclus levend.

De bekendste norm voor zo'n systeem is ISO/IEC 27001. De norm stelt eisen aan een ISMS en is bedoeld voor organisaties van elke omvang en uit alle sectoren. Volgens de normalisatieorganisatie achter de norm is toepassen niet verplicht, en certificering laat zien dat een organisatie informatie op een beheerste manier beveiligt. De normalisatieorganisatie adviseert de volledige aanduiding te gebruiken, zoals ISO/IEC 27001:2022.

Voor overheidsorganisaties is de Baseline Informatiebeveiliging Overheid (BIO) het kader, zie de BIO. BIO2 is gebaseerd op NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022. Volgens Digitale Overheid geldt de BIO2 feitelijk voor alle overheidsorganisaties. Kijk op die pagina voor de actuele versie.

De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn en vervangt de Wbni. Volgens de Rijksoverheid gaat de wet in op 15 augustus 2026. Welke organisaties eronder vallen, staat in het artikel over NIS2 en de Cyberbeveiligingswet en bij de skill NIS2.

Met de AVG werkt de officer samen met de Privacy Officer of de Data Protection Officer, al is dat niet dezelfde rol. Het aanpalende vakgebied is compliance en privacy, en de AVG staat als skill apart.

De officer kiest een kader meestal niet zelf. De organisatie of de sector bepaalt welk kader wordt gebruikt, en ISO/IEC 27001 en de BIO geven een gedeelde taal voor risico's en maatregelen. Als hulpmiddelen gebruikt de officer een risicoregister met per risico een eigenaar en een maatregel, een overzicht van beleid en uitzonderingen, en een systeem voor meldingen en auditbewijs. Dat varieert van spreadsheets tot een GRC-systeem, en de vacature zegt welke hulpmiddelen er zijn.

Welke opleiding en certificeringen passen bij een Information Security Officer?

Certificeringen zijn niet verplicht, en werkgevers verschillen in wat ze waarderen. Een certificering vervangt geen ervaring.

Het CISM van ISACA is volgens ISACA een certificering voor de vaardigheden en verantwoordelijkheden van een moderne IT-securitymanager. De vier domeinen zijn Information Security Governance, Information Security Risk Management, Information Security Program en Incident Management. Het sluit aan bij de managementkant van de functie. Meer staat in het artikel over de CISM-certificering, bij de skill CISM en op de pagina van ISACA.

De CISSP van ISC2 is breder. Volgens ISC2 is die geschikt voor ervaren security-praktijkmensen, managers en executives, en het eerste domein heet Security and Risk Management. Meer staat in het artikel over de CISSP-certificering en bij de skill CISSP. Twijfel je tussen certificeringen, dan helpt het keuzeartikel over CISSP, CISM of CISA.

Wie een managementsysteem wil beoordelen of auditen, kan kiezen voor de opleiding ISO 27001 Lead Auditor. Zie de opleiding en de skill ISO 27001 Lead Auditor.

Hoe word je Information Security Officer?

Een hbo- of wo-opleiding in ICT, bedrijfskunde of een juridische richting past bij deze functie. Zij-instroom vanuit IT-beheer, audit, kwaliteitsmanagement of privacy komt ook voor. Wie uit IT-beheer komt, kent de systemen en leert risico's en beleid erbij. Wie uit audit of kwaliteit komt, kent het controleren en leert de techniek erbij.

Je kunt meteen beginnen met een paar stappen. Schrijf een risicoanalyse van een fictieve leverancier. Lees ISO 27001 of de BIO aan de hand van een casus. Schrijf een kort beleidsstuk van een pagina dat een leek begrijpt. Loop mee met een audit of met de opvolging van een beveiligingsincident.

In een gesprek laat je het best zien wat je hebt gemaakt: de risicoanalyse, het beleidsstuk en een korte uitleg van hoe je een bevinding van een auditor zou opvolgen. Het zijn oefeningen, geen route met een garantie.

Waar werk je als Information Security Officer?

De functie komt voor bij organisaties die gegevens van anderen verwerken of een zorgplicht voelen. Overheidsorganisaties werken met de BIO, zoals de rijksoverheid, gemeenten en provincies en waterschappen en omgevingsdiensten. Ook in de financiële dienstverlening, de zorg en life sciences, onderwijs en onderzoek en bij IT-dienstverleners komt de functie voor, soms gedeeld door meerdere onderdelen. Het overzicht van werkgevers staat op de werkgeverspagina voor Information Security Officers.

Waar groei je naartoe?

Een Information Security Officer kan doorgroeien naar andere rollen. Dit is een overzicht, geen belofte over je loopbaan.

De CISO bepaalt de strategie, het budget en de verantwoording aan de directie. Wat hier het verschil maakt, is ervaring met bestuurlijke rapportage, budget en teamleiding. Zie de rolgids van de CISO.

De Security Manager stuurt het securityteam aan. Zie de rolgids van de Security Manager.

De Risk Manager of de IT Risk Manager legt het zwaartepunt op risicomanagement. Zie de rolgids van de Risk Manager.

De GRC Consultant adviseert over governance, risico en compliance voor meerdere organisaties. Zie de rolgids van de GRC Consultant.

De Compliance Officer heeft het zwaartepunt op regelgeving. Zie de rolgids van de Compliance Officer.

Vacatures en werkgevers

Bekijk de vacatures voor Information Security Officers. Organisaties die deze functie zoeken, staan op de werkgeverspagina voor Information Security Officers.