Werken als Security Manager (en Head of Security)

Wat doet een Security Manager?

Een Security Manager stuurt het securityteam aan en zorgt dat beleid en plannen in de praktijk worden uitgevoerd. De rol zit tussen de richting van de organisatie en het werk van de mensen die het doen. De Security Manager vertaalt die richting naar werk: wie doet wat, in welke volgorde en met welke middelen. Meldingen, kwetsbaarheden en projecten moeten worden opgepakt, en de Security Manager zorgt dat de juiste mensen dat doen.

Dit artikel behandelt Head of Security mee, omdat die titel in veel organisaties op dezelfde rol slaat. De titels verschillen per organisatie. Er bestaat geen officieel profiel met de titels Security Manager of Head of Security, dus de vacature bepaalt wat de functie inhoudt. Lees daarom wie de rol aanstuurt, hoe groot het team is en of het om informatiebeveiliging gaat.

In een week kan dit langskomen. Een teamoverleg waarin openstaande meldingen, kwetsbaarheden en acties worden besproken en geprioriteerd. Een gesprek met IT-beheer over een geplande wijziging die een securityrisico meebrengt. Een voorstel voor de directie over een extra maatregel, met wat die kost en wat die oplevert.

Een medewerker met een lastige melding vraagt advies, en soms gaat het om een incident. Dan zorgt de Security Manager dat de juiste mensen bij elkaar zitten, dat de communicatie klopt en dat het team niet over zijn grenzen gaat. Het werk is dus vooral organiseren en afstemmen, met af en toe een diepere technische vraag. Het vakgebied waar deze rol onder valt, staat op de pagina over security leadership.

Welke taken horen bij de functie?

Voor de titels Security Manager en Head of Security bestaat geen officieel profiel met taken. De dichtstbijzijnde bron is het European Cybersecurity Skills Framework (ECSF) van ENISA, het EU-agentschap voor cyberbeveiliging. Het ECSF beschrijft twaalf typische rolprofielen voor cybersecurityprofessionals, en het document is gepubliceerd op 19 september 2022. Het profiel Chief Information Security Officer (CISO) noemt Information Security Manager en Head of Information Security als alternatieve titels, dus de taken die het dichtst bij deze functie liggen, staan in dat profiel.

Uit dat CISO-profiel komen de hoofdtaken die aansluiten bij een leidinggevende securityrol. Dat zijn het begeleiden van de toepassing en verbetering van het Information Security Management System (ISMS), het opstellen van cybersecurityplannen, en het beoordelen, plannen en toewijzen van cybersecuritymiddelen. Daarbij hoort ook het beheren van de voortdurende opbouw van kennis en vaardigheden in de organisatie. Bij sommige organisaties voert een Security Manager die taken uit op teamniveau, terwijl de CISO ze op bestuursniveau voert.

Het profiel noemt ook het rapporteren van incidenten, risico's en bevindingen aan de hoogste leiding, het volgen van ontwikkelingen in cybersecurity en het zorgen dat de organisatie weerbaar is tegen cyberincidenten. Het voorbereiden en voorleggen van de cybersecuritystrategie aan de hoogste leiding en het onderhandelen over het cybersecuritybudget plaatst het ECSF ook bij het CISO-profiel. Of een Security Manager die taken ook heeft, staat in de vacature.

Welke skills heb je nodig?

Het ECSF noemt onder de kernvaardigheden onder meer het motiveren en stimuleren van mensen, het communiceren en samenwerken met interne en externe belanghebbenden, en het beheren van cybersecuritymiddelen. Voor een Security Manager vertaalt dat zich naar een paar vaardigheden die steeds terugkomen.

• Leidinggeven. Je motiveert mensen, verdeelt het werk en geeft feedback die ze kunnen gebruiken.
• Plannen en prioriteren. Je zet de openstaande acties in een volgorde die past bij de risico's, en je houdt die volgorde overeind als er iets nieuws binnenkomt.
• Communiceren met techniek en management. Je praat met een engineer over de details en met een directielid over wat het voor de organisatie betekent.
• Risico in gewone taal uitleggen. Je zegt wat er kan gebeuren, hoe waarschijnlijk dat is en wat wachten kost.
• Kennis van beleid en kaders. Je kent het cybersecuritybeleid, de normen en methoden waarmee de organisatie werkt, en je weet hoe het resourcemanagement in de praktijk loopt.

Een voorbeeld laat zien waar die vaardigheden samenkomen. Een teamlid wil een kwetsbaarheid direct herstellen, en IT-beheer vraagt om uitstel tot het onderhoudsvenster. De Security Manager weegt het risico af, kiest en zorgt dat de keuze en de reden worden vastgelegd. Het teamlid hoort waarom het zo is besloten, IT-beheer weet waar het aan toe is, en de keuze staat op papier als de directie er later naar vraagt.

Welke tools en technologie gebruikt een Security Manager?

Een Security Manager werkt zelden in de tools zelf, maar leest wat ze laten zien. Dat zijn overzichten, geen werkomgevingen. Het SIEM verzamelt logs uit systemen en maakt daar meldingen van. Dashboards van Microsoft Sentinel of Splunk laten zien wat het team behandelt en welke meldingen nog open staan.

Een ticketsysteem houdt bij welke acties openstaan en wie ze oppakt. ServiceNow is daar een voorbeeld van. Een risicoregister legt vast welke risico's de organisatie kent en wat er mee gebeurt. De rapportage voor de directie is kort en bevat besluiten, geen technisch overzicht. Welke tools een werkgever gebruikt, staat meestal in de vacature. De drie genoemde namen zijn voorbeelden.

Welke opleiding en certificeringen passen bij een Security Manager?

Een hbo- of wo-opleiding in ICT is een gangbare achtergrond. Een certificering is geen vaste eis, en wat een werkgever vraagt verschilt per organisatie.

Het CISM van ISACA sluit aan bij de managementkant van de rol. ISACA omschrijft het als een toets van de vaardigheden voor de uitdagingen en verantwoordelijkheden van een moderne IT security manager, over vier domeinen: Information Security Governance, Information Security Risk Management, Information Security Program en Incident Management. Voor certificering vraagt ISACA vijf of meer jaar werkervaring in informatiebeveiligingsmanagement over minstens drie van de vier domeinen, opgedaan in de tien jaar voor de aanvraag. Het examen staat open voor iedereen met interesse in informatiebeveiliging, ook als die ervaring nog niet is opgedaan. Zie de CISM-pagina van ISACA en de vacatures met CISM.

Het CISSP van ISC2 is breder. Het vraagt minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer van de acht domeinen van de CISSP Exam Outline. Het eerste domein heet Security and Risk Management, en dat ligt dicht bij de risicokant van de rol. De eisen staan op de pagina over CISSP-ervaring van ISC2. Zie ook de vacatures met CISSP.

Een certificering vervangt geen ervaring met leidinggeven. Wie de keuze tussen CISM en CISSP wil maken, leest CISSP, CISM of CISA: welke certificering past.

Hoe word je Security Manager?

Er zijn meerdere routes. De ene loopt via een technische rol, zoals SOC Analist, Security Engineer of Security Architect. Wie daarna een team of project aanstuurt, bouwt de ervaring op die de rol vraagt. De andere route loopt via beleid en risico, vanuit de rol van Information Security Officer of Risk Manager.

Wat je moet kunnen laten zien: je hebt mensen of een project aangestuurd, je kunt plannen en prioriteren, en je kunt rapporteren aan management. Het helpt om dat met voorbeelden uit je eigen werk te onderbouwen.

De eerste stappen zijn kleiner. Neem de planning of de rapportage van het team over, begeleid een collega die nieuw is, of schrijf mee aan een beleidsdocument. Zo bouw je het bewijs op zonder dat je eerst de titel hebt. Hoe lang dat duurt, verschilt per persoon en per organisatie.

Waar werk je als Security Manager?

Security Managers werken in organisaties van allerlei omvang. In kleinere organisaties is de Security Manager vaak de hoogste securityrol, en die doet dan ook wat anders de CISO zou doen. In grotere organisaties werkt de Security Manager onder een CISO, soms met een eigen team voor één onderdeel zoals security operations.

Sectoren waarin deze rol voorkomt zijn onder andere financiële dienstverlening, zorg en life sciences, de rijksoverheid en energie en infrastructuur. Welke werkgevers de rol zoeken, staat op de werkgeverspagina voor Security Managers.

Security Manager of CISO?

Een Security Manager richt zich op uitvoering en op het team. Een CISO richt zich op de richting van de hele securityaanpak en legt verantwoording af aan de directie. De belangrijkste verschillen staan in de tabel.

In sommige organisaties is de Security Manager de hoogste securityrol, en dan overlapt het werk van beide. De titel zegt op zichzelf weinig. Lees de rolgids voor de CISO en het vergelijkingsartikel over de ISO en de CISO voor het bredere beeld.

De Information Security Officer is een andere rol: die werkt beleid uit en bewaakt de naleving, terwijl de Security Manager het team aanstuurt dat de maatregelen uitvoert. Zie de rolgids voor de Information Security Officer.

Waar groei je naartoe?

Vanuit deze rol kun je kijken naar de functie van CISO, naar een Head of Security-rol bij een grotere organisatie, naar een bredere verantwoordelijkheid met risico en compliance erbij, of naar een specialistische rol. Dit is een overzicht, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien. Meer over de CISO-route staat in de rolgids van de CISO, en de operationele kant van het vak staat in de rolgids van de SOC Manager.

Vacatures en werkgevers

Op de vacaturepagina voor Security Managers en de vacaturepagina voor Head of Security zie je welke functies openstaan. De werkgeverspagina voor Security Managers laat zien welke werkgevers deze rol zoeken.