Information Security Officer of CISO: wat is het verschil?

Kort antwoord

Een Information Security Officer (ISO) werkt het informatiebeveiligingsbeleid uit, voert risicoanalyses uit en bewaakt of het beleid in de praktijk wordt nageleefd, ook als een afdeling iets nieuws bouwt. Een Chief Information Security Officer (CISO) bepaalt de securitystrategie, verantwoordt die richting de directie en het bestuur, en stuurt op het budget voor security en op de keuzes die daarbij horen. In een kleine organisatie kan één persoon beide rollen invullen. In dit artikel is ISO de Information Security Officer, niet de norm ISO 27001.

Wat doet een Information Security Officer?

Het werk van een ISO bestaat uit zes terugkerende taken.

• Beleid. De ISO schrijft en onderhoudt het informatiebeveiligingsbeleid en de regels die daaruit volgen. Beleid dat niemand begrijpt werkt niet, dus de ISO zorgt dat het leesbaar is voor de afdelingen die ermee moeten werken.
• Risicoanalyses. De ISO brengt in kaart welke risico's er zijn bij nieuwe systemen, leveranciers en projecten, en legt vast welk risico overblijft na de maatregelen. Meer over dit werk staat bij risk management.
• Awareness. De ISO zorgt dat medewerkers weten wat er van hen gevraagd wordt, bijvoorbeeld hoe ze een verdachte mail melden. Dat is een terugkerend onderdeel, geen eenmalige training.
• Controle op naleving. De ISO kijkt of afspraken in de praktijk kloppen en niet alleen op papier staan. Dat betekent navragen bij afdelingen en nagaan of de afspraken worden gevolgd.
• Incidentcoördinatie. Bij een melding stemt de ISO af met IT-beheer en het security operations center (SOC) en schrijft de melding uit voor de directie.
• Contact met auditors. De ISO is het aanspreekpunt voor auditors, verzamelt het bewijs bij de afdelingen en legt uit hoe het beleid werkt.

Een werkdag laat het best zien hoe dat samenkomt. Een afdeling wil een nieuwe leverancier inschakelen die toegang krijgt tot klantgegevens. De ISO leest wat het contract over beveiliging zegt, vraagt na welke gegevens de leverancier ziet en schrijft op welk risico overblijft. Een week later controleert de ISO of de afgesproken maatregelen er ook echt zijn.

Een andere dag meldt een medewerker een verdachte mail. De ISO stemt met IT-beheer en het SOC af wat er is gebeurd en schrijft de melding uit voor de directie. Die dag gaat over overleg en procedure, niet over zelf systemen inrichten.

De ISO werkt veel met beleid, risicoanalyses en overleg. De rol is meestal minder technisch dan die van een engineer of SOC Analist: de ISO configureert zelden zelf, maar moet wel begrijpen wat een afdeling bouwt. Wie de dagelijkse praktijk beter wil zien, leest de gids over werken als Information Security Officer. Open vacatures staan op de vacaturepagina voor Information Security Officers.

Wat doet een CISO?

De CISO bepaalt op hoofdlijnen waar de organisatie op security inzet en legt daarover verantwoording af aan de directie en het bestuur. Het werk bestaat minder uit uitvoeren en meer uit keuzes voorbereiden, laten maken en uitleggen. Het bredere beeld van het vakgebied staat op de pagina over security leadership, en de vacaturepagina voor CISO's laat zien welke taken een werkgever erbij noemt.

Neem een plan om security in te richten voor het komende jaar, en een budget dat niet alles dekt. De CISO legt dan voor wat het plan oplevert, wat er buiten blijft en welk risico daardoor blijft staan, en laat de directie kiezen. Daarmee stelt de CISO samen met de directie de risicobereidheid vast. Zulke keuzes legt de CISO voor aan de hand van vier vragen: wat doen we, wat doen we niet, wat kost het, en welk risico blijft staan.

Bij een ernstig incident ligt het accent anders. De CISO vertelt het bestuur wat er is gebeurd, wat het kan betekenen en wat er nu gebeurt, zonder technisch jargon.

De CISO stuurt vaak een team aan, zoals security operations, architectuur of GRC, en werkt met andere directieleden zoals financiën, juridisch en HR. De CISO vertaalt technische risico's naar zakelijke taal en andersom.

Rapportage aan directie en bestuur is een vast onderdeel van het werk. De CISO maakt het verhaal over security begrijpelijk voor mensen die niet dagelijks met techniek bezig zijn. Wat het bestuur nodig heeft, is het overzicht: welke risico's worden aangepakt, welke niet, en wat dat betekent voor de organisatie.

Verschil in een tabel

Per organisatie verschilt dit, de tabel zet het patroon naast elkaar.

De ISO kijkt naar de regels en of ze in de praktijk werken. De CISO kijkt naar de richting en of de organisatie de juiste dingen doet voor de komende jaren.

Hoe werken de ISO en de CISO samen?

De ISO en de CISO werken samen rond een paar vaste momenten. Bij een nieuwe leverancier of een nieuw project legt de CISO de richting vast, en vertaalt de ISO die naar een beoordeling en voorwaarden. Bij een beveiligingsincident stemt de ISO de feiten af met het SOC en IT-beheer, en brengt de CISO het bestuur op de hoogte. Bij een audit of een bestuursrapportage levert de ISO het bewijs en de uitleg, en draagt de CISO de verantwoording richting de directie.

Samengevat: de CISO bepaalt de richting, de ISO vertaalt die naar beleid, controleert de uitvoering en vertelt de CISO wat in de praktijk niet werkt. Een goede ISO brengt slecht nieuws vroeg.

De rollen komen in verschillende vormen voor. In een kleine organisatie is het één persoon. In een grote organisatie kan er een CISO met een eigen team zijn, waarbij de ISO onder of naast de CISO werkt. Soms heeft een bedrijfsonderdeel of divisie een eigen ISO. In andere organisaties heet de leidinggevende rol Security Manager of Head of Security, met een vergelijkbare taak. Zie de vacatures voor Security Manager en Head of Security.

De titel zegt weinig zonder de taken in de vacature. Twee functies met dezelfde titel kunnen verschillen, en twee titels kunnen dezelfde taken hebben. Lees dus altijd de vacaturetekst.

Welke certificering past erbij?

Wie een certificering overweegt, kijkt eerst naar het soort functie. CISM van ISACA is gericht op de IT security manager en toetst de vaardigheden voor de uitdagingen en verantwoordelijkheden van die rol. Het examen gaat over vier domeinen: Information Security Governance, Information Security Risk Management, Information Security Program en Incident Management. Zie de ISACA-pagina over CISM.

Voor CISM vraagt ISACA vijf jaar professionele werkervaring in minstens drie van de vier domeinen, opgedaan in de tien jaar voor de aanvraag. Het examen staat wel open voor iedereen met interesse in informatiebeveiliging, ook als je die ervaring nog niet hebt. Zie de eisen van ISACA.

CISSP van ISC2 is het bredere alternatief. ISC2 vraagt minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer van de acht domeinen. Zie de ervaringseisen van ISC2.

CISM sluit aan bij de managementkant van beide rollen, en CISSP is breder. Voor de vergelijking zie de gids over CISSP, CISM of CISA. Certificeringen zijn niet verplicht voor deze functies, en werkgevers verschillen in wat ze vragen. Een certificering vervangt geen ervaring. Meer over beide staat in de artikelen over CISM en CISSP.

Doorgroeien van ISO naar CISO

Het verschil tussen de twee rollen zit in ervaring met bestuurlijke rapportage, budget en teamleiding. Die ervaring bouw je op binnen het werk dat je al doet. Bereid rapportages voor de directie voor, praat mee over het budget, stuur een project of een klein team aan en leer risico's in bestuurstaal uitleggen. Sommigen komen via een Security Manager-rol (zie werken als Security Manager) bij een CISO-rol uit.

Een voorbeeld: een ISO die een auditrapportage voorbereidt voor de directie, leert in die tekst de vraag te beantwoorden die het bestuur stelt, namelijk wat een bevinding betekent voor de organisatie en wat er nog moet gebeuren. Een ISO die een project begeleidt, leert hoe je een budgetvraag onderbouwt en welke keuze daarbij hoort. Wie een klein team aanstuurt, leert taken verdelen en voortgang bewaken, en dat sluit aan bij het werk van een CISO die een team aanstuurt.

Er is geen vast pad en geen aantal jaren waarna de stap vanzelf komt. Werkgevers verschillen in wat ze vragen. Vergelijk de vacatures voor Information Security Officers en de vacatures voor CISO's naast elkaar. De rolgids over werken als CISO beschrijft wat er in die rol zelf gebeurt.