Hoe is het jaar gegaan? Waar focussen we op voor 2023? Een heet hangijzer bij menig organisatie is cybersecurity. De Chief Information Security Officer, ofwel CISO, is hierin onmisbaar geworden. Hij of zij is een sleutelfiguur voor de informatiebeveiliging van organisaties. Maar wat weten we verder over deze rol? Wat is wel of juist niet dagelijkse kost op het CISO-bordje? CISO s Cees Willemsen van managed services provider UMBRiO, Mark Schoonderbeek van online IT partner Dustin, Eric Begeer van autonome specialist in slimme en veilige IT platforms Telindus, en Lodi Hensen, head of incident response and threat intelligence van cybersecuritydienstverlener Tesorion geven een kijkje in hun keuken.

Niet rechtlijnig
Ondanks de belangrijke rol die de CISO inneemt in organisaties, is het een functie zonder eenduidig functieprofiel. Volgens de ervaringsdeskundigen is het maar net waar de organisatie de focus op legt. Cees: In mijn optiek zijn er drie type CISO s aan te wijzen: een met een technische achtergrond, een met een businessachtergrond en een die tussen beide probeert de balans te vinden. Ook Lodi ziet veel verschillen: Het is net als bij marketeers of ontwikkelaars. Ben je een allround marketeer? Of online- of SEO-specialist? En ontwikkel je front-end, full stack of in een specifieke taal? De functietitel is hetzelfde, maar je kunt de focus op andere onderwerpen leggen. Je ziet dan ook dat mensen die zich CISO noemen, allemaal een ander takenpakket hebben met verschillende verantwoordelijkheden. Eric vult aan: Wat hierin meespeelt, is dat ons werk volop in beweging is dankzij nieuwe technieken en uitdagingen. Het werk van een CISO is hierdoor zeer gevarieerd.

Je ziet dat mensen die zich CISO noemen, allemaal een ander takenpakket hebben met verschillende verantwoordelijkheden.

De CISO-takenlijst
Die variatie komt terug in wat de experts omschrijven als het takenlijstje van de CISO. Een CISO houdt zich onder andere bezig met beleid, vertelt Lodi. En je zult hiervoor draagvlak moeten creeren binnen de organisatie. Dat vereist dat je goed bent met mensen en dat je de techniek zodanig snapt dat je een goede gesprekspartner kunt zijn. Volgens Cees zijn precies die gesprekken heel belangrijk voor de CISO. Je hebt naast het draagvlak ook de nodige inzichten vanuit de organisatie nodig om optimalisaties en professionalisering door te voeren. Daarom is het van belang om in gesprek te zijn met collega s, zodat je inzicht krijgt in processen en daarmee de werk- en denkwijze van de organisatie kunt optimaliseren. Mark sluit zich hierbij aan: Met phishing-pogingen die steeds persoonlijker en op maat worden gemaakt, moet een CISO verder kijken dan processen en systemen en ook werken aan bewustzijn onder medewerkers. Aandacht geven aan de menselijke kant van informatieveiligheid is heel belangrijk.

Deze versturen we 3-4x per jaar.