De information security officer brengt informatiebeveiliging onder de aandacht
Situatie
Goede informatiebeveiliging is tegenwoordig van groot belang voor elke zichzelf respecterende organisatie. Vanuit diverse wet- en regelgeving wordt indirect en direct over de bescherming van (persoons)gegevens geschreven. Enkele voorbeelden hiervan zijn de Algemene Verordening Gegevensbescherming, de Wet bescherming bedrijfsgeheimen en het Burgerlijk Wetboek. Hierin wordt gesproken over de "betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking" en “passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen”.
Werkzaamheden
Bij diverse organisaties treden wij op als information security officer. Wij helpen hen het informatiebeveiligingsbeleid up to date te houden, schatten samen met hen risico's in en begeleiden werknemers bij praktische vragen. Daarnaast handelt de information security officer security incidenten af, voelt hij leveranciers aan de tand, helpt hij bij het uitvoeren van projecten en geeft hij gevraagd en ongevraagd advies bij uitbestedingen. Tevens schuiven wij met enige regelmaat bij beheerders aan om de wachtwoordinstellingen in Active Directory door te nemen en reviews uit te voeren op accounts.
Enkele voorbeelden zijn:
- afhandelen van informatiebeveiligingsincidenten en doorvoeren van structurele verbeteringen naar aanleiding van deze incidenten;
- begeleiden van pentesten en coördineren van de opvolging;
- gevraagd en ongevraagd advies geven binnen (uitbestedings)projecten;
- uitvoeren van quickscans door middel van een information security management systeem (ISMS) om de naleving van het informatiebeveiligingsbeleid te toetsen en gericht verbeteringen door te kunnen voeren (PDCA-cyclus);
- beoordelen ISO-certificaten en ISAE-rapportages van dienstverleners.
- verbeteren van het informatiebeveiligingsbeleid (inclusief identity and access management) op basis van actuele ontwikkelingen, veranderende wet- en regelgeving, risico assessments (business impact analysis en threat and vulnerability assessment) en standaarden zoals COSO ERM, ISO 27001/27002 en CobiT 4.1/5;
Verder:
- procedures in lijn brengen met het informatiebeveiligingsbeleid en formuleren van beheersmaatregelen ten behoeve van het information security management systeem (ISMS);
- communicatieplan opstellen en door middel van workshops werknemers bewust maken van de risico's van informatiebeveiliging;
- inventariseren van datalekken en ondersteunen bij het melden bij Autoriteit persoonsgegevens (AP);
- coördineren van de opvolging van bevindingen uit audits door interne auditafdeling en accountant;
- uitvoeren van reviews op accounts en bevoegdheden.
