Hoe wijs ik een verantwoordelijke aan voor informatiebeveiliging?

Om een verantwoordelijke voor informatiebeveiliging aan te wijzen, kies je een persoon die overzicht heeft over de organisatie, begrijpt welke informatie gevoelig is en bevoegd is om maatregelen door te voeren. Dit kan een bestaande medewerker zijn die de rol erbij krijgt, of een specifiek aangestelde functionaris. De exacte functietitel en structuur hangen af van de omvang en volwassenheid van de organisatie. Onderstaande vragen helpen je stap voor stap de juiste keuze te maken.

Welke rol is verantwoordelijk voor informatiebeveiliging binnen een organisatie?

Binnen de meeste organisaties ligt de eindverantwoordelijkheid voor informatiebeveiliging bij de directie of het management, maar de dagelijkse uitvoering en coördinatie worden belegd bij een informatiebeveiligingsfunctionaris. Afhankelijk van de omvang en sector draagt deze persoon een titel als CISO (Chief Information Security Officer), Security Officer of informatiebeveiligingscoördinator.

De directie blijft altijd eindverantwoordelijk. Dat is ook een expliciet vereiste binnen ISO 27001: het topmanagement moet aantoonbaar betrokken zijn bij het informatiebeveiligingsbeleid en de doelstellingen ervan onderschrijven. De informatiebeveiligingsfunctionaris is degene die dit beleid vertaalt naar de dagelijkse praktijk en de organisatie bij elkaar houdt op dit onderwerp.

In kleinere organisaties is het niet ongebruikelijk dat een IT-verantwoordelijke, kwaliteitsmanager of zelfs een directielid deze rol op zich neemt. In grotere organisaties is de CISO een volwaardige, zelfstandige functie met een eigen team. Wat telt, is niet de titel maar de daadwerkelijke invulling van de verantwoordelijkheid.

Wat zijn de taken van een informatiebeveiligingsfunctionaris?

Een informatiebeveiligingsfunctionaris is verantwoordelijk voor het opzetten, onderhouden en verbeteren van de informatiebeveiligingsaanpak binnen de organisatie. De rol omvat zowel beleidsmatige als praktische taken en raakt alle lagen van de organisatie, van medewerkers tot leveranciers.

Concreet gaat het om de volgende kerntaken:

• Het opstellen en actueel houden van het informatiebeveiligingsbeleid
• Het uitvoeren of coördineren van risicoanalyses
• Het bewaken van de implementatie van beveiligingsmaatregelen
• Het organiseren van bewustwording en trainingen voor medewerkers
• Het rapporteren aan de directie over de beveiligingsstatus
• Het voorbereiden en begeleiden van interne en externe audits
• Het bijhouden van wet- en regelgeving zoals de AVG en de aankomende Cyberbeveiligingswet

Belangrijk is dat informatiebeveiliging veel breder gaat dan ICT alleen. Slechts ongeveer een derde van de maatregelen binnen een norm als ISO 27001 is technisch van aard. Het grootste deel gaat over organisatie, processen en menselijk gedrag. De informatiebeveiligingsfunctionaris moet dus ook sterk zijn in communicatie, samenwerking en organisatorische processen.

Hoe bepaal je wie geschikt is voor de rol?

De geschikte kandidaat voor de rol van informatiebeveiligingsfunctionaris combineert organisatorisch inzicht met een basiskennis van informatiebeveiliging en de vaardigheid om mensen mee te nemen in verandering. Technische diepgaande ICT-kennis is een pré, maar geen harde vereiste.

Let bij de selectie op de volgende eigenschappen:

• Overzicht over de organisatie: de functionaris moet begrijpen hoe processen, systemen en mensen met elkaar samenhangen
• Communicatieve vaardigheden: beleid en risico’s moeten begrijpelijk worden uitgelegd aan collega’s en management
• Analytisch vermogen: risico’s herkennen, wegen en prioriteren vraagt om een gestructureerde denkwijze
• Doorzettingsvermogen: informatiebeveiliging vraagt om consistentie en het vermogen om ook bij weerstand koers te houden
• Bereidheid tot bijleren: wet- en regelgeving en dreigingen veranderen voortdurend

Iemand die al een rol heeft als kwaliteitsmanager, compliance officer of IT-coördinator heeft vaak al een deel van de benodigde basiskennis en organisatorische positie. Dat maakt hen een logische kandidaat om de informatiebeveiligingsrol erbij te pakken, zeker in een kleinere organisatie.

Moet de verantwoordelijke een formele aanstelling krijgen?

Ja, een formele aanstelling is sterk aan te raden en in veel gevallen ook vereist. Normen zoals ISO 27001 en NEN-7510 vragen expliciet dat rollen en verantwoordelijkheden op het gebied van informatiebeveiliging zijn vastgelegd en gecommuniceerd binnen de organisatie.

Een formele aanstelling biedt meerdere voordelen:

• Het maakt duidelijk wie het aanspreekpunt is, intern en extern
• Het geeft de functionaris mandaat om maatregelen door te voeren en collega’s aan te spreken
• Het toont aan auditors en toezichthouders dat de organisatie informatiebeveiliging serieus neemt
• Het voorkomt dat verantwoordelijkheid blijft zweven of bij meerdere personen tegelijk ligt zonder duidelijke regie

De aanstelling hoeft niet per se een nieuw contract of een nieuwe functie te zijn. Een schriftelijke taakomschrijving, een aanpassing van het functieprofiel of een besluit van de directie dat de rol toekent aan een bestaande medewerker is in veel gevallen voldoende. Wat telt, is dat de rol aantoonbaar belegd is.

Kan één persoon meerdere beveiligingsrollen combineren?

Ja, het combineren van meerdere rollen is in de praktijk gebruikelijk, zeker in kleinere en middelgrote organisaties. Wel zijn er grenzen aan wat zinvol en integer is. Sommige combinaties werken goed, andere creëren een onwenselijke situatie waarbij iemand zichzelf controleert.

Combinaties die goed werken:

• Informatiebeveiligingsfunctionaris én kwaliteitsmanager: beide rollen richten zich op beleid, processen en continue verbetering en vullen elkaar goed aan
• Informatiebeveiligingsfunctionaris én privacy officer: privacy en informatiebeveiliging overlappen inhoudelijk sterk, al vraagt de privacyrol soms een aparte Functionaris Gegevensbescherming (FG) bij bepaalde organisaties

Combinaties die je moet vermijden:

• Informatiebeveiligingsfunctionaris én interne auditor voor hetzelfde systeem: de interne audit moet onafhankelijk zijn; iemand kan niet zijn eigen werk beoordelen
• Te veel rollen bij één persoon: als informatiebeveiliging structureel te weinig aandacht krijgt omdat de rol slechts één van de tien verantwoordelijkheden is, werkt het in de praktijk niet

De sleutel is dat de rol voldoende tijd en aandacht krijgt. Een formele taakverdeling en duidelijke tijdsafspraken helpen om te voorkomen dat informatiebeveiliging steeds naar de achtergrond schuift.

Hoe verankert de verantwoordelijke de beveiliging in de organisatie?

De informatiebeveiligingsfunctionaris verankert beveiliging in de organisatie door het niet als een losstaand project te behandelen, maar als een doorlopend proces dat verweven is met de dagelijkse bedrijfsvoering. Dat vraagt om beleid, bewustwording, controle en continue verbetering, ook wel de PDCA-cyclus (Plan-Do-Check-Act).

Concrete stappen om beveiliging te verankeren:

1. Stel werkbaar beleid op dat aansluit bij de werkwijze van de organisatie, niet andersom
2. Zorg voor draagvlak bij de directie, want zonder steun van bovenaf komen maatregelen niet van de grond
3. Maak informatiebeveiliging bespreekbaar via regelmatige communicatie, bewustwordingssessies en trainingen
4. Voer periodieke risicoanalyses uit zodat het beleid up-to-date blijft met veranderende dreigingen en situaties
5. Gebruik interne audits om te toetsen of maatregelen daadwerkelijk werken zoals bedoeld
6. Rapporteer structureel aan de directie over de status, incidenten en verbeterpunten

Verankering lukt het beste als informatiebeveiliging niet wordt gezien als een IT-aangelegenheid maar als een organisatiebrede verantwoordelijkheid. De functionaris is de aanjager en bewaker, maar de hele organisatie draagt bij. Normen zoals ISO 27001 en NEN-7510 bieden hiervoor een bewezen structuur die ook voor auditors en toezichthouders aantoonbaar maakt dat beveiliging serieus wordt genomen.

Hoe Kwinzo helpt bij het aanwijzen van een verantwoordelijke voor informatiebeveiliging

Wij begrijpen dat het aanwijzen van een informatiebeveiligingsfunctionaris meer vraagt dan alleen een naam op papier zetten. De rol moet goed belegd zijn, de persoon moet weten wat er van hem of haar verwacht wordt, en de organisatie moet de juiste structuren hebben om de verantwoordelijke te ondersteunen. Wij helpen organisaties daarbij op de volgende manieren:

• Implementatiebegeleiding: wij begeleiden het volledige traject van nulmeting tot certificering, inclusief het vastleggen van rollen en verantwoordelijkheden conform ISO 27001, NEN-7510 of andere van toepassing zijnde normen
• Maandelijkse kennissessies: onze workshops voor Security Officers bieden de aangewezen functionaris concrete kennis en een netwerk van gelijkgestemden
• Interne audits: wij voeren interne audits uit als onafhankelijke partij, zodat de functionaris een helder beeld krijgt van wat goed gaat en wat beter kan
• Functionaris Gegevensbescherming (FG): als uw organisatie ook een FG nodig heeft, kunnen wij deze rol extern invullen
• Eigen ISMS-tool en sjablonen: praktische hulpmiddelen die de functionaris direct kan gebruiken zonder het wiel opnieuw uit te vinden

Onze aanpak is gebaseerd op slimme standaardisering waar het kan en maatwerk waar het nodig is. Zo profiteert de aangewezen verantwoordelijke van een bewezen methode die past bij de specifieke situatie van uw organisatie. Wil je weten hoe wij dit concreet kunnen invullen voor jouw organisatie? Neem dan contact met ons op voor een vrijblijvend adviesgesprek.