Wil je de informatiebeveiliging van je organisatie versterken, maar heb je geen behoefte aan een fulltime security expert? Met onze CISO op maat krijg je precies de expertise die je nodig hebt, wanneer je het nodig hebt.
Een IT security expert in de rol van CISO (Chief Information Security Officer) bepaalt wat je bedrijf moet beschermen, tegen welke risico’s en met welke maatregelen. Daarna houdt de CISO bij of die maatregelen in de praktijk ook werken.
Zelf installeert de CISO niets. Je IT-beheerder houdt de systemen draaiend, de CISO bepaalt welke beveiliging daarbij hoort en controleert of het gebeurt. Meer over die rol lees je in onze blog Wat doet een externe CISO voor het MKB?
Een voorbeeld: de leverancier van je boekhoudpakket kan op afstand inloggen op je netwerk. De CISO zoekt uit wie dat account gebruikt, of er tweefactorauthenticatie op zit en wat het contract zegt over een datalek.
Het juiste moment
Meestal begint het met een vraag van buiten. Een klant stuurt een beveiligingsvragenlijst, je verzekeraar wil je incidentprocedure zien of een opdrachtgever vraagt om een ISO 27001-certificaat.
Zo’n vragenlijst wil bijvoorbeeld weten of je een informatiebeveiligingsbeleid hebt, hoe je back-ups test en wie bij klantgegevens kan. Houdt niemand dat bij, dan vult de directeur hem op gevoel in.
Een vaste security expert is ook zinvol als:
Staat de basis nog niet, dan ben je te vroeg. Back-ups die je echt hebt teruggezet, tweefactorauthenticatie op je mail en updates die automatisch draaien regel je met je IT-beheerder. Pas daarna heeft een CISO iets om op te sturen.
Je krijgt één vaste security expert, die op vaste dagen bij jou op kantoor werkt. Zo verloopt het:
Waar het nodig is, toetsen we de maatregelen met een security scan of pentest. Zoek je nog een partij, dan helpt onze blog over een IT security partner kiezen.
Eén vast aanspreekpunt
Een security expert die je bedrijf kent. De CISO zit bij het managementoverleg, kent je IT-partij en weet welke klanten welke eisen stellen. Bij elke nieuwe vraag hoef je dus niet opnieuw uit te leggen hoe het bij jullie werkt.
De inzet begint bij 1 dag per maand. Rond een certificering of audit loopt die op en daarna zakt hij weer terug. Zo betaal je geen fulltime functie voor werk dat geen vijf dagen per week vraagt.
De Cyberbeveiligingswet legt het goedkeuren van de maatregelen bij het bestuur. De CISO bereidt die besluiten voor, de directie neemt ze. Met een NIS2-directietraining weet je bestuur waarover het beslist.
Nee. Geen wet schrijft een CISO voor, ook de Cyberbeveiligingswet niet. Een CISO wordt zinvol zodra klanten, verzekeraars of een certificering eisen stellen die niemand in je bedrijf kan beantwoorden.
Ja. Veel bedrijven zetten een CISO in voor de duur van een ISO 27001-traject, of tot ze zelf een security officer aannemen. De CISO zet het beleid neer en draagt het daarna over aan je eigen mensen.
Ja. Op de vaste dagen werkt de CISO bij jou op kantoor. Zo spreekt de CISO je medewerkers en je IT-partij zelf en ziet hoe er in de praktijk gewerkt wordt.
Ja. De CISO stelt het informatiebeveiligingsbeleid en de risicoanalyse op die de norm vraagt, en bereidt je organisatie voor op de audit. Rond de audit loopt het aantal dagen per maand tijdelijk op.
De CISO stelt het op en de directie bespreekt het. Erin staan de stand van de maatregelen, de openstaande risico’s, de incidenten en de besluiten die nodig zijn. Bij ons gebeurt dat elk kwartaal.
Wil je weten hoe je jouw informatiebeveiliging praktisch en effectief kunt aanpakken? In een persoonlijk gesprek kijken we naar de situatie van jouw bedrijf en vertellen we je in heldere taal wat er nodig is.
