Welke principes helpen een (Chief) Information Security Officer (ISO) om succesvol te zijn? We kunnen die principes afkijken van bekende ISO’s, maar we kunnen ook profiteren van kennis en ervaring die elders al beschikbaar is. Nederlandse schoolleiders blijken een verrassend goede evenknie te zijn voor ISO’s.
“De beste Nederlandse schoolleiders blijken een negental principes systematisch toe te passen in hun school”, schreef de heer Greven in 2015. In de vorm van een drieluik (attitude, strategie, dagelijks handelen) laat ik zien hoe je die principes kunt toepassen in een heel ander vakgebied, zoals informatiebeveiliging.
Als ISO herken ik veel in de negen principes. Zonder te pretenderen dat ik enig onderzoek heb gedaan naar excellentie onder ISO’s, beschrijf ik in deze blog de principes die te maken hebben met ATTITUDE. In volgende blogs komen de principes van STRATEGIE en DAGELIJKS HANDELEN aan de beurt.
De eerste drie principes hebben te maken met de houding die de ISO aanneemt en uitstraalt.
De passie van de ISO is niet meetbaar, maar wel onmiddellijk herkenbaar en die werkt door in het hele bedrijf. De excellente ISO heeft een fundamentele motivatie (innerlijke drijfveer) die hij (of zij natuurlijk) op een aanstekelijke manier uitdraagt, waardoor deze anderen weet te sturen en deelgenoot maakt van zijn missie.
Natuurlijk zijn er ook minder spannende formele zaken die afgewikkeld moeten worden. En ook zijn er audits, evaluaties, vergaderingen en dergelijke die veel tijd en energie kosten. Maar de excellente ISO kijkt verder dan deze horizon, en gebruikt elke gelegenheid om zijn missie enthousiast voor het voetlicht te brengen. Dat maakt het verschil.
Er zijn bedrijven die voortkabbelen, waarbij de attitude van medewerkers, de directie en het bestuur wordt gekenmerkt door tevredenheid de gang van zaken. Er zijn ook bedrijven waar veel meer beweging in zit, waar ruimte is voor experimenten en waar constant wordt bekeken wat verder verbeterd kan of moet worden.
Als ISO kun je je niet permitteren om voort te kabbelen. Daarvoor gaan de ontwikkelingen in cyberland veel te snel. Wat vandaag nog voldoende is, is morgen te weinig. Met mogelijk grote gevolgen. De excellente ISO weet medewerkers én directie te overtuigen van nut, noodzaak en impact van informatiebeveiliging als een continu proces. Het is nooit af. Ook niet als je een audit goed hebt doorstaan. De ISO neemt het voortouw door bv. systeem- of informatie-eigenaren uit te nodigen om samen met hem na te denken over de betekenis van nieuwe ontwikkelingen. Wat moeten we daarmee? Hoe wapenen we ons? Welke aanpassingen en investeringen vraagt dat?
Er is geen kookboek dat precies vertelt wat je moet doen, dus soms gaat iets mis. De excellente ISO is daarom veel bezig met het managen van verwachtingen. Hij maakt duidelijk dat 100% beveiliging niet mogelijk, niet nodig en (vanwege de kosten) niet wenselijk is. Wat wel noodzakelijk is, is voorbereiding op incidenten. De ISO kan bv. workshops of rollenspellen organiseren waarin crisissituaties worden doorgenomen. Daar kan hij de organisatie prikkelen om duidelijke keuzes te maken en verantwoordelijkheden te beleggen. En natuurlijk neemt de ISO een belangrijk deel daarvan voor zijn rekening. Op hem kun je bouwen, door zijn kennis, kunde en autoriteit.
Informatiebeveiliging kun je op twee manieren benaderen: het beschermen tegen negatieve effecten, of het mogelijk maken van positieve effecten. Een negatief effect is bv. risico op schade. Vaak kun je dat omdraaien: enkel dankzij beveiliging kunnen bepaalde activiteiten worden uitgevoerd en dus winst opleveren voor een bedrijf. Informatiebeveiliging als business enabler.
Door een positieve houding aan te nemen wordt het eenvoudiger om kansen en oplossingen te vinden in plaats van te blijven hangen in risico’s. Niet denken “dat kan niet, want dan gebeurt X”, maar meer “als we Y doen, dan kunnen we ineens ook Z”.
Voor de ISO is het een hele uitdaging om een organisatie mee te krijgen in een andere manier van denken, zeker als conservatisme de norm is. Juist door met de business mee te denken kan de excellente ISO zijn meerwaarde tonen: hij moet vooral geen boeman zijn die overal beren op de weg aanwijst, maar iemand die meestuurt om de beren handig te omzeilen.
Deze drie principes van de excellente schoolleider zijn prima te vertalen naar de excellente information security officer. Geldt dat ook voor de principes met betrekking tot STRATEGIE? Dat lees je in de volgende blog.
De Negen Principes van de excellente schoolleider (Greven, 2015):
zie o.a. https://leiderschapinschool.nl/negen-principes-excellente-schoolleider/en https://www.rensrottier.nl/?p=754