Welke competenties moet een Informatiebeveiliger bezitten?

[kraaitje]

Informatiebeveiliging is tegenwoordig erg hot . Wanneer lees je niet dat er een laptop van de overheid op straat is komen te liggen met gevoelige gegevens erop of dat gevoelige informatie is doorgelekt? Er zijn ook diverse banen en functies in dit vakgebied te vinden, maar wat moet zo iemand nou kunnen om een dergelijke functie te kunnen vervullen? Met andere woorden, welke competenties worden er van zo iemand verwacht? Ik volg zelf een aantal minors informatiebeveiliging maar ik vraag mij af welke competenties er daadwerkelijk gevraagd worden vanuit het bedrijfsleven. Hechten bedrijven hoge waarde aan het kunnen herkennen van beveiligingslekken en technische zaken, of vinden bedrijven de alpha (menselijke) kant van informatiebeveiliging belangrijker zoals het creeeren van draagvlak en awareness bijbrengen. Ik zou het leuk vinden om van mensen uit de praktijk eens wat voorbeelden te krijgen van mogelijke competenties die belangrijk zijn bij informatiebeveiling en dan vooral voor een startende HBO-er die zich thuisvoelt in dit vakgebied. Misschien kunnen jullie ook vermelden wat voor functie jullie betreden en in wat voor type organisatie jullie werken. Ik ben benieuwd!

[/TheDuke\]

Ligt aan je ambities en wat je precies wilt bereiken. Informatiebeveiliging is meer dan IT (vandaar ook het woord informatie ipv IT beveiliging)
Informatiebeveiling is een breed vakgebied met o.a. raakvlakken op technisch, proces en human gebied. Wil je penetratietester worden? Of ga je meer voor het inrichten van de processen? Regelen van uitwijk? Ontwerpen veilige applicatiearchitectuur? Of wil je vooral direct advies aan het management? En dan het IT management? Of directeur van de business?
Mijn inziens moet je vooral goede communicatieve skills hebben en inzicht hebben in bedrijfsvoering.
Hoe leg je in jip-en-janneke-taal uit dat een technisch issue toch belangrijk is? En hoe verkoop je het? Of beveiliging je een dubbeltje met een kwartje? Wat is het reele risico?

Veel ITérs ontberen enige realiteit met bedrijfsvoering en focussen zich snel op IT maatregelen. Dit terwijl een aftekenlijst ook een control is. Ikzelf heb een IT opleiding, nu bezig met bedrijfskunde en daarna vakopleidingen. Tegenwoordig zie je een sterke nadruk (na Amerikaans voorbeeld) voor CISSP, CISM of CISA.

Ik ben 7 jaar geleden beginnen als uitvoerend security medewerker (lees account beheer) en nu Information Security Officer van een Europese investeringsmaatschappij.

Samengevat: belangrijk is communicatieskill, inzicht bedrijfsvoering en certificaten

Nog last note: Informatiebeveiling wordt ook steeds meer onderdeel van Operational Risk Management, hier is een accountopleiding of CISA erg handig. Ook komt er een sterkere nadruk op jurdische controls, bijv Sox of MiFID wat ook impact heeft op informatiebeveiliging.


Succes met rondkijken.

[kraaitje]

Bedankt voor je reactie! Leuk om te lezen hoe andere mensen hiernaar kijken. Het is inderdaad zo dat je diverse kanten op kan, zowel technisch als organisatorisch.Tijdens de minors die ik volg wordt inderdaad ook de nadruk gelegd op vooral de alpha kant van de beveiliging en niet zo zeer op de technische maatregelen zoals virusscanners en dat soort dingen, waar de meeste het eerste aan denken bij het woord beveiliging. De mens is immers de zwakste schakel wordt er gezegd!

Maar wat vinden opleidingen nou belangrijke competenties? Een aantal zaken die je moet beheersen zijn bijvoorbeeld: weten welke maatregelen noodzakelijk zijn om de veiligheid van informatie te waarborgen, adviseren over IB-beleid, risicoanalyse kunnen maken, beveiligingsarchitectuur opstellen, beheren van maatregelen en auditing van de omgeving. Dat zijn de speerpunten van de minor blokken informatiebeveiling. Dit zijn dan de vakgerichte competenties van een IB-er, echter zijn er natuurlijk ook veel persoonlijke competenties waar Duke het over had. Maar is het in de praktijk nu zo dat je, buiten bovengenoemde vaardigheden, nog meer vaardigheden moet bevatten om als een goede IB-er aan de slag zou gaan (buiten persoonlijke competenties zoals communiceren, adviseren, etc)?

[Verwijderd]

Wat opleidingen boeiende competenties lijken lijkt me een non-topic. Je gaat dadelijk werken voor bedrijven, niet voor die geitewolle sok voor de klas

Bij ons zie je heel duidelijk dat de security piepols mensen zijn die uit het bedrijfseconomische stuk van de tent komen en nu een beetje rondrennen op de IT afdeling niet omdat ze ITer zijn maar omdat ze ITers nodig hebben om allerlij gegevens boven water te krijgen, processen uit te tekenen, gaten te zien van de beheerderskant en uiteindelijk om de ITers én gebruikers nieuwe policy's aan te leren.

Zoals TheDuke al zegt: het modale ITertje is een geweldige techneut maar absoluut niet bekend met de bedrijfskundige realiteit. Zelf met m'n toch niet bijzondere MBO+ Accountancy opleidinkje voor m'n even zo boeiende MBO+ Technische informatice ben ik al duidelij beter gebalanceerd opgeleid dan de meeste andere ITers waar ik tot nu toe mee gewerkt heb. Die zoeken naar een betere firewall en roepen bij problemen op de werkvloer als mensen zich niet ana policy houden altijd "ja maar je moet je aan die-en-die richtlijn altijd houden" zonder er bij na te denken of het, als die richtlijn structureel in het geding komt, niet eens tijd wordt om die richtlijn te bekijken of eventueel te wijzigen.

Eigenlijk zou je zover ik het tot nu toe gezien heb (en ik heb al een paar SOX audits mee gemaakt. ) beter een controller deze klus kunnen geven dan een ITer: de technische skills om effe een paar lijstjes te draaien of ad hoc een rapportje voor de auditor te schrijven, die kun je zo van de lokale IT afdeling plukken. Focus dus zo min mogelijk op het technische gedeelte en maximaal op de bedrijfsprocessen, policy's en de controleerbaarheid van alles wat er gebeurt.