Bouwer en auditor in één

Ik werk als externe CISO en als auditor. Die combinatie bepaalt hoe ik naar security kijk. Als bouwer weet ik wat het kost om een maatregel echt ingevoerd te krijgen, met alle discussies die daarbij horen. Als auditor weet ik waar een toetser op let en welk bewijs er verwacht wordt. Bij dezelfde organisatie doe ik overigens niet allebei, want dan is de onafhankelijkheid weg.

Wat ik steeds doe is de norm vertalen naar maatregelen die kloppen en die je collega's snappen. Een beleidsstuk dat niemand herkent, verandert niets. Ik schrijf dus liever iets dat lijkt op hoe jullie al werken, en dat op de punten die er echt toe doen scherp is.

Aan het eind van een traject moet er iets staan dat blijft draaien als ik weg ben. Dat is de lat die ik voor mezelf leg, en het is ook de reden dat ik werk bij mensen in de organisatie neerleg in plaats van alles zelf op te leveren.