Koen, de Chief Information Security Officer
In 2022 behaalde nFuse de ISO/IEC 27001-certificering. Dat vroeg uiteraard om een Chief Information Security Officer. Koen Leys, een van onze meest ervaren technical consultants, kreeg de rol van CISO aangeboden. We stelden hem een paar vragen over zijn rol. Dit is zijn verhaal!
Securitystrategie
Koen: "De job van CISO bij nFuse omvat verschillende onderwerpen, zoals securitystrategie, risicobeheer, beleidsontwikkeling, incidentrespons, compliance en regelgeving, en awareness en training.
Samen met de Managing Partners en onze implementatiepartner voor ISO/IEC 27001 ontwikkelde en implementeerde ik een securitystrategie, afgestemd op de doelstellingen en risicobereidheid van nFuse. Ik identificeerde en beoordeelde potentiële risico's voor onze informatiebeveiliging, en beheer die voortdurend. Ik zorg ervoor dat nFuse voldoet aan de relevante wet- en regelgeving op het vlak van gegevensbescherming en informatiebeveiliging.
We hebben beleidslijnen en procedures opgesteld, en ik ben verantwoordelijk voor het reageren op beveiligingsincidenten, het coördineren van de respons, het beperken van de schade en het communiceren van risico en impact.
Tot slot ben ik de grootste promotor van bewustwording rond informatiebeveiliging binnen de organisatie, en organiseer ik maandelijkse trainingen (door en voor) medewerkers over securitypraktijken."
Continue verbetering, ook in security
"Ik moet echt voortdurend bij de les blijven. Hackers en andere kwaadwillenden vinden dagelijks nieuwe manieren om onze technologieoplossingen binnen te dringen. Ik volg het nieuws en officiële informatiekanalen, en lees securityblogs, whitepapers en onderzoeksrapporten over recente incidenten."
"Dankzij onze ISO-certificering hebben we standaard beveiligingsmaatregelen op orde"
Het leuke werk, maar ook wat administratie
"Mijn rol is vooral gericht op de securitystrategie voor nFuse zelf, niet op die van onze klanten. Maar dat betekent niet dat ik me helemaal geen zorgen om hen maak. nFuse biedt OWASP Top-10-scans aan. Van tijd tot tijd adviseren we onze klanten over bepaalde DevSecOps-kwesties. We zijn blij dat ons advies zelden in de wind wordt geslagen.
Zoals bij de meeste rollen zijn er leuke en minder leuke aspecten. We zijn uiteraard ISO-gecertificeerd, wat administratieve verplichtingen met zich meebrengt (rapportering en zo). Dat vind ik wat minder leuk, maar het hoort bij de job. Ik help graag mee aan de securitystrategie van nFuse en maak graag een verschil voor mijn werkgever. Daarnaast los ik ook graag incidenten op, net door de druk die ermee gepaard gaat. Dankzij de ISO-certificering hebben we wel vaste procedures om te volgen, die het oplossen van incidenten vaak ondersteunen. Het eerste is de aanval indammen. Hoe sneller we de aanval kunnen blokkeren, hoe minder schade er kan worden aangericht. Nadien kunnen we de schade inschatten en ervoor zorgen dat een inbreuk zich niet opnieuw voordoet. Het is ook mijn taak om de nodige instanties over een inbreuk te informeren!"
Soft en hard skills combineren
"Als me wordt gevraagd securitykwesties uit te leggen, vertrouw ik meestal op analogieën. Een voorbeeld: een aanvaller kreeg toegang tot de applicatieserver via een buffer-overflow-shell en kon het databasewachtwoord uit de configuratie van de appserver lezen, waardoor hij de wachtwoorden van alle klanten kon buitmaken. Voor een niet-technisch publiek leg ik dit uit als: een dief kon, door een fout in het slotmechanisme van de achterdeur, die zonder sleutel openen en zo het gebouw binnendringen. Daar vond hij in het sleutelkastje van de conciërge de sleutel van de archiefruimte, en in het archief kon hij de klantendossiers van alle klanten fotokopiëren en meenemen. Dit soort analogie doet bij mensen een belletje rinkelen."
Mitigeren en adviseren
"Meestal zijn mensen niet geïnteresseerd in hoe of waarom een datalek kon gebeuren. Ze zijn wel geïnteresseerd in de gevolgen van een lek voor hun bedrijf, hoeveel schade er is en hoeveel het hen zal kosten om verdere risico's te beperken. Mijn soft skills (een technisch probleem op een niet-technische manier kunnen uitleggen) combineren met mijn zeer technische hard skills is ideaal. Ik kan de situatie snel inschatten en helder, to-the-point advies geven. Bovendien is het makkelijker iemand te overtuigen om in zijn eigen beveiliging te investeren wanneer je er zelf gepassioneerd over bent!"