ISMS Security Lead

Samenvatting opdracht

De Veiligheidsregio Utrecht (VRU) werkt binnen het programma Digitale Veiligheid aan de verdere professionalisering van informatiebeveiliging en de implementatie van de BIO2-standaard.

Meerdere initiatieven op het gebied van governance, risicomanagement, beleid, processen, compliance, organisatie-inrichting, awareness en auditing lopen parallel; de opdracht richt zich op het samenbrengen van deze bouwstenen.

Het doel is het opstellen van een integraal Information Security Management System (ISMS) dat aansluit op BIO2 en op de werkwijze en context van de VRU, waarbij bestaande documenten en ontwikkelingen worden gedocumenteerd en gestructureerd.

De opdracht is primair documenterend, structurerend en beschrijvend van aard; er wordt niet verwacht dat de opdrachtnemer zelfstandig nieuwe risicoanalyses, audits of implementatieprojecten uitvoert.

Belangrijke deliverables zijn: een IST-beschrijving van de huidige ISMS-inrichting, een SOLL-doelinrichting passend bij BIO2, een integraal ISMS-handvest met rollen en verantwoordelijkheden, en functionele inrichtingseisen voor de ISMS-ondersteuningstool (BASE27) inclusief borging van reeds beschikbare producten.

Vereist profiel — ISMS Security Lead ICT

• Academisch of HBO werk- en denkniveau, bij voorkeur een afgeronde opleiding in ICT, information security, informatiemanagement of vergelijkbaar.
• Minimaal 5–7 jaar aantoonbare ervaring met informatiebeveiliging binnen (semi)publieke organisaties, bij voorkeur binnen veiligheidsketens of overheidscontexten.
• Diepgaande kennis van en ervaring met BIO2, ISO 27001 (of vergelijkbare frameworks) en ISMS-opbouw, inclusief vertaling van governance, processen en verantwoordelijkheden naar praktische documenten.
• Aantoonbare ervaring met het samenbrengen en structureren van bestaande beleidsdocumenten, risico- en auditresultaten en projectoutput tot een samenhangend ISMS (documenteren IST/SOLL, opstellen handvest).
• Sterke analytische en documentatievaardigheden: helder formuleren, procesmodellering en het opstellen van beleids- en implementatiegericht materiaal, inclusief functionele eisen voor tooling (ervaring met BASE27 is een pré).
• Ervaring met stakeholdermanagement binnen complexe organisaties; vermogen om snel vertrouwen te winnen, interesses en belangen te verenigen en heldere aanbevelingen te formuleren.
• Resultaatgericht, zelfstandig en georganiseerd werken; kunnen prioriteren in een omgeving met meerdere parallelle trajecten en duidelijke opleveringsgerichtheid.
• Goede communicatieve vaardigheden in het Nederlands, zowel schriftelijk als mondeling; ervaring met het presenteren van adviezen aan bestuur en management is gewenst.
• Beschikbaarheid voor de opdracht in de gevraagde projectperiode en bereidheid tot samenwerking met interne teams en externe leveranciers.

Eisen

• Een aantoonbare afgeronde hbo bacheloropleiding, bij voorkeur in de richting van Bedrijfskunde, Bestuurskunde, Procesmanagement en/of Kwaliteitsmanagement.
• Minimaal 5 jaar aantoonbare werkervaring met informatiebeveiliging, -governance, -compliance, -procesmanagement of -kwalheidsmanagement binnen middelgrote of grote organisaties.
• Aantoonbare kennis van en werkervaring met ISO 27001, ISO 27002, de BIO en de BIO2, inclusief kennis van de opzet, werking en besturing van een Information Security Management System (ISMS).
• Minimaal 2 aantoonbare en vergelijkbare opdrachten in de afgelopen 5 jaar waarbij zelfstandig verantwoordelijkheid was voor het ontwerpen, beschrijven of inrichten van een Information Security Management System (ISMS) binnen een grote (meer dan 500 medewerkers) organisatie.
• Aantoonbare werkervaring met het ontwerpen of beschrijven van managementsystemen, procesarchitecturen of kwaliteitsmanagementsystemen binnen complexe organisaties.
• Aantoonbare werkervaring binnen een overheidsorganisatie of vergelijkbare publieke organisatie, waarbij sprake was van bestuurlijke besluitvorming, compliance-eisen en meerdere betrokken stakeholders.
• Aantoonbare beheersing van de Nederlandse taal op minimaal C1-niveau, zowel mondeling als schriftelijk.

Wensen

• Minimaal 3 vergelijkbare opdrachten in de afgelopen 5 jaar waarbij de kandidaat verantwoordelijk was voor het ontwerpen, beschrijven of structureren van een Information Security Management System.
• Een motivatie waarin de concrete werkervaring met reeds bestaande processen, beleidsdocumenten, governance-structuren en initiatieven zijn samengebracht tot één samenhangend managementsysteem of besturingsmodel.
• Een motivatie waarin de concrete werkervaring met het ontwerpen, beschrijven of doorontwikkelen van governance-, security- of managementsystemen binnen veiligheidsgerelateerde overheidsorganisaties, veiligheidsregio's of andere hulpdiensten is beschreven.
• Concrete werkervaring met interne en externe audits, kwaliteitsmanagement, assurance en compliance; relevante certificeringen zoals ISO27001 Lead Auditor mogen worden meegenomen.

Competenties

• Neemt het voortouw.
• Weet richting te geven.
• Inspireert anderen om mee te bewegen in veranderingen.
• Werkt zelfstandig.
• Neemt eigenaarschap.
• Brengt vraagstukken proactief verder zonder continue sturing.
• Weet met natuurlijk gezag en een heldere visie de balans te bewaken tussen de strenge eisen vanuit de BIO2, de dynamische omgeving van de VRU en de praktische realiteit van budget en gebruikersgemak, zonder daarbij aan kracht of overtuiging in te boeten.
• Communiceert helder.
• Communiceert overtuigend.
• Creëert draagvlak bij uiteenlopende stakeholders.
• Is organisatiesensitief.
• Begrijpt hoe belangen, prioriteiten en besluitvorming binnen de VRU samenkomen.
• Houdt overzicht in een complexe omgeving.
• Kan hoofd- van bijzaken scheiden.
• Analyseert vraagstukken scherp en vertaalt deze naar heldere, uitvoerbare kaders.