Jeroen Schipper: Een goede relatie met je CISO is de goedkoopste risicomaatregel die je hebt

​Zorg je er als organisatie niet voor dat je CISO de juiste middelen, het mandaat en het vertrouwen heeft, dan valt die persoon op een gegeven moment uit, zegt Jeroen Schipper. Voordat je een goede vervanger hebt gevonden, ben je zomaar maanden tot meer dan een jaar verder. Je verliest productie, en in die tijd loop je meer risico. “Het is gewoon een keiharde businesscase,” zegt hij er meteen bij. Geen zacht welzijnsverhaal, maar een rekensom die ieder bestuur zou moeten kunnen maken.

​Jeroen Schipper was zeven jaar lang CISO van de gemeente Den Haag, won de allereerste CISO of the Year Award en werkt tegenwoordig als Chief Security Advisor bij DEFION Security. Hij weet wat de rol met je doet. Zeven keer vierentwintig aanstaan, iedere avond even inloggen, ieder weekend wel iets, ook op vakantie, want bestuurders bellen toch de CISO en niet de plaatsvervanger. “Je beseft dat soort dingen pas later,” zegt hij. Over burn-out in het vak schreef hij eerder een artikel op basis van onderzoek en cijfers. Eén misverstand wil hij meteen wegnemen: het probleem zit niet bij de CISO zelf.

Deze aflevering van Security Innovation Stories maakt deel uit van een speciale reeks rond CyberSec Netherlands (9 en 10 september, Jaarbeurs). Op 9 september is Jeroen te gast in het panel “CISO under pressure: leadership on the frontline of cyber risk”, samen met Marianne Schinkel en Ashish Shrestha, onder leiding van moderator Bram de Bruijn. Het gesprek zal gaan over de complexiteit van de rol en hoe je daar als CISO mee omgaat.

Vertrekken er echt zoveel CISO’s?

​Dat zoveel CISO’s vertrekken, zou aantonen hoe weinig de functie wordt gewaardeerd. Jeroen zet daar meteen een streep door. “Dat is heel erg kort door de bocht. Want vertrekken er heel veel CISO’s, is de eerste vraag.” Wat hij wel ziet: CISO’s vertrekken om redenen die al lang geregeld hadden kunnen zijn. “Dat ligt gewoon in veel gevallen bij bestuurders die onvoldoende aandacht hebben voor niet alleen het onderwerp, maar ook de persoon.”

​De rol is zwaar, en dat is niet het punt. “Het is soms gewoon een klote baan,” zegt Jeroen. Wat het onhoudbaar maakt, is dat veel CISO’s vastlopen op een bestuur dat geen interesse heeft in de rol of in de persoon die hem uitvoert. “Daar gaat het mis.” Daar helpt geen extra tool tegen. Het zit in de relatie met de top, en die moet je opbouwen. Niet geforceerd, wel bewust, en voordat je hem nodig hebt.

Een stoel aan tafel én vertrouwen

Er wordt veel gesproken over de CISO die een stoel aan tafel moet hebben, maar Jeroen nuanceert dat beeld. Een vaste stoel hoeft het niet te zijn. Waar het om gaat is dat bestuurders je weten te vinden, en dat jij als het nodig is op de agenda komt: een paar keer per jaar je gezicht laten zien bij het hoogste orgaan, en de mensen daarbinnen ook individueel regelmatig spreken.

In zijn beginperiode in Den Haag had Jeroen een directeur die hem volledig vertrouwde en volledig liet gaan op budget, mensen en middelen, wat hij vergelijkt met een aparte bv binnen de gemeente. Een eiland was het echter niet. “Zonder dat je echt los was van de rest van de organisatie, helemaal niet.” Voorstellen werden serieus genomen omdat iedereen wist dat er goed over was nagedacht. “Dat vertrouwen krijg je niet cadeau; dat verdien je, en het maakt je werk mogelijk,” zegt hij.

​Wat die vrijheid vooral betekende: besluitvorming begon bij zijn team. Voorstellen kwamen binnen met de dreigingen en de risico’s erbij, en waren niet door Jeroen alleen bedacht maar door het hele team. “Dan moet je wel van goede huizen komen om te zeggen: dat gaan we niet doen.”

“Als je tijdens een crisis eerst een voorstelrondje moet doen, ben je verkeerd voorbereid.”

​Advies voor beginnende CISO’s

​Wat raadt hij iemand aan die net begint? Die gesprekken heeft hij vaak. Toen Den Haag naam had gekregen met Hâck The Hague werd hij gebeld door iemand uit een kleine gemeente: drie weken CISO, de oude beheerdersrol er nog bij, en de vraag wat hij nu moest doen.

Het antwoord begint niet bij techniek. “Je moet echt weten hoe de situatie er nu uitziet. Wat voor dreigingen hebben we anders dan andere organisaties?” En daarnaast: bouwen aan die relatie. “Zeker als je net begint, dan heb je al het recht om een afspraak te maken met het hoogste bestuur.” Bij een gemeente is dat de verantwoordelijke wethouder. Want als er iets speelt, moet je die kunnen bellen. En als ze dan denken: wie is dit? “Dan sta je al een uur achter.”

Het belang van het opbouwen van goede relaties

Dat opgebouwde vertrouwen wordt pas echt zichtbaar op het moment dat het misgaat. Als er een incident speelde dat groter leek dan gedacht, belde Jeroen de gemeentesecretaris. Ze nam altijd op, want ze wist: als hij belt, is er iets.

Die reflex ontstaat niet tijdens de crisis zelf, maar is het resultaat van de relatie die er al lag. “Als je tijdens een crisis eerst een voorstelrondje moet doen, ben je verkeerd voorbereid,” zegt Jeroen. Zijn advies is daarom verrassend informeel: drink dat biertje of die koffie nú, wanneer er niets aan de hand is, want als het misgaat zit je mogelijk dagen of wekenlang met elkaar om tafel.

Het werkt twee kanten op. Wat volgens hem te weinig gebeurt, is dat het hoogste niveau zelf de eerste stap zet. “Het is ook wel eens lekker om te horen van het hoogste niveau: goed bezig, laten we elkaar ook eens beter leren kennen.” Met in het achterhoofd dat je bij een crisis dagen of weken met elkaar om tafel zit. “Dus leer elkaar nu kennen, dan hoef je daar in ieder geval geen voorstelrondje meer te doen.”

Waarom juist nu

Er is een reden waarom dit gesprek nú urgent is. Met de komst van de Nederlandse Cyberbeveiligingswet (NIS2) voelt het bestuur ineens dezelfde druk die de CISO al jaren draagt. De verleiding om achterover te leunen met een ‘I told you so’ is groot, geeft Jeroen toe, maar dat zou zonde zijn. Dit is juist het momentum om het samen op te pakken. Zijn inzet is concreet, minimaal vier keer per jaar om tafel met de CISO. Welke dreigingen zien we, welke risico’s lopen we, welke maatregelen moeten we nemen, en dat vastleggen.

​De relatie tussen bestuur en CISO is geen zachte randvoorwaarde. Het is de maatregel die bijna niets kost en het meeste oplevert. De verantwoordelijkheid ligt echter niet in het midden. “Het is een bestuursprobleem en niet een probleem van de CISO.” Het bestuur regelt mandaat, budget en aandacht, en gaat zelf om tafel. Zijn boodschap is aan beide kanten dezelfde. “Pak het momentum. Dat zou de boodschap zijn. En dat zeg ik tegen de CISO, ook tegen bestuurders.”