Chief Information Security Officer

Atura; Nieuwegein; Hybrid; EUR 56,000 - 78,000; Full time

Benefits offered by this job

Maandsalaris €5.000–€7.000

Mobiliteitsvergoeding €800 bruto

Studiebudget

Laptop/Max budget

Smartphone budget

Thuiswerkplek budget

Jaarlijkse bonus

25 verlofdagen

Verloftijd aankopen mogelijk

Flexibel werken (thuis/kantoor/klanten

Ruimte om mee te bouwen

Job summary

Atura zoekt een (Chief) Information Security Officer / Security Manager die organisaties helpt om informatiebeveiliging bestuurbaar te maken. Je werkt voor meerdere klanten en geeft richting, bewaakt voortgang en beoordeelt of maatregelen passen bij het risico.

Je hebt ervaring met informatiebeveiliging, IT-risk, audit, compliance of infrastructuur en weet hoe je met directie en IT samenwerkt. Je werkt flexibel thuis, op kantoor en bij klanten in de regio Utrecht.

Qualifications

• praxiservaring met informatiebeveiliging, IT-risk, audit, compliance, infrastructuur
• minimaal 3 jaar relevante praktijkervaring
• goede beheersing van Nederlands en Engels
• ervaring met klantgesprekken, workshops of adviestrajecten
• certificeringen zoals ISO 27001, Lead Implementer/Lead Auditor, CISM, CISSP, CRISC is mooi meegenomen

Responsibilities

• informatiebeveiligingsrisico's in kaart brengen en vertalen naar concrete keuzes
• securitybeleid, verbeterplannen en managementrapportages opstellen
• gesprekken voeren met directie, management, IT, leveranciers en externe specialisten
• voortgang bewaken op maatregelen bij klanten of partners
• bevindingen vastleggen zodat keuzes navolgbaar zijn
• begeleiden bij normenkaders en juridische verplichtingen zoals NIS2 en AVG
• technische bevindingen vertalen naar risico's en besluitvorming
• meewerken aan templates, werkwijzen en kwaliteitsstandaarden binnen Atura

Job description

Atura zoekt een (Chief) Information Security Officer / Security Manager die organisaties helpt informatiebeveiliging bestuurbaar te maken. Je werkt voor meerdere klanten en helpt hen met regie, structuur, toetsing en managementinformatie. Niet door zelf alle techniek in te richten, maar door richting te geven, voortgang te bewaken en scherp te beoordelen of maatregelen passen bij het risico.

Onze klanten zijn Nederlandse MKB+ organisaties die te groot zijn geworden voor losse securitymaatregelen, maar nog geen eigen CISO hebben. Ze krijgen te maken met normenkaders zoals ISO 27001, CIS Controls en NIST CSF, met juridische verplichtingen zoals NIS2 en AVG, met klantvragen, audits, accountants, leveranciersrisico's en bestuurders die willen weten: waar staan we, wat moet eerst en wie houdt de regie?

Daar kom jij in beeld als trusted advisor van de directie of het bestuur.

Wat je gaat doen:

Je werkt mee aan security management trajecten voor klanten. Je helpt organisaties om informatiebeveiliging bestuurbaar te maken: helder beleid, praktische prioriteiten, duidelijke risico's en rapportages waar het management iets mee kan. Je werkzaamheden kunnen bestaan uit:

• informatiebeveiligingsrisico's in kaart brengen en vertalen naar concrete keuzes;
• securitybeleid, verbeterplannen en managementrapportages opstellen;
• gesprekken voeren met directie, management, IT, leveranciers en externe specialisten;
• voortgang bewaken op maatregelen die door de klant of partners worden uitgevoerd;
• maatregelen, plannen en bewijsstukken inhoudelijk toetsen;
• klanten begeleiden bij normenkaders zoals ISO 27001, CIS Controls en NIST CSF en bij juridische verplichtingen zoals NIS2 en AVG;
• technische bevindingen vertalen naar risico's, prioriteiten en besluitvorming;
• bevindingen helder vastleggen, zodat keuzes later navolgbaar zijn;
• meewerken aan templates, werkwijzen en kwaliteitsstandaarden binnen Atura.

Jij bent dus degene die richting geeft, niet degene die de techniek zelf installeert. Je hoeft niet zelf firewalls te configureren, IAM in te richten of een SIEM te beheren. Je moet wel begrijpen wat zulke maatregelen betekenen, welke keuzes erachter zitten en hoe je beoordeelt of ze passen bij het risico van de klant. Deze rol zit precies tussen bestuur, risico en techniek in. Je voert regie, maar je moet technisch genoeg zijn om door te vragen, aannames te herkennen en niet alles klakkeloos van een leverancier over te nemen.

Wie we zoeken

We zoeken bij voorkeur iemand op medior- of seniorniveau. Je hoeft geen volledig doorgewinterde CISO te zijn, maar je moet wel praktijkervaring hebben met informatiebeveiliging, IT-risk, audit, compliance of infrastructuur. Een sterke junior sluiten we niet uit, maar dit is geen startersrol. Alleen opleiding, certificeringen of interesse in cybersecurity zijn voor deze functie niet genoeg.

• aantoonbare praktijkervaring hebt met informatiebeveiliging, IT-risk, audit, compliance, infrastructuur of security consultancy;
• beschikt over projectmanagementvaardigheden, zoals het bewaken van planning, deadlines en resources;
• beschikt over relevante certificeringen op het gebied van security management;
• bekend bent met normenkaders zoals ISO 27001, CIS Controls, NIST CSF, BIO of vergelijkbare frameworks;
• begrijpt dat NIS2 en AVG juridische verplichtingen zijn en wat hierbij komt kijken;
• risico's kunt vertalen naar begrijpelijke managementinformatie;
• technische onderwerpen kunt beoordelen zonder jezelf te verliezen in detail;
• kunt schakelen tussen bestuur, management, IT en uitvoering;
• helder schrijft;
• kritisch bent, maar niet onnodig ingewikkeld doet;
• zelfstandig kunt werken en weet wanneer je moet escaleren;
• structuur kunt aanbrengen in situaties waar nog veel onduidelijk is.
• Wat je meebrengt Richtlijn:hbo/wo werk- en denkniveau;
• minimaal 3 jaar relevante praktijkervaring in informatiebeveiliging, IT-risk, audit, compliance, infrastructuur of consultancy;
• goede beheersing van Nederlands en Engels, mondeling en schriftelijk;
• technische basiskennis van moderne IT-omgevingen, bijvoorbeeld cloud, identity & access management, netwerksegmentatie, logging, endpoints, kwetsbaarhedenmanagement of security monitoring;
• ervaring met klantgesprekken, workshops, adviestrajecten of interne verbetertrajecten;
• het vermogen om bevindingen kort, scherp en bruikbaar op te schrijven;
• je bent leergierig en staat altijd open voor ontwikkeling.

Certificeringen zoals ISO 27001 Lead Implementer, Lead Auditor, CISM, CISSP, CRISC of vergelijkbaar zijn mooi meegenomen. Ze vervangen alleen geen praktijkervaring. We zoeken iemand die begrijpt hoe informatiebeveiliging werkt in echte organisaties, met echte afhankelijkheden, belangen, onzekerheden en beperkingen.

Atura bouwt aan Security Management as-a-Service voor organisaties zonder eigen CISO. We combineren CISO-regie, vaste bouwblokken en slimme ondersteuning door tooling en agents. Het doel is niet om klanten afhankelijk te maken van losse adviezen, maar om security management voorspelbaar, toetsbaar en overdraagbaar te organiseren. Je werkt met verschillende typen klanten en in verschillende omgevingen. Tegelijk begin je niet iedere opdracht vanaf nul. We werken op basis van de Atura way of working: vaste bouwblokken, formats, kwaliteitsstandaarden en een gedeelde manier van denken. Daardoor kun je klanten helpen op een manier die professioneel voelt, intern overdraagbaar is en niet volledig afhankelijk wordt van één consultant. Dat maakt je werk makkelijker.

Je werkt flexibel: thuis, op kantoor en bij klanten. Niet vanuit een vast aanwezigheidsritme, maar vanuit wat nodig is om goed werk te leveren en goed samen te werken.Je komt terecht in een vroege fase van onze onderneming. Dat betekent ruimte om mee te bouwen aan de manier waarop we werken. Geen logge consultancyfabriek, wel hoge eisen aan kwaliteit, scherpte en betrouwbaarheid.

Arbeidsvoorwaarden

We willen dat je goed kunt werken, blijven leren en professioneel voor de dag komt bij klanten. Daarom regelen we de basis goed. Je krijgt onder meer:

• een bruto maandsalaris van € 5.000 tot € 7.000 op basis van een fulltime dienstverband;
• een goede mobiliteitsvergoeding van € 800 bruto voor eigen vervoer, bijvoorbeeld voor het leasen van een mooie auto;
• een studiebudget voor opleidingen, certificeringen en inhoudelijke ontwikkeling;
• een budget voor een mooie MacBook of Windows-laptop;
• een budget voor een smartphone;
• een budget voor je thuiswerkplek;
• een jaarlijkse bonusregeling;
• 25 vrije dagen op basis van een fulltime dienstverband;
• de mogelijkheid om extra verlofdagen aan te kopen;
• zeer flexibele mogelijkheden om thuis, op kantoor (regio Utrecht) en bij klanten te werken;
• ruimte om mee te bouwen aan een organisatie die nog volop in ontwikkeling is.

De exacte invulling stemmen we af op je ervaring, rol en persoonlijke situatie.

Wat we niet zoeken

We zoeken geen puur technische specialist die vooral hands-on wil implementeren. Ook zoeken we geen consultant die standaardrapporten oplevert zonder eigenaarschap voor de inhoud. Tegelijk zoeken we ook geen kandidaat zonder praktijkervaring in informatiebeveiliging. Affiniteit met security is niet genoeg. Je moet eerder met security-, risk-, audit-, compliance- of infrastructuurvraagstukken hebben gewerkt en begrijpen hoe zulke onderwerpen in organisaties landen. Deze rol vraagt om iemand die kan luisteren, structureren, doorvragen, toetsen en opschrijven wat er echt toe doet.

We kijken vooral naar je praktijkervaring met informatiebeveiliging, je technische basis, je manier van denken en je vermogen om complexe onderwerpen praktisch te maken.