Zorg jij er als Informatiebeveiligingsspecialist voor dat de tooling waarmee Logius werkt net zo veilig is als de diensten die we leveren?
Miljoenen Nederlanders vertrouwen dagelijks op DigiD, MijnOverheid en de andere voorzieningen van Logius. Om die diensten te bouwen, te beheren en te verbeteren, werken onze collega’s zelf ook met tooling: van Jira en Confluence tot allerlei andere (SaaS)-toepassingen. Daar gaan bedrijfsgevoelige informatie en persoonsgegevens doorheen. Hoe zorg je ervoor dat die interne informatievoorziening veilig, betrouwbaar en compliant blijft, zonder dat security het werk afremt? Dat is waar jouw rol als Informatiebeveiligingsspecialist binnen team Informatievoorziening om de hoek komt kijken.
De afdeling Informatievoorziening (IV) levert de tooling waarmee Logius haar primaire en ondersteunende processen uitvoert. Zelforganiserende serviceteams leveren die tooling en ontwikkelen haar door. Dat doen ze volgens SAFe en in nauwe samenwerking met interne afdelingen en externe leveranciers. Nieuwe technologie biedt daarbij kansen, maar brengt ook nieuwe risico’s mee. IV stelt voor de hele organisatie de kaders voor de ondersteunende informatievoorziening, en adviseert, toetst en ondersteunt daarbij. Als specialist informatiebeveiliging geef jij die rol invulling op het gebied van security en privacy.
Wil een team een nieuwe SaaS-toepassing in gebruik nemen of een bestaande tool flink aanpassen? Dan voer jij de risicoanalyse en waar nodig de DPIA uit, of je ondersteunt daarbij. Je zet standaard security-vragenlijsten uit bij leveranciers, beoordeelt hun TPM’s en ISO-verklaringen en adviseert of zij aan de rijksbrede eisen voldoen. Bij audits en pentesten verzamel je de bewijsstukken. De bevindingen zet je als actiepunten in Jira, en je zorgt dat ze ook echt worden opgevolgd. Welke persoonsgegevens verwerkt deze tool, en waar staan ze? Voldoet de leverancier aan de BIO? Zijn de bevindingen uit de laatste pentest opgelost? Met dat soort vragen ben je dagelijks bezig.
Minstens zo belangrijk: je vertaalt het informatiebeveiligingsbeleid van Logius en wet- en regelgeving zoals de BIO, de AVG en NIS2 naar procedures en handleidingen. Daar moeten de serviceteams van IV in de praktijk echt iets mee kunnen. Je helpt IT-processen te verbeteren en houdt de risicoregisters en de backlog actueel. Ook organiseer je bewustwordingssessies, zodat informatiebeveiliging op de agenda blijft.
De uitdaging zit in de balans. Zelforganiserende teams zitten niet te wachten op een controleur met een checklist. Jij zoekt de vorm waarin kaders en praktijk samenkomen: je legt risico’s helder uit, denkt mee over haalbare maatregelen en signaleert problemen voordat ze in een audit opduiken. Zo zorg je ervoor dat Logius van binnenuit veilig is, en daarmee ook de digitale overheid waarop burgers en bedrijven vertrouwen.
Je houdt je onder andere bezig met
- Risicoanalyses en DPIA’s: je voert ze uit of ondersteunt erbij voor tooling en applicaties binnen IV;
- Leveranciers- en SaaS-toetsing: je zet security-vragenlijsten uit en adviseert of leveranciers aan de rijksbrede eisen voldoen;
- Audits en pentesten: je levert bewijsstukken aan en bewaakt de opvolging van bevindingen in Jira;
- Beleid naar praktijk: je vertaalt kaders en wetgeving naar werkbare procedures en handleidingen;
- Procesverbetering: je helpt IT-processen te verbeteren volgens best practices;
- Awareness: je organiseert bewustwordingssessies over informatiebeveiliging en privacy;
- Registratie en planning: je houdt de backlog, risicoregisters en planningen in Jira en Confluence actueel.