Ervaring - Clayton Inge, CISO & GRC

CISO

Wat: Ik heb de CISO-rol vervuld voor organisaties die securityleiderschap nodig hadden op directieniveau, zonder ruimte voor een fulltime CISO. Governance, risicomanagement en de securityagenda lagen bij mij, inclusief het gesprek erover aan de bestuurstafel.
In de praktijk: Ik vertaal dreigingen en verplichtingen naar besluiten waar een directie op kan sturen: welk risico accepteer je, wat pak je dit kwartaal aan en wat levert het de organisatie op. Na ruim twintig jaar aan de commerciële en technische kant van cybersecurity spreek ik de taal van de business en die van de techniek.
Waar: Organisaties die security strategisch beleggen bij bestuur en directie, met de CISO als vaste gesprekspartner aan tafel.

Wat: Ik heb directies, managementteams en volle zalen getraind over NIS2 en de Cyberbeveiligingswet, de zorgplicht van bestuurders en de dreiging vanaf het dark web. Vaak samen met een ethisch hacker, zodat de zaal ook ziet wat een aanvaller ziet.
In de praktijk: Een besloten sessie met de internationale directie van een wereldspeler in de staalindustrie. Een presentatie op het hoofdkantoor van een grote bank. Een zaal met vijftig ondernemers van wie meer dan de helft de wet nog niet kende. Elke sessie eindigt hetzelfde: bestuurders die weten wat de wet van hén vraagt en wat ze morgen anders gaan doen.
Waar: Van staalindustrie en de financiële sector tot logistiek, techniek en het mkb. Van boardroom tot werkvloer.

Wat: Ik heb organisaties begeleid bij de keuze tussen ISO 27001, NEN 7510, NIS2, BIO2 en NIST CSF: welk kader past bij de organisatie, de sector en de wettelijke verplichtingen, en in welke volgorde je het aanpakt.
In de praktijk: Een verkeerd gekozen kader kost jaren, een onderbouwde keuze kost weken. Ik breng verplichtingen, klanteisen en eigen ambitie samen in één routekaart waar directie en werkvloer allebei mee vooruit kunnen. In de zorg betekent dat bijvoorbeeld NEN 7510 als basis, met NIS2 ernaast.
Waar: Organisaties aan het begin van hun compliance-traject, en organisaties die vastliepen in een kader dat niet paste.

Wat: Ik heb gap-analyses uitgevoerd tegen ISO 27001, NEN 7510 en NIS2: waar staat de organisatie ten opzichte van het gekozen kader, wat ontbreekt er en wat verdient prioriteit.
In de praktijk: De uitkomst is een routekaart die het bestuur kan dragen: wat is geregeld, waar zit risico en wat moet eerst. Bevindingen formuleer ik zo dat ze direct in het verbeterplan passen en het gesprek in de directiekamer op gang brengen.
Waar: Trajecten richting certificering of aantoonbare naleving, van IT-dienstverlening tot industrie.

Wat: Ik heb interne audits uitgevoerd tegen ISO 27001, NEN 7510 en NIS2, als onafhankelijke toets voorafgaand aan certificering of extern toezicht. Als opgeleid ISO 27001 Lead Auditor én Lead Implementer ken ik beide kanten van de audittafel.
In de praktijk: Interviews van werkvloer tot directie, bewijs toetsen in de systemen zelf en bevindingen opschrijven waar zowel het bestuur als de uitvoering mee verder kan. Streng op de inhoud, rustig in de toon.
Waar: Organisaties met een certificerings- of toezichtsdeadline, van zorg tot industrie.