In een tijd waarin cybersecurity incidenten dagelijks de media halen, wordt de rol van de CISO precairder. Ze zijn verantwoordelijk voor belangrijke besluiten, maar hebben zelden direct toegang tot de absolute bedrijfstop. Dat en andere lastige vraagstukken stonden centraal tijdens de CISO Top.
Op de najaarseditie van de CISO Top waren naast de zeventig deelnemers ook veel andere C level bestuurders aanwezig. “We kunnen op deze manier van elkaars uitdagingen leren”, vertelde Kevin Mottard van Network C tijdens zijn welkomstwoord. Het thema van de dag was ‘Dealing with dilemmas’.
De omgang met dilemma’s werd uitgediept in vier rondetafelsessies. Polat Yilmaz, CISO bij autogigant Louwman, nam de toehoorders mee in de uitdagingen die hij in zijn nieuwe functie tegenkwam. “Hoe zet je je netwerk en kennis in om een dilemma op te lossen?”, vatte Yilmaz achteraf samen. “Deelnemers kwamen allemaal met goede voorbeelden die ik meeneem naar volgende dilemma’s.”
In een andere sessie stond de relatie tussen CFO’s en CISO’s centraal. Marjanne van Ittersum, CFO bij netbeheerder Enexis, besprak hoe zij financiële investeringen afweegt tegen investeringen in (cyber)veiligheid. Ook crisismanagement kwam aan bod. Sjoerd Verheijden, CISO van de Belastingdienst, ging in op dilemma’s rond digitale soevereiniteit. Daarnaast besprak hij het spanningsveld tussen investeringen op korte termijn en uitdagingen op lange termijn. Welke keuzes maak je in een omgeving waarin wordt bezuinigd?
Interactief kaartspel
Tot slot was er een interactieve sessie waarin CISO’s werden uitgenodigd om hun eigen dilemma’s uit te diepen aan de hand van een kaartspel. Een van de dilemma’s ging over de Groningse gaswinning: moeten we daarmee doorgaan? Een ander dilemma draaide om de keuze tussen op korte termijn investeren in het voorkomen van hacks en investeren in oplossingen voor de lange termijn. “Het ging ook om de rol van de CISO.
Hoe bouw je buiten crisistijd een goede relatie op met de board, zodat er tijdens crises korte lijnen zijn?”, vertelde een deelnemer.
Na anderhalf uur konden de aanwezigen op adem komen met een borrel. De plenaire sessie werd verzorgd door leiderschapsexpert Arvid Buit. “We plannen Arvid altijd tussen de borrel en het eten, dus de verwachtingen zijn hooggespannen”, grapte Mottard. Buit zou vertellen over de rol van de CISO en diens positie tegenover de board. “Ik werk met moeilijke mensen: CEO’s en CFO’s, maar ook steeds vaker met CISO’s”, introduceerde hij zichzelf.
Alleen in geval van nood
Wat hem opvalt, is dat CISO’s verantwoordelijk zijn voor enorm grote zaken, maar binnen het bedrijf vaak weinig machtsmiddelen hebben. Slechts 11 procent rapporteert aan de CEO en gemiddeld houden ze het een jaar of twee vol in hun functie. Buit wilde hierover een discussie op gang brengen onder de aanwezige leiders.
Volgens Buit wordt de relatie tussen de CISO en de board gekenmerkt door drie dingen. De relatie is voorwaardelijk (‘we houden van je zolang we veilig zijn’), niet wederkerig (‘we zijn er niet voor jou’) en situationeel (‘we melden ons alleen bij problemen, maar laten ons de rest van de tijd met rust’). “Wat zou je doen als een van je kinderen in zo’n relatie zit?”, vroeg Buit aan de toehoorders. “Zeggen dat ze moeten wegrennen”, luidde het antwoord uit het publiek.
“Je adviseert het bestuur over mogelijke oplossingen, maar laat het bestuur ervoor tekenen.”
Risico terugleggen
Vervolgens ging Buit in op het aangaan van relaties en het bouwen aan relaties binnen organisaties. Grofweg twee derde van de mensen doet dat van nature, stelde hij, terwijl een derde vermijdend gedrag vertoont. In de relatie tussen de board en de CISO betekent dit vaak dat de IT specialist wordt genegeerd totdat er een groot probleem is. “Dan ben je de redder die de paniek moet verdrijven.” “Maar zodra dat voorbij is, word je weer genegeerd.”
Cijfers laten volgens hem zien dat CISO’s vaker bang zijn voor hun board dan voor een cyberincident. “99 procent van de CISO’s werkt over, 56 procent heeft veel stress en 44 procent ziet de board als een aanvaller.”
CISO’s krijgen vaak veel verantwoordelijkheid en kunnen aansprakelijk worden gehouden, ziet Buit. “Maar ze hebben zelden autoriteit.” Daarom adviseert hij de aanwezigen om het risico terug te leggen bij de plek waar het besluit wordt genomen. “Je adviseert het bestuur over mogelijke oplossingen, maar laat het bestuur ervoor tekenen.” “Of je vraagt om meer bevoegdheden.”
Schaamtecultuur
Volgens Buit moet je al nadenken over hoe je een crisis te lijf gaat voordat die uitbreekt. Daarbij ging hij onder meer in op ‘design behavior’ en de cultuur binnen bedrijven. “Een schaamtecultuur werkt niet.” Ik ken bedrijven waar je in de nieuwsbrief staat als je verantwoordelijk bent voor een security lek. Dat werkt niet. Je moet goed voor je team zorgen en voor jezelf. “Dat betekent ook niet dat je onwelgevallig gedrag van de board moet kopiëren.”
Uiteindelijk moet je volgens de leiderschapsexpert toewerken naar een relatie die onvoorwaardelijk, wederkerig en universeel is. “Als CISO moet je altijd bedenken: wat wil ik vandaag doen en onder welke voorwaarden?” Nadat Buit zijn verhaal had afgesloten met citaten van de Duitse dichter Rainer Maria Rilke (‘Love consists of this: two solitudes that meet, protect and greet each other’) en de Amerikaanse schrijfster Cheryl Strayed (‘You cannot convince people to love you. This is an absolute rule. No one will ever give you love because you want him or her to give it’), was het tijd voor vragen uit het publiek.
Waarom richt Buit zich niet ook op de CEO (‘dat heb ik al in veel boeken gedaan’)? Is zijn verhaal niet vooral toepasbaar op jongere CISO’s, die nog minder zeker zijn (‘nee, want 90 procent van de professionals werkt niet bewust aan relaties’)? En zien we het gedrag niet veranderen nu security een groter thema wordt? (‘Nee, want gedrag verandert nauwelijks en ik heb weinig vertrouwen in de mensheid.’)
De kern blijft volgens Buit dat je moet streven naar goede relaties aan de top van het bedrijf. “De kwaliteit van de relatie bepaalt de kwaliteit van de output. Als ik met een nieuwe CEO ga werken, interview ik wel twintig mensen om hem heen. “Om beter te worden, moet je van elkaar kunnen leren.” Mottard haakte daar handig op in: “Hoe kunnen we elkaar beter leren kennen dan bij een hapje en een drankje?” De zeventig aanwezigen begaven zich naar het walking dinner, waar onder meer tonijn tartaar en gegaarde sukade op het menu stonden.
We kijken nu alweer uit naar de CISO Top van volgend jaar. We verwelkomen iedereen volgend jaar graag op 16 juni bij The Duke Club in Nistelrode. Tijdens deze middag zullen we met elkaar in gesprek gaan over het thema “Navigating Narratives”. En in de tussentijd vinden er vele kleinschaligere sessies plaats.