Erfaren IT-sikkerhedsekspertise i præcis den rolle, projektet har brug for
Governance | IT-arkitektur | Udvikling | Analyse
Som it-sikkerhedskonsulent arbejder jeg i tre roller. Nedenfor kan I se, hvad hver rolle leverer inden for IT-sikkerhed, og hvilke typiske opgaver jeg løser.
1. Managementkonsulent
Managementkonsulenten bliver typisk efterspurgt, når IT-sikkerhed skal ses fra et forretningsmæssigt perspektiv. Typiske opgaver:
- Etablering af governance for informationssikkerhed, inkl. roller og ansvar, processer og nøgletal.
- En risikovurdering af sikkerheden og et katalog over sikkerhedskontroller med en praktisk roadmap.
Sikkerhedskontrollerne bliver afstemt med forretningens langsigtede roadmap, og hver kontrol bliver prioriteret ud fra en risikovurdering og en business case. Dyb teknisk viden er ikke nødvendig her, fordi fokus er på governance.
2. IT-sikkerhedsarkitekt
Arkitekten bliver efterspurgt, når kunden mangler tid eller kompetencer til at vurdere eller designe en ny løsning. Værdien ligger ofte i:
- Design, vurdering og/eller implementering af en IT-løsning, der tager højde for forretning, infrastruktur, data og applikationer (TOGAF), med fokus på IT-sikkerhed.
- En IT-sikkerhedsstrategi eller -politik tilpasset virksomheden. Tilpasning til et anerkendt rammeværk som ISO 27000-serien eller NIST, eller udarbejdelse og implementering af IT-sikkerhedsstandarder.
Normalt slutter projektet med en overdragelse til drift, når løsningen kører. Jeg anbefaler dog, at projektet fortsætter en periode efter overdragelsen, så alle use cases bliver fundet og håndteret.
3. Analytiker eller udvikler
Denne rolle ligger helt i driften, hvor målet altid er klart defineret. Typiske opgaver:
- Analyse og implementering af sikkerhedskontroller ud fra auditbemærkninger, sikkerhedshændelser, trusler eller strategi.
- Udvikling af et værktøj eller script eller tilpasning af et IT-system.
Til eftertanke
Hver rolle kræver sine egne kompetencer, og derfor bliver de ofte solgt hver for sig, fordi én person typisk kun har den ene slags. Udfordringen er at få de rigtige kompetencer ind på det rigtige tidspunkt, så hverken tid eller budget bliver spildt. Det kræver, at man på forhånd ved, hvilken kompetence der skal høres i en given fase, på en given workshop eller et givent møde, og det er stort set umuligt uden en masse arbejde, der ikke skaber værdi.
Fordelen her er, at alle tre roller findes i én person, og det er sjældent. Governance, arkitektur og analyse er til rådighed, uden at opgaven skal sendes rundt mellem tre konsulenter. Det giver færre overraskelser, en hurtigere og billigere implementering, mere tid til det, der skaber værdi (færre møder og mindre omarbejde), og ganske enkelt et bedre resultat.