Informationssikkerhedskoordinator

Rollen har ingen samlet juridisk definition; den er det praktiske svar på ISO/IEC 27001:2022 punkt 5.3, som kræver, at den øverste ledelse tildeler ansvar og beføjelser til at sikre, at ISMS'et lever op til standarden, og til at rapportere om ISMS'ets præstation til den øverste ledelse. Annex A-kontrol 5.2 (roller og ansvar for informationssikkerhed) kræver, at rollerne defineres og fordeles, og 5.4 (ledelsens ansvar) kræver, at ledere får medarbejderne til at efterleve sikkerheden i overensstemmelse med politikken. I den offentlige sektor, hvor statslige institutioner har skullet arbejde efter ISO 27001 siden 2016, er "informationssikkerhedskoordinator" en udbredt titel for den person, der driver ISMS'et på ledelsens vegne og ofte refererer til et sikkerhedsudvalg eller direktionen.

De tilbagevendende leverancer passer tæt til standarden. Koordinatoren vedligeholder politiksættet og den dokumenterede information efter 7.5, driver risikovurderingscyklussen (6.1.2) og holder risikohåndteringsplanen og Statement of Applicability opdateret (6.1.3), følger informationssikkerhedsmålene og målingen af dem (6.2 og 9.1), tilrettelægger interne audits (9.2) uden at auditere sit eget arbejde og forbereder ledelsens gennemgang (9.3). Input til ledelsens gennemgang i 9.3.2 giver en færdig dagsorden: status på tidligere handlinger, ændringer i interne og eksterne forhold og i interessenters behov, udviklingen i afvigelser, overvågningsresultater, auditresultater og målopfyldelse, feedback fra interessenter, resultater af risikovurderingen og status på håndteringsplanen samt forbedringsmuligheder.

Rollen koordinerer frem for at udføre. Tekniske kontroller drives af IT-driften eller leverandører, HR ejer screening samt on- og offboarding (Annex A 6.1-6.5), og indkøb ejer kontraktvilkårene (5.19-5.22). Koordinatorens gennemslagskraft kommer fra mandat og referencelinjer, ikke fra administratorrettigheder; funktionsadskillelse (Annex A 5.3) taler imod, at koordinatoren også er den eneste systemadministrator, der godkender sine egne ændringer. Ved hændelser fungerer koordinatoren typisk som incident manager eller bindeled, der samler fakta til indberetninger efter NIS2 art. 23 eller anmeldelser efter GDPR art. 33, mens de tekniske folk inddæmmer hændelsen.

Rollen forveksles let med naboroller. En CISO er en leder med ansvar for sikkerhedsstrategi og budget; i mindre organisationer kan én person have begge titler, men koordinatorrollen alene har sjældent beslutningskompetence over budget eller risikoaccept, som ligger hos risikoejerne og ledelsen, og efter NIS2 art. 20 forbliver ansvaret hos ledelsesorganet. En databeskyttelsesrådgiver efter GDPR art. 37-39 skal være uafhængig, må ikke modtage instrukser om udførelsen af sine opgaver og skal undgå interessekonflikter, så en kombination af DPO- og sikkerhedskoordinatorrollen kræver en grundig vurdering. En compliance- og risikokoordinator fokuserer på at koble krav og dokumentation; informationssikkerhedskoordinatoren driver hele programmet i hverdagen.