Så rekryterar du en säkerhetsspecialist eller CISO

När styrelsen frågar hur det står till med säkerheten, vem ska kunna svara? Om ingen i organisationen äger den frågan i dag är det ofta där rekryteringsbehovet föds. Men säkerhet är ett brett fält, och det första misstaget är att skriva en annons som blandar tre olika jobb i ett.

Specialist, arkitekt eller CISO: tre olika rekryteringar

• Säkerhetsspecialisten jobbar operativt: sårbarheter, incidenter, tester och härdning
• Säkerhetsarkitekten bygger in säkerhet i system och processer från början
• CISO:n är en ledningsroll: riskägarskap, styrning, regelefterlevnad och budget

I offentlig sektor och större bolag ser jag ofta annonser som kräver operativ teknisk spets och ledningserfarenhet och ansvar för regelefterlevnad, allt i samma roll. Kandidaten som är stark i alla tre är extremt ovanlig, och rollen blir dessutom omöjlig att lyckas i. Bestäm vilket behov som är störst just nu och rekrytera för det.

Kravprofilen: risk framför verktyg

Certifikat säger något, men inte allt. Det jag letar efter är förmågan att resonera kring risk i just er verksamhet. En bra kandidat frågar tidigt: vad är det värsta som kan hända er, och vad tål verksamheten? Den som bara pratar produkter och hotbilder i allmänhet, utan att landa i era prioriteringar, kommer att få svårt att vinna gehör hos ledningen. Särskilt i myndighetsmiljö, där säkerhetsarbetet ska samsas med offentlighetsprincip och tillgänglighetskrav, är omdöme viktigare än verktygslista.

Räkna med att söka aktivt

Erfarna säkerhetsmänniskor är få och byter sällan jobb via annons. De värvas via förtroende: branschnätverk, tidigare kollegor, rekommendationer. En sökprocess med personlig kontakt är i praktiken enda vägen till de bästa. Och var beredd på att de granskar er lika hårt som ni granskar dem. En kandidat som ställer obekväma frågor om ert nuvarande säkerhetsläge i intervjun är inte otrevlig. Det är precis den instinkt ni betalar för.

Tänk också på tidsperspektivet. Säkerhetsrekryteringar tar ofta längre tid än andra IT-rekryteringar, dels för att kandidaterna är få, dels för att många sitter i roller med långa uppsägningstider och pågående ansvar. Planera för det i stället för att bli överraskade: börja sökningen innan behovet är akut, och överväg en interimslösning för det operativa medan ni söker rätt person för det långsiktiga.

En CISO utan mandat är en rapport ingen läser. Bestäm mandatet före rekryteringen, inte efter.