Vacature Information Security Officer

• Locatie: Den Haag
• 32 tot 40 uur, hybride
• Afdeling: Security

Digitale identiteit staat in Europa voor een grote stap. Met eIDAS 2.0 en de Europese digitale identiteitswallet verandert hoe mensen en organisaties online zaken regelen. Cleverbase helpt de markt door die transitie en is onderdeel van de infrastructuur achter de Europese digitale identiteit. Beveiliging is bij ons geen sluitpost. Het is de reden dat klanten voor ons kiezen.

Daarvoor zoeken we een gecertificeerde Information Security Officer die onze beveiligingsfunctie inricht, collega's en directie scherp adviseert en toetst of wat we afspreken in de praktijk ook werkt.

Over Cleverbase

Bij Cleverbase zorgen we dat iedereen veilig online kan zijn. Mensen gebruiken onze diensten om zich op afstand met wettelijke zekerheid te identificeren en rechtsgeldig te ondertekenen. Dat doen ze bijvoorbeeld bij hun bank, verzekeraar of notaris. Als Qualified Trust Service Provider (QTSP) onder eIDAS beheren we de sleutels daarachter in gecertificeerde hardware.

We zijn een team van bijna vijftig mensen in Den Haag. We bouwen veel zelf, en beveiliging zit bij ons aan de voorkant van het ontwerp in plaats van aan het eind van het traject.

Zo werken wij

We zijn resultaatgericht en pakken door. Bij ons zie je snel wat je werk oplevert. Als iets moet gebeuren, regelen we het. Je krijgt vertrouwen en ruimte om zelf beslissingen te nemen, en we spreken elkaar aan op resultaat.

We zijn een team dat elkaar helpt en voor elkaar klaarstaat. De lijnen zijn kort, dus we schakelen snel. Kennis delen we, en wie vastloopt, vraagt het gewoon.

Elke dag lunchen we samen op kantoor. Die lunch regelt Cleverbase. Dat is het moment waarop je bijpraat met collega's die je anders minder spreekt, en waar vaak de beste ideeën ontstaan. Ook buiten het werk zoeken we elkaar op, bijvoorbeeld op de padelbaan.

En we blijven leren. Ons vakgebied verandert snel, dus investeren we in opleiding en ontwikkeling, voor het team en voor jou.

Jouw rol

Je richt de beveiligingsfunctie in, adviseert over beveiligingsvraagstukken en controleert of maatregelen werken. Het patchen en configureren laat je aan engineering over. Jij bepaalt waaraan iets moet voldoen, denkt mee over de oplossing en toetst achteraf of het klopt.

Binnen onze Certificate Policy en Certification Practice Statement vervul je de formele rol van Security Officer. Dat is een vertrouwensrol volgens ETSI EN 319 401, met een directe lijn naar de directie.

Waar jij het verschil maakt

• Kaders die meegroeien. Je stelt de standaarden en baselines op voor onze systemen, processen en leveranciers, en houdt ze actueel als techniek of dreigingsbeeld verandert.
• Risico's in beeld. Je richt het risicomanagement in en maakt dreigingsanalyses voor onze diensten, met speciale aandacht voor identificatie op afstand en sleutelbeheer.
• Detectie en respons. Je bepaalt hoe we kwetsbaarheidsbeheer, logging, detectie en incidentrespons organiseren: welke signalen, welke termijnen en wie wat doet.
• Het toetsprogramma. Je zet pentests, red teaming, interne reviews en oefeningen op, en bepaalt scope en frequentie.
• Security by design. Je bent gesprekspartner van engineering en operations bij ontwerpkeuzes en nieuwe diensten. Zo los je risico's op terwijl dat nog makkelijk kan.
• Cryptografie. Je adviseert over de sleutellevenscyclus, de inrichting van de HSM's, certificaatprofielen, algoritmekeuzes en de voorbereiding op post-quantum.
• Sparren met de directie. Je legt uit wat het werkelijke risico is, welke opties er zijn en wat jij zou doen.
• Toetsen met bewijs. Je controleert met reviews en steekproeven of maatregelen werken, beoordeelt pentestbevindingen op wat bij ons echt uitbuitbaar is en volgt herstel tot het af is.
• Cryptografie. Je adviseert over de sleutellevenscyclus, de inrichting van de HSM's, certificaatprofielen, algoritmekeuzes en de voorbereiding op post-quantum.
• Sparren met de directie. Je legt uit wat het werkelijke risico is, welke opties er zijn en wat jij zou doen.

Wie ben jij?

• Je bent gecertificeerd, bijvoorbeeld als CISSP, S-CISO, CISM of GIAC. Wat je ermee kunt, vinden we belangrijker dan het certificaat zelf.
• Je hebt een paar jaar ervaring waarin je beveiliging zelf hebt vormgegeven, bijvoorbeeld als security architect, security engineer, technisch ISO of pentester die naar de verdedigende kant wil.
• Je kent toegepaste cryptografie en PKI. Je weet wat er in een certificaatprofiel staat, waarom sleutelscheiding ertoe doet en hoe een HSM-inrichting in de praktijk misgaat.
• Je begrijpt moderne infrastructuur en applicatiebeveiliging, zoals Linux, containers, CI/CD, netwerksegmentatie en IAM, goed genoeg om eisen te stellen en uitvoering te beoordelen.
• Je doorgrondt een ontwerp, stelt de juiste vraag en weegt het antwoord, zonder het zelf te hoeven bouwen.
• Je hebt gevoel voor verhoudingen in risico en stelt daar je prioriteiten op af.
• Je durft onderbouwd tegengas te geven, ook aan de directie.
• Je schrijft helder, want je analyses moeten ook als bewijs overeind blijven.
• Je spreekt en schrijft goed Nederlands en Engels.

Wat wij bieden

• Een marktconform salaris, afhankelijk van je ervaring.
• 32 tot 40 uur per week.
• 26 vakantiedagen op basis van fulltime, vakantiegeld en een pensioenregeling.
• Budget voor opleiding en hercertificering, en tijd om je vak bij te houden.
• Elke dag een verzorgde lunch met het hele team.
• Hybride werken vanuit ons kantoor in Den Haag.
• Teamactiviteiten zoals padel.
• Een rol met echte invloed op een technisch interessant product. Je hebt direct contact met de directie, ontwikkelaars en externe onderzoekers, en er wordt naar je geluisterd.

Last but not least

Wij willen dat je jezelf bent en iedereen is welkom. Ons team is divers, vertegenwoordigt meer dan één nationaliteit, geslacht, leeftijd, seksuele geaardheid, religie, cultuur en persoonlijkheidstype. Dat is wat ons team zo bijzonder maakt.

Ben jij klaar voor de uitdaging?

Stuur je cv en een korte motivatie naar [email protected]. Ook met vragen over de rol kun je hier terecht.

Een assessment en een referentiecheck horen bij de procedure.

Screening en pre-employment

Omdat we een gekwalificeerde vertrouwensdienst zijn, hoort screening bij de procedure. Voor je in dienst treedt, vragen we een Verklaring Omtrent het Gedrag (VOG). Ook controleren we je identiteit, diploma's en arbeidsverleden en nemen we referenties op. We leggen vooraf uit welke gegevens we opvragen en waarom.