Security architect inhuren: interim, gedetacheerd of vast

Een security architect vertaalt bedrijfsrisico's, wet- en regelgeving en het beveiligingsbeleid van uw organisatie naar concrete ontwerpkeuzes. Denk aan een referentiearchitectuur voor de cloud, een segmentatiemodel voor het netwerk, een doelarchitectuur voor identity en access management of de beveiligingseisen die bij elke nieuwe applicatie horen.

In de praktijk schrijft de security architect architectuurprincipes en patronen, beoordeelt hij of zij ontwerpen van andere teams, voert threat modeling uit en adviseert bij de keuze van leveranciers en tooling. De security architect zit vaak in een architectuurboard en heeft een stem in investeringsbeslissingen.

Het verschil met een security engineer is het niveau van abstractie. De engineer bouwt en configureert, de architect bepaalt wat er gebouwd moet worden en waarom. Goede security architects hebben wel zelf als engineer of consultant gewerkt, want een ontwerp dat in de praktijk niet te implementeren is, helpt niemand verder.

De vraag naar security architects ontstaat meestal rond een verandering. Veelvoorkomende aanleidingen zijn een migratie naar Azure, AWS of Google Cloud, de overstap naar een zero trust-model, het samenvoegen van IT-omgevingen na een fusie of overname, of de vervanging van een verouderd applicatielandschap.

Ook regelgeving speelt een rol. De NIS2-richtlijn, in Nederland geïmplementeerd via de Cyberbeveiligingswet, vraagt van essentiële en belangrijke entiteiten passende risicobeheersmaatregelen, waaronder beveiliging bij de aanschaf, ontwikkeling en het onderhoud van netwerk- en informatiesystemen. DORA vraagt van financiële entiteiten een gedocumenteerd raamwerk voor ICT-risicobeheer. Een security architect zorgt dat die eisen terugkomen in het ontwerp in plaats van alleen in beleidsdocumenten.

Tot slot huren organisaties een security architect in wanneer auditbevindingen of een pentest structurele zwaktes blootleggen. Dan is niet een losse fix nodig, maar een ontwerp dat voorkomt dat dezelfde fout op tien andere plekken terugkomt.

Security architect is een verzamelnaam. Voor een goede match is het belangrijk te weten welk type u zoekt.

Een enterprise security architect werkt op organisatieniveau en sluit aan op enterprise architectuur en het beveiligingsbeleid. Een cloud security architect ontwerpt landing zones, guardrails en het beveiligingsmodel voor één of meer cloudplatformen; zie ook onze pagina /expertise/cloud-security. Een IAM architect richt zich op identiteiten, rollen, privileged access en federatie, aansluitend op /expertise/iam. Een solution security architect is gekoppeld aan een programma of product en beoordeelt de beveiliging van concrete oplossingen.

In de industrie, energie en de watersector is er daarnaast de OT security architect, die werkt met industriële besturingssystemen en normen zoals IEC 62443. Die combinatie van IT-beveiliging en kennis van procesautomatisering is schaars, dus het loont om dat profiel vroeg en precies te beschrijven.

Via MVPeople huurt u een interim security architect in, meestal een zelfstandige specialist die een programma neerzet of een doelarchitectuur oplevert. Dat past wanneer u snel senioriteit nodig heeft voor een afgebakende periode. Een interim specialist kan vaak binnen 2 weken starten.

Via MVProfessionals detacheren wij security architects die in loondienst zijn bij MVPeople. U krijgt dan voor langere tijd een vaste kracht in uw team, zonder zelf de werkgever te zijn. Dat werkt goed bij meerjarige cloud- of transformatieprogramma's.

Wilt u de kennis blijvend in huis halen, dan werven wij via MVPermanent een security architect voor een vaste aanstelling; zie /services/mvpermanent. Heeft u een afgebakend resultaat in gedachten, zoals een complete referentiearchitectuur, dan kan het ook als project via MVProjects.

Een sterk cv zegt bij architecten weinig over het niveau. Wij vragen kandidaten daarom naar concrete ontwerpen die zij hebben gemaakt, welke afwegingen zij daarin hebben gemaakt en wat er in de praktijk van terechtkwam. Een goede security architect kan uitleggen waarom een maatregel er is, welk risico hij afdekt en wat het kost als u hem weglaat.

Daarnaast toetsen wij de communicatieve kant. Een architect die geen draagvlak krijgt bij development, infrastructuur en management, levert documenten op die in een la verdwijnen. Wij letten op ervaring met architectuurboards, het onderbouwen van keuzes richting directie en samenwerking met leveranciers.

Na uw aanvraag reageren wij binnen 4 uur. Passende profielen stellen wij doorgaans binnen 5 tot 10 werkdagen voor, afhankelijk van de schaarste van het gevraagde profiel en eventuele screeningseisen.

Hoe concreter de aanvraag, hoe beter de match. Beschrijf welk platform of domein centraal staat, welke resultaten u verwacht, bijvoorbeeld een doelarchitectuur, een set architectuurprincipes of beoordeling van lopende projecten, en aan wie de architect rapporteert.

Geef ook aan welke kaders gelden: ISO 27001, BIO, NEN 7510, DORA of NIS2, en of er interne architectuurmethodes zoals TOGAF in gebruik zijn. Een security architect die uw kaders al kent, is sneller productief.

Twijfelt u nog of u een architect, een CISO of een GRC-specialist nodig heeft, dan denken wij graag mee. Strategische verantwoordelijkheid hoort bij een CISO (/expertise/ciso), het inrichten van beleid en compliance bij /expertise/grc-compliance, het technische ontwerp bij de security architect.