Bestaat een tekort aan tijd hebben?

In januari schreef ik mijn laatste blog (‘ENSIA in progress’). Voor mijn gevoel was dat nog vorige week. Inmiddels is het april en ben ik eindelijk aan de laatste fase van ENSIA toegekomen. Alle stukken zijn gereed en de IT-auditor heeft zijn assurancerapportage toegestuurd. In feite hoef ik formele stukken alleen nog maar te versturen naar alle stakeholders. Tevreden kijken wij terug op hetgeen wat in 2017 is gerealiseerd.

Druk met informatieveiligheid

Tegelijk voel ik enige druk. Zoals gezegd, het is inmiddels april. Verantwoorden is één ding, maar parallel daaraan moet in 2018 ook uitvoering gegeven worden aan het verbeterplan. Daarbij zijn wij, net als elke andere gemeente, druk met de AVG (Algemene verordening gegevensbescherming). Maar de ENSIA-cyclus voor 2018 komt er ook aan. Hoewel in de verte de zomervakantie lonkt, moet er nog veel werk verzet worden. En als je het hebt over de zomervakantie, dan is dat niet direct een maand waarin ik volledig tot rust kan komen. De ENSIA-cyclus start namelijk op 1 juli 2018. Dat is niet anders, maar alles bij elkaar, voel ik net als alle andere gemeentelijke CISO’s druk.

Druk met niet-informatieveiligheid

Als CISO ben ik in vaste dienst bij de Werkorganisatie BUCH. Deze organisatie is volop in ontwikkeling (welke gemeentelijke organisatie niet tegenwoordig?). Van daaruit probeer ik ook mijn steentje bij te dragen door een intern project te trekken en bij te springen waar wenselijk is. Dat heeft niets met informatieveiligheid te maken. Het is niet mijn verantwoordelijkheid als CISO, maar wel mijn verantwoordelijkheidsgevoel als medewerker van een organisatie waar ik deel van uitmaak.

Daarnaast heb ik twee jonge kids (van 3 en 1 jaar), woon ik 143 kilometer van mijn werklocatie, ben ik bestuurder van een lokale politieke partij en heb ik afgelopen half jaar nog campagne gevoerd in verband met de gemeenteraadsverkiezingen. Daarnaast doe ik naast mijn werk ook als ZZP’er binnen de overheid opdrachten voor informatieveiligheid en tot slot volg ik jaarlijks opleidingen. Voor dit jaar ga ik mij verder verdiepen in de privacy en volg ik hier twee cursussen voor met afsluitend examen (CIPM en CIPP/E).

Bestaat een tekort aan tijd hebben?

Wie ervaart tegenwoordig geen werkdruk en stress? De standaard is tegenwoordig dat de werkdruk hoog is. Zowel privé als op werk heeft men een druk leven. Ik ook. Maar werkdruk ervaar ik dan weer niet. Natuurlijk heb ik ook wel piek- en stressmomenten, maar die zijn altijd van korte duur. Wanneer ik die ervaar, probeer ik daar zo snel mogelijk uit te komen. Dat doe ik dan niet door harder en meer te werken, maar juist te kiezen voor een andere aanpak op dat moment.

Werkdruk en wat praktische tips
Graag deel ik als CISO met jullie, ook de niet-CISO’s, mijn aanpak voor het omgaan met hoge werkdruk.

Gouden tip 1: structureer

Ik ervaar werkdruk als ik structuur mis. Dan lopen mijn gedachtes al snel vol. Ik moet nog dit uitwerken, die mail beantwoorden, een advies opstellen, iemand terugbellen, et cetera. Tegelijk zie ik mijn mailbox verder vollopen met to-do’s van anderen (niet wat ik in gedachte had).

Tip: structureer je werk en je agenda.
Werkdruk is bij mijn een gevoel – geen feit. Trek je een ochtend terug en sluit jezelf op. Breng in kaart welke activiteiten je de komende periode allemaal wil en moet uitvoeren. Blok dat in je agenda. Maak de dagen niet te vol, want je moet ook tijd blijven houden om mail, vragen en telefoontjes te beantwoorden. Je werkt nu eenmaal in een organisatie en dus in een keten. Je bent ook onderdeel van andersmans werk.

Gouden tip 2: wees zo flexibel als elastiek

Het lijkt haaks te staan op het aanbrengen van structuur, maar zorg dat je flexibel ben. Hecht je niet aan vaste patronen en standaarden in de organisatie. Sta ook niet te veel stil bij verandering en zaken die jij graag anders had gezien. Organisaties veranderen nou eenmaal, zeker de gemeentelijke organisatie van vandaag de dag. Doe en denk mee en wees onderdeel van de verandering. Volg opleidingen en doe vooral ook zaken die je energie geven. Dat zorgt dat je niet ‘vastroest’ en dat je een zekere mate van onafhankelijkheid hebt. Stilstaan en kijken naar de verandering die jou ‘overkomt’, is niet goed voor je gemoedstoestand. Blijf in beweging, dat zorgt voor positiviteit.

Gouden tip 3: zorg voor een volle gereedschapskist

Weet wat je aan het doen bent, wat van je verwacht wordt en wat je hiervoor nodig hebt. Vooral dat laatste is zo belangrijk. Als CISO weet ik welke opleidingen ik nodig heb. Ik weet ook dat ik niet alle rollen op me moet gaan nemen (privacy officer, FG, security officer Suwinet, ENSIA-coördinator, privacybeheerder BRP/PNIK, DigiD-verantwoordelijke, et cetera). In samenspraak met de organisatie zijn die rollen bij de desbetreffende vakafdelingen belegd (waar het ook hoort).

Ik heb in feite een netwerkorganisatie ingericht voor informatieveiligheid. Ik weet wie ik nodig heb en probeer een verbindende schakel te zijn voor de vakafdelingen bij het realiseren van hun doelen. Daarnaast heb ik ook aangegeven welke middelen (waaronder financiële middelen) ik nodig heb om de verwachtingen waar te maken. Toen ik in 2017 bij De BUCH startte, was dit het eerste wat ik ging doen – ‘mijn gereedschapskist’ vullen.

Gouden tip 4: doe vooral wat toegevoegde waarde levert

Soms bekruipt mij wel eens het gevoel dat werk wordt verricht terwijl dat niet altijd de meeste toegevoegde waarde oplevert. We kunnen druk zijn met van alles, maar als ik een tip mag geven: breng in kaart wie jouw stakeholders zijn en wat hun verwachtingen zijn. Doe je werk waar je niet op zit te wachten, waar niemand om vraagt en wat niemand verwacht, dan doe je niet het goede werk. Je kan druk zijn met activiteiten goed uit te voeren, maar als het geen toegevoegde waarde heeft, stop er dan mee. Denk dus even na waar je dagelijks mee bezig bent en hoeveel tijd je daaraan kwijt bent. Schrap waar mogelijk. Focus op de resultaten waar jij op wordt ‘afgerekend’.

Gouden clichétip 5: wat niet kan, kan niet

Als het werk toeneemt, dan kun je harder en meer werken, maar alles heeft een grens. En als jij je grens niet aangeeft, doet je lichaam dat wel. Stel: je werkt normaliter vijf aanvragen per dag weg, dan moet je niet proberen twaalf aanvragen structureel per dag weg te werken. Je hebt jezelf daarmee. Maak inzichtelijk wat je doet, hoeveel tijd het je kost en geef je manager aan wat je kan doen. Dat wat je niet kunt doen, kun je niet doen. Flauw gezegd: geef dat probleemstuk maar aan je manager, maar dan wel concreet onderbouwd. Een manager moet wel ‘munitie’ van jou hebben om jou te kunnen helpen. Zij hebben ‘sleutels’ tot structurele oplossingen, die heb jij nou eenmaal niet. Blijf dus niet als een dolle proberen alles weg te werken. Maak het bespreekbaar.

Deze vijf tips zorgen dat ik weinig tot geen werkdruk ervaar. Werkdruk is redelijk te managen. Het is niet gemakkelijk, maar het is ook niet onmogelijk. Succes!

yourilammerts@debuch.nl is Chief Information Security Officer (CISO) voor de werkorganisatie BUCH (ambtelijke organisatie voor de gemeenten Bergen, Uitgeest, Castricum en Heiloo).