IT GRC Specialist

En IT GRC specialist er bindeled mellem ledelsen, juristerne og dem, der drifter systemerne.

Meget af arbejdet handler om at oversætte. Et krav om passende sikkerhedsforanstaltninger i EU's NIS2-direktiv skal blive til noget konkret. For eksempel: alle administratorkonti skal have to-faktor, og det skal kunne dokumenteres.

Specialisten bygger sjældent selv teknikken. Til gengæld skal vedkommende kunne stille de rigtige spørgsmål til dem, der gør.

Typiske opgaver

• Risikovurderinger af systemer, leverandører og forretningsprocesser
• Politikker og retningslinjer for adgang, backup, logning og ændringshåndtering
• Kontroltest: virker sikkerheden i praksis, ikke bare på papiret
• Interne audits mod ISO 27001 og forberedelse af eksterne revisorer
• Leverandørstyring: databehandleraftaler, sikkerhedskrav i kontrakter og gennemgang af ISAE 3402-erklæringer
• Registrering af afvigelser og opfølgning på handleplaner
• Awareness-materiale og undervisning af kolleger
• Hjælp til hændelsesindberetning, når noget går galt
• Ledelsesrapportering om sikkerhedsstatus og de største risici

En almindelig arbejdsdag
Dagen starter tit i et regneark eller en GRC-platform. Der ligger måske 40 åbne handleplaner, og en tredjedel er forsinkede. Så et møde med en systemejer om en risikovurdering. Efter frokost gennemgang af en ny leverandørs sikkerhedsdokumentation. Sidst på dagen skrives et afsnit til kvartalsrapporten til ledelsen.

Det er sjældent dramatisk arbejde. Det er tålmodigt, og det kræver, at man kan holde styr på mange tråde. Man skal også kunne sige nej til en projektleder med travlt.

Hvor findes rollen?
Mest i bank, forsikring, energi, vand, transport og sundhed. Også hos it-leverandører, teleselskaber, medicinalvirksomheder og offentlige myndigheder. Store outsourcing-leverandører har ofte hele teams, der kun arbejder med GRC. I mindre virksomheder er GRC typisk en deltidsrolle oveni et andet it-job.

Hvilken lovgivning dækker denne rolle?
IT GRC specialist er ikke en beskyttet titel, og faget kræver ingen autorisation. Til gengæld findes rollen kun, fordi konkret lovgivning stiller krav. EU's NIS2-direktiv er gennemført i dansk ret med NIS2-loven, og Center for Cybersikkerhed vejleder om kravene. Databeskyttelsesforordningen (GDPR) og databeskyttelsesloven regulerer persondata under tilsyn af Datatilsynet. Finansielle virksomheder er derudover omfattet af EU's DORA-forordning, som Finanstilsynet fører tilsyn med.

Der findes ingen fast uddannelse til IT GRC specialist. De fleste kommer ind ad en af fire veje.

1. Fra it-drift
Mange starter som supporter, systemadministrator eller netværkstekniker. Efter tre til fem år skifter de til GRC. Fordelen er stor: de ved, hvordan systemerne rent faktisk hænger sammen.

2. Via en it-uddannelse
Datamatiker tager to år og fem måneder på et erhvervsakademi. Derefter kan man tage en professionsbachelor i softwareudvikling eller it-sikkerhed. Universiteterne udbyder kandidatuddannelser med sikkerhed som speciale, blandt andet DTU, IT-Universitetet, Aalborg Universitet og Aarhus Universitet. En kandidat tager typisk fem år i alt.

3. Fra revision og jura
IT-revisorer fra revisionshusene skifter ofte til GRC. De kender allerede kontroltest og ISAE 3402-erklæringer. Jurister og cand.merc.jur.'er kommer ind via GDPR og databeskyttelse, ofte fra en DPO-rolle.

4. Fra forretningen
Projektledere, kvalitetsmedarbejdere og risk managers skifter også ind. De har styr på processer og dokumentation. Teknikken lærer de undervejs, typisk med hjælp fra kolleger i driften.

Adgangskrav
Til datamatiker kræves gymnasial eksamen eller relevant erhvervsuddannelse med matematik på C-niveau. Til en kandidatuddannelse kræves en relevant bachelor. Til selve jobbet er der ingen formelle krav. Arbejdsgivere kigger på erfaring, certificeringer og evnen til at skrive forståeligt.

Efteruddannelse ved siden af job
Akademiuddannelse i informationsteknologi og diplomuddannelse i it-sikkerhed udbydes på deltid. Begge tager typisk to til tre år ved siden af arbejdet. Mange arbejdsgivere betaler.

Certificeringer

• ISACA udbyder CISA, CRISC og CISM. CISA er den klassiske GRC-certificering og kræver fem års relevant erfaring.
• ISC2 udbyder CISSP, som er bredere og også kræver fem års erfaring.
• Kurser i ISO 27001 Lead Implementer og Lead Auditor tager typisk tre til fem dage med eksamen til sidst.
• IAPP udbyder CIPP/E til dem, der arbejder meget med GDPR.

Begynd med ISO 27001-kurserne. De giver hurtigst værdi i hverdagen.

Karriereveje videre

• Compliance manager eller teamleder for et GRC-team
• CISO eller sikkerhedschef
• DPO, altså databeskyttelsesrådgiver
• IT-revisor eller ekstern rådgiver i et konsulenthus
• Specialist i ét regelsæt, for eksempel DORA i finanssektoren

GRC-platforme

• RISMA og Neupart SecureAware er udbredte hos danske virksomheder
• ServiceNow IRM, Archer, LogicGate og OneTrust bruges i større koncerner
• Excel og SharePoint er stadig virkeligheden mange steder

Rammeværk og standarder

• ISO 27001 og ISO 27002 til ledelsessystem og kontroller
• ISO 27005 til metode for risikovurdering
• CIS Controls og NIST Cybersecurity Framework som praktiske tjeklister
• COBIT i organisationer med tung it-governance
• Digitaliseringsstyrelsen stiller krav om ISO 27001 i statslige myndigheder
• D-mærket bruges af mindre danske virksomheder som en lettere indgang

Data fra andre systemer
En GRC-specialist skal kunne hente og forstå rapporter fra driften:

• Sårbarhedsscanninger fra Tenable, Qualys eller Microsoft Defender
• Adgangs- og rettighedsrapporter fra Microsoft Entra ID og Active Directory
• Hændelser fra et SIEM som Microsoft Sentinel eller Splunk

Dokumentation og opfølgning

• Jira eller ServiceNow til handleplaner og afvigelser
• Confluence, SharePoint eller Teams til politikker og versionsstyring
• Power BI til ledelsesrapportering
• Leverandørskemaer som CAIQ og SIG samt ISAE 3402- og ISAE 3000-erklæringer

Det vigtigste værktøj er stadig skriftlighed. En risikovurdering, ingen forstår, er ubrugelig.