Ik snap de hang naar een technische (C)ISO niet helemaal want dat is vaak juist de reden waarom deze niet serieus genomen wordt binnen organisaties. IT'ers of techneuten worden vaak nog steeds gezien als een groep die alleen maar met problemen komen en alleen maar zaken verbieden, dat is wellicht niet zo maar gebruikers ervaren dat wel zo. Het is een risico om een technische CISO te hebben omdat deze zich alleen zal richten op de techniek terwijl het grootste gedeelte van Informatiebeveiliging zich juist in de organisatie afspeelt omdat Informatiebeveiliging niet alleen over techniek gaat maar voornamelijk over de informatie huishouding binnen de gehele organisatie. Hoe ga je met je gegevens om en met welke middelen beveilig je deze. Een (C)ISO zal voornamelijk adviseren en coördineren vanuit het IV proces, want van daaruit worden de 'kroon juwelen' beheert, de gegevens van de organisatie. Neemt niet weg dat een (C)ISO kennis moet hebben van ICT maar dat hoeft zeker niet op 'nuts and bolts' niveau want ...