Werken als Cloud Security Engineer

Wat doet een Cloud Security Engineer?

Een Cloud Security Engineer richt de beveiliging van cloudomgevingen in, automatiseert die en bewaakt ze. Een cloudomgeving bestaat uit computers, opslag, netwerken en diensten die je bij een provider afneemt. Je maakt die aan met instellingen en code in plaats van met kabels en servers, waardoor een fout in één instelling al snel de hele omgeving raakt.

Neem een team dat een nieuwe webapplicatie in de cloud wil uitrollen. De engineer kijkt mee naar wie erbij mag, hoe de applicatie met de database praat, waar het netwerkverkeer loopt en waar de logs terechtkomen. Een deel van die afspraken komt als automatische controle in de pipeline, zodat een afwijkende instelling de uitrol tegenhoudt. Later meldt een controle dat een opslagruimte openbaar staat. Dan zoekt de engineer uit wie hem heeft aangemaakt en waarom, sluit de toegang, kijkt in de logs of er al iemand binnen is geweest, en voegt een regel toe die voorkomt dat het opnieuw gebeurt.

Een groot deel van het werk bestaat uit afspraken en automatisering, zodat dezelfde fout niet terugkomt. De engineer werkt daarvoor samen met ontwikkelaars, die de applicatie bouwen, en met beheerders, die de omgeving draaien. Dit werk valt binnen het vakgebied cybersecurity, en de skill cloud security komt terug in vacatures.

Wie is waarvoor verantwoordelijk in de cloud?

Bij een cloudprovider geldt een gedeeld verantwoordelijkheidsmodel. De provider beveiligt de infrastructuur waarop de diensten draaien. De klant blijft verantwoordelijk voor zijn data, identiteiten, toegang en configuratie. Dat is de reden dat deze functie bestaat: wie alleen op de provider vertrouwt, laat een deel van de beveiliging onbeheerd.

Microsoft beschrijft in Microsoft Learn (bijgewerkt in augustus 2026) dat de klant bij elk type inrichting zijn eigen data en identiteiten bezit. Volgens Microsoft blijven data, endpoints, accounts en toegangsbeheer, waaronder rolgebaseerde toegang en multifactorauthenticatie, altijd bij de klant. AWS maakt hetzelfde onderscheid met "security of the cloud" en "security in the cloud". Wie bij AWS een Amazon EC2-instantie uitrolt, beheert zelf het gastbesturingssysteem, de firewallinstellingen (security groups), de zelf geïnstalleerde software en de eigen data, inclusief versleutelingskeuzes en IAM-rechten. Dat staat op de AWS-pagina over het gedeelde model.

Hoeveel de klant zelf beheert, hangt af van het soort dienst. Het NIST-model (SP 800-145, september 2011) noemt drie dienstmodellen: Software as a Service (SaaS), Platform as a Service (PaaS) en Infrastructure as a Service (IaaS). Bij IaaS huur je de bouwstenen, zoals virtuele machines, netwerken en opslag, en beheer je zelf veel meer. Bij PaaS gebruik je een platform en beheer je vooral je applicatie en data. Bij SaaS gebruik je een kant-en-klare applicatie en beheer je vooral wie erbij mag en wat er in staat. De documentatie van de provider laat per dienst zien wat bij de klant ligt.

Welke taken horen bij de functie?

Er is geen officiële rolbeschrijving voor Cloud Security Engineer, en de naam staat niet in het European Cybersecurity Skills Framework van ENISA. Dat framework kent twaalf profielen, en geen daarvan heet Cloud Security Engineer. Volgens ons liggen de profielen Cybersecurity Implementer en Cybersecurity Architect het dichtst bij deze functie. Dat is ons oordeel als referentie, niet de officiële omschrijving van deze functie. Het framework noemt Cybersecurity Engineer en DevSecOps Engineer als alternatieve titels voor het Implementer-profiel.

Het Implementer-profiel configureert systemen, diensten en producten veilig, voert beveiligingsmaatregelen in en bewaakt of die blijven werken. Het documenteert en rapporteert, werkt nauw samen met IT-beheer en installeert patches tegen technische kwetsbaarheden. In de cloud betekent dat: je zet omgevingen veilig op, zet controles aan, volgt of ze werken en handelt kwetsbaarheden en patches af. Je legt dat vast en rapporteert aan de verantwoordelijken.

Het Architect-profiel ontwerpt beveiliging vanaf het begin (security-by-design), beoordeelt de architectuur en borgt de beveiliging van oplossingsarchitecturen via beveiligingsreviews. Bij sommige organisaties ontwerpt de architect en bouwt en bewaakt de engineer. Bij andere doet één persoon beide, en de verdeling verschilt per organisatie. Functietitels verschillen daarnaast van werkrollen: in NIST SP 800-181 Rev. 1 (november 2020) staat dat één werkrol bij veel verschillende functietitels kan horen.

Welke skills heb je nodig?

Het ECSF noemt als kernvaardigheden van de Implementer: beveiligingsoplossingen in de infrastructuur integreren, oplossingen instellen volgens het beleid van de organisatie, de beveiliging en prestaties beoordelen, code en scripts schrijven, en beveiligingsproblemen opsporen en oplossen. Daarbij hoort kennis van besturingssystemen, netwerkbeveiliging, de ontwikkelcyclus met beveiliging erin en defensieve en offensieve beveiligingspraktijken. Voor de cloud komen identiteiten en toegangsrechten, netwerksegmentatie, versleuteling, logging en infrastructure as code erbij. Je leest en schrijft die code, zodat een regel in een sjabloon elke nieuwe omgeving meekrijgt.

Bij identiteiten zie je dat een account meer rechten heeft dan de applicatie nodig heeft, en pas je dat aan. Bij netwerksegmentatie bepaal je welke systemen met elkaar mogen praten en welke niet. Bij logging zorg je dat de logs van toegang en wijzigingen terechtkomen waar iemand ze kan lezen. Bij infrastructure as code lees je in een bestand wat er wordt aangemaakt, voordat het er is.

Ook de niet-technische kant hoort erbij. Je legt uit waarom een regel bestaat, zonder dat een ontwikkelaar zich geblokkeerd voelt. Je beschrijft een risico in gewone taal, stelt prioriteiten en documenteert nauwkeurig. Als een omgeving niet doet wat je verwacht, blijf je rustig en zoek je systematisch naar de oorzaak. De technische kant vind je terug in de skill cloud security, en identiteit en toegang in de skill identity and access management.

Welke tools en technologie gebruikt een Cloud Security Engineer?

Tools zijn in dit werk het gereedschap waarmee je omgevingen inricht, bouwt en bewaakt. Het begint bij een cloudplatform, de omgeving van een provider waarin je accounts, netwerken en opslag beheert. Voorbeelden zijn AWS, Azure en Google Cloud Platform. Daarnaast gebruik je infrastructure as code. Terraform is daar een voorbeeld van, en HashiCorp beschrijft het in de introductie als hulpmiddel om cloud- en on-premises-bronnen te bouwen, te wijzigen en van versies te voorzien. Kubernetes is een containerplatform. Volgens kubernetes.io is het een open-sourcesysteem voor het automatiseren van de uitrol, schaling en het beheer van applicaties in containers.

Voor identiteit en toegang gebruik je identity and access management, waarmee je bepaalt wie wat mag. Bij Azure gaat dat bijvoorbeeld via Entra ID. Een scripttaal zoals Python gebruik je om controles en koppelingen te schrijven.

Welke platforms en tools een werkgever gebruikt, staat in de vacature. Wie één platform kent, leert een tweede meestal sneller, omdat de vragen hetzelfde blijven: wie mag wat, wat staat open en wat wordt gelogd.

Welke opleiding en certificeringen passen bij een Cloud Security Engineer?

Het ECSF noemt voor de verwante profielen geen verplichte opleiding of certificering. Een certificering laat zien dat je kennis hebt, maar vervangt geen ervaring.

Voor de cloud lees je meer in het artikel over de CCSP-certificering. De skillpagina voor CCSP laat zien waar die in vacatures terugkomt. De AWS-certificering Security Specialty is een voorbeeld van een route die bij één leverancier hoort. Volgens AWS toetst die deskundigheid in het opzetten en uitvoeren van beveiligingsoplossingen in de AWS Cloud. AWS schrijft dat de certificering bedoeld is voor ervaren mensen met vijf jaar ervaring in IT-beveiliging, en noemt twee of meer jaar praktijkervaring met het beveiligen van AWS-werklasten als aanbevolen ervaring. De AWS-pagina geeft dus zelf aan voor wie de certificering bedoeld is, en het actuele examen en de kosten staan daar ook.

Voor de basis past CompTIA Security+. Als brede certificering voor later noemen we CISSP. Of een werkgever een certificering waardeert, verschilt per werkgever. Kijk voor de actuele eisen op de pagina's van de uitgevers.

Hoe word je Cloud Security Engineer?

Je kunt starten met een hbo- of wo-opleiding in ICT. Zij-instroom komt ook voor, vanuit systeembeheer, netwerkbeheer, DevOps of softwareontwikkeling. Wat telt is dat je een omgeving veilig kunt inrichten en kunt uitleggen waarom.

Je kunt zelf beginnen met deze stappen:

1. Richt een eigen oefenomgeving in bij een cloudprovider. Let op de kosten, en gebruik alleen omgevingen die van jou zijn.
2. Beschrijf een kleine omgeving met code, bijvoorbeeld met infrastructure as code.
3. Maak met opzet een fout in die omgeving en kijk hoe je die opspoort.
4. Werk de documentatie van de provider over gedeelde verantwoordelijkheid door en bepaal bij elke dienst wat jij moet beheren.
5. Schrijf je bevindingen op, kort en met het risico in gewone taal.

Wat je kunt laten zien: een voorbeeldomgeving, een script en een heldere beschrijving van een risico. Of het tot een functie leidt, hangt af van de werkgever en van wat je laat zien.

Waar werk je als Cloud Security Engineer?

Je komt deze functie tegen bij softwarebedrijven, financiële instellingen, adviesbureaus en organisaties die hun omgeving naar de cloud verhuizen. Voorbeelden van sectoren zijn IT, SaaS en technologie, financiële dienstverlening en consultancy en data services. Welke wetten en normen gelden, verschilt per sector en per organisatie. NIS2 en DORA zijn voorbeelden van kaders waarmee een cloudomgeving te maken kan hebben. Welke werkgevers deze functie zoeken, zie je op de werkgeverspagina.

Cloud Security Engineer, Security Architect of Application Security Engineer?

De Cloud Security Engineer richt de omgeving in en bewaakt die. De Security Architect ontwerpt het geheel. De Application Security Engineer richt zich op de applicatiecode en de ontwikkelcyclus. De overlap is groot en de rollen verschillen per organisatie.

Dit is een overzicht van rollen, geen belofte. Doorgroei kan naar een Security Architect, die het geheel ontwerpt, naar een Security Engineer, die breder werkt dan alleen de cloud, of naar een IAM Engineer of Network Security Engineer, die identiteit of netwerken als specialisme hebben. Welke route openstaat, hangt af van de organisatie en van wat je laat zien. Zie de vacatures voor Security Architect, Security Engineer, IAM Engineer en Network Security Engineer. De rolgidsen voor Application Security Engineer en Security Architect laten de andere rollen van dichterbij zien.

Vacatures en werkgevers

Op de vacaturepagina voor Cloud Security Engineers zie je welke vacatures nu openstaan. Op de werkgeverspagina zie je welke werkgevers deze functie zoeken. In de vacature zelf staan de platforms, tools en certificeringen die een werkgever vraagt.