Werken als Cyber Security Analyst

Wat doet een Cyber Security Analyst?

Een Cyber Security Analyst onderzoekt meldingen en signalen, bepaalt of er echt iets aan de hand is en werkt eraan de beveiliging te verbeteren. Het werk hoort bij het vakgebied security operations, maar de titel zelf is breed. Bij sommige organisaties lijkt het werk op dat van een SOC Analist: meldingen uit de beveiligingssystemen beoordelen. Bij andere ligt de nadruk op kwetsbaarheden, op beveiligingsonderzoek of op het opvolgen van dreigingsinformatie, en schrijft de analist vooral adviezen.

Een voorbeeld. Meerdere medewerkers melden dezelfde verdachte mail. De analist zoekt uit hoeveel mensen die ontvingen en wie op de link klikte. Daarna kijkt de analist of een van die accounts iets ongewoons deed, zoals inloggen vanaf een ander land of regels aanmaken in de mailbox. De mail wordt uit de mailboxen verwijderd, de mensen die klikten krijgen de vraag hun wachtwoord te wijzigen, en de analist schrijft een verslag. Samen met een collega stemt de analist daarna het mailfilter af.

Een goed verslag scheidt wat is gezien van wat wordt vermoed, zodat een collega het zonder extra vragen kan volgen.

Cyber Security Analyst of Cybersecurity Specialist?

Er is geen officiële rolbeschrijving voor Cyber Security Analyst of Cybersecurity Specialist. Het European Cybersecurity Skills Framework van ENISA is een open Europees hulpmiddel om een gemeenschappelijk begrip van functieprofielen in cybersecurity te vormen. Het kent twaalf profielen, en geen daarvan heet Cyber Security Analyst of Cybersecurity Specialist. NIST schrijft in SP 800-181 Rev. 1 bovendien dat namen van werkrollen niet hetzelfde zijn als functietitels: een werkrol kan bij veel verschillende titels horen, en een functie kan uit meerdere rollen zijn samengesteld.

Cybersecurity Specialist is nog breder. De titel zegt vooral dat iemand ergens in security werkt, dus de inhoud moet uit de vacature blijken. Kijk naar drie dingen: welke taken erin staan, welke tools worden genoemd en bij welk team de functie hoort. Die drie laten zien wat er echt wordt bedoeld. Bekijk daarvoor de vacatures voor Cybersecurity Specialists, en op de werkgeverspagina zie je welke organisaties die functie zoeken.

Welke taken horen bij de functie?

Het ECSF kent geen profiel Cyber Security Analyst. Het profiel dat het dichtst bij het analyserende werk ligt, is Cyber Incident Responder. Dat is ons oordeel en geen officiële koppeling met de titel. Het ECSF noemt SOC Analyst als een van de alternatieve titels van dit profiel. Het profiel gaat over het bewaken van de cybersecuritystatus van een organisatie, het afhandelen van incidenten tijdens cyberaanvallen en het borgen van de continuïteit van ICT-systemen.

De hoofdtaken van dat profiel komen in gewone taal hierop neer:

• incidenten herkennen, analyseren, beperken en erover communiceren;
• technische kwetsbaarheden beoordelen en beheren;
• meten hoe goed detectie en reactie op incidenten werken;
• de analyse en de genomen acties vastleggen;
• samenwerken met een Security Operations Center (SOC) en een Computer Security Incident Response Team (CSIRT).

Bij sommige organisaties komt daar bij dat je logs onderzoekt, kwetsbaarheden volgt en regels afstelt. Het voorbeeldteam van NIST SP 800-181 Rev. 1 (november 2020) zet bij de functie Detect de werkrol Cyber Defense Analyst en bij de functie Respond de werkrol Cyber Defense Incident Responder. NIST noemt dat voorbeeld informatief. In dat voorbeeld ligt het analyserende werk dus bij detectie en het afhandelen van een incident bij reactie.

Welke skills heb je nodig?

De functie vraagt om technische kennis en om vaardigheden in communicatie.

Technisch

• Logbestanden lezen en analyseren. Veel bewijs staat in logs. Je vindt de regel die ertoe doet, en je kunt uitleggen waarom die regel telt. Zie ook security monitoring. Voorbeeld: een reeks inlogpogingen in de log van een VPN-dienst die je met een andere bron naast elkaar legt.
• Dreigingsinformatie uit meerdere bronnen samenvoegen. Je verzamelt informatie uit verschillende bronnen en brengt die met elkaar in verband. Voorbeeld: een waarschuwing over een kwaadaardig domein naast het verkeer dat je in je eigen netwerk ziet.
• Besturingssystemen, servers en clouds. Je weet hoe processen, accounts en rechten werken, en welk proces een gebruiker heeft gestart. Voorbeeld: zien dat een onbekend proces op een laptop is gestart door een account dat die software normaal niet gebruikt.
• Netwerken en een scripttaal. Met netwerkkennis herken je een verdacht verkeerspad. Met een scripttaal automatiseer je herhaald werk. Voorbeeld: een klein script dat elke ochtend dezelfde zoekopdracht in de logs draait.
• Basiskennis van kwetsbaarheden. Je weet wat een kwetsbaarheid is en hoe je die laat opvolgen. Zie ook vulnerability management.

Niet-technisch

• Onder druk werken. Voorbeeld: als er veel meldingen tegelijk binnenkomen, bepaal je eerst welke het zwaarst weegt, en werk je rustig verder.
• Communiceren, presenteren en rapporteren. Voorbeeld: uitleggen aan een medewerker zonder security-achtergrond wat je nodig hebt en waarom.
• Onderscheid maken tussen wat je ziet en wat je vermoedt. Voorbeeld: in een verslag staat "de log toont een inlog vanaf een ander land", en het vermoeden dat het om misbruik gaat, staat daar apart bij.

Welke tools en technologie gebruikt een Cyber Security Analyst?

Eerst het soort gereedschap. Een SIEM verzamelt logs uit systemen en maakt daar meldingen van. Een EDR-tool bewaakt laptops en servers en legt vast wat daar gebeurt. Een kwetsbaarheidsscanner zoekt bekende zwakke plekken. Een netwerkanalyse-tool laat zien welk verkeer tussen systemen loopt.

Daarbij horen namen als voorbeeld: Microsoft Sentinel, Splunk en Elastic Security voor een SIEM, CrowdStrike voor een EDR-tool, Nessus en Qualys voor kwetsbaarheden en Wireshark voor netwerkverkeer. Wie één SIEM kent, leert een tweede meestal sneller, omdat de vragen hetzelfde blijven: wat gebeurde er, op welk systeem en door wie.

MITRE ATT&CK is een wereldwijd toegankelijke kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen in de praktijk. Het staat open voor iedereen zonder kosten en heeft matrices voor Enterprise, Mobile en ICS. Een analist gebruikt ATT&CK als gedeelde taal: je geeft gedrag een naam, zodat je met collega's over dezelfde techniek praat. Het is een naslagwerk, geen checklist en geen vereiste. Zie ook MITRE ATT&CK als vaardigheid.

Welke tools een werkgever daadwerkelijk gebruikt, staat in de vacature.

Welke opleiding en certificeringen passen bij een Cyber Security Analyst?

Geen officiële bron noemt een opleidingseis voor deze functie. Je kunt starten met een hbo-opleiding in ICT of security. Een certificering is een manier om kennis aan te tonen.

CompTIA Security+ is een voorbeeld. CompTIA omschrijft Security+ als een wereldwijd erkende cybersecurity-certificering die praktische vaardigheden voor kernfuncties in security opbouwt en aantoont. Op de CompTIA-pagina voor Security staan onder andere de functies Security Analyst, Security Engineer en Systems Administrator. De skillpagina laat zien waar Security+ in vacatures terugkomt. CompTIA CySA+ toetst volgens CompTIA het vermogen om cybersecuritydreigingen te detecteren, te analyseren en erop te reageren. Als functie noemt de CompTIA-pagina voor CySA+ Security Analyst.

Op beide pagina's staan meerdere versies van de certificering. Security+ V7 is beschikbaar, en de pagina noemt V8 naar verwachting rond 17 november 2026. Kijk daarom op de CompTIA-pagina voor de actuele versie. Of een werkgever waarde hecht aan een certificering, verschilt per werkgever, en een certificering vervangt geen ervaring.

Voor later zijn er brede certificeringen zoals CISSP en CISM. Het artikel CISSP, CISM of CISA: welke certificering past helpt bij die keuze.

Hoe word je Cyber Security Analyst?

Er zijn meerdere routes. Je kunt starten met een hbo-opleiding in ICT of security. Zij-instroom komt ook voor, vanuit systeembeheer, netwerkbeheer of de helpdesk. Sommige mensen beginnen als SOC Analist en gaan daarna de breedte in.

Richt een eigen oefenomgeving in, verzamel logs en leer die analyseren, en schrijf op wat je vindt. Daarmee zoek je een instapfunctie of een stage. Wat je kunt laten zien, is een korte en duidelijke beschrijving van een onderzoek, in je eigen woorden: welk logbestand je hebt gebruikt, wat je zag, wat je vermoedde en hoe je dat controleerde. Dat zegt iets over hoe je werkt, maar het is geen garantie op een functie. Wie eerst een SOC-functie kiest, vindt in de rolgids voor de SOC Analist hoe dat werk eruitziet.

Waar werk je als Cyber Security Analyst?

Je vindt de functie bij organisaties in de overheid, de financiële dienstverlening, de zorg, adviesbureaus, technologiebedrijven en de energiesector. Bekijk de vacatures per sector: rijksoverheid, financiële dienstverlening, zorg en life sciences en consultancy en data services. Bij sommige organisaties is het werk intern georganiseerd. Bij andere ligt het bij een adviesbureau of een beheerpartij. Zie ook werkgevers die Cyber Security Analysts zoeken.

Waar groei je naartoe en hoe verhoudt de rol zich tot andere rollen?

De Cyber Security Analyst staat dicht bij de SOC Analist. Het verschil zit vooral in de breedte. De SOC Analist werkt in een team dat de beveiliging bewaakt en richt zich op meldingen uit het SIEM en de EDR-tool. De Cyber Security Analyst kan dat ook doen, maar werkt ook breder aan kwetsbaarheden, adviezen of beleid. De Security Engineer bouwt en beheert beveiligingsoplossingen, terwijl de analist onderzoekt en adviseert. Alles is per organisatie verschillend, en het zijn geen vaste grenzen.

Dit is een overzicht van rollen, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien. Doorgroei is mogelijk naar:

• Incident Responder. Je leidt het onderzoek en het herstel bij echte incidenten. Zie de vacatures en de rolgids.
• Threat Hunter. Je zoekt actief naar aanvallers die nog geen melding hebben veroorzaakt. Zie de vacatures en de rolgids.
• Security Engineer. Je bouwt en beheert beveiligingsoplossingen. Zie de vacatures en de rolgids.
• Information Security Officer. Je werkt aan afspraken, beleid en bewustzijn binnen de organisatie. Zie de vacatures en de rolgids.

Er is geen baangarantie en geen vaste doorgroeitijd.

Vacatures en werkgevers

Op de vacaturepagina's zie je welke functies voor Cyber Security Analysts en Cybersecurity Specialists open staan. Op de werkgeverspagina's zie je welke organisaties die functies zoeken, voor Cyber Security Analysts en Cybersecurity Specialists. Lees bij elke vacature de taken, de tools en het team, want die bepalen wat de functie inhoudt.