Werken als Security Engineer

Wat doet een Security Engineer?

Een Security Engineer bouwt, configureert, test en onderhoudt de beveiligingsmaatregelen van een organisatie. Hij maakt systemen en diensten veilig en houdt ze veilig, in het werk zelf, met scripts, configuraties en gereedschap. Waar een Security Architect bepaalt hoe beveiliging in het geheel moet passen, zorgt de engineer dat die maatregelen er ook echt staan en werken.

De titel wordt breed gebruikt. Bij sommige organisaties is de engineer vooral bezig met netwerken en firewalls, bij andere met cloudomgevingen, endpoints, identiteiten of applicaties. Voor die specialismen bestaan eigen titels, zoals Cloud Security Engineer, Application Security Engineer, Network Security Engineer en IAM Engineer. Een Security Engineer zonder specialisme doet bij sommige organisaties een beetje van alles, dus de vacature zegt welk deel van het werk het is.

Neem een scan die laat zien dat meerdere servers een kwetsbaar onderdeel hebben. De engineer kijkt welke servers van buiten bereikbaar zijn en welke gevoelige gegevens ze bevatten, en bepaalt zo de volgorde. Voor de eerste groep test hij de patch op een testserver, controleert of de dienst nog werkt en rolt hem uit samen met de beheerders. Daarna scant hij opnieuw om te zien of de kwetsbaarheid weg is. Kan een patch niet meteen, dan regelt hij een tijdelijke maatregel, zoals het beperken van de toegang, en legt vast waarom. Dit is patchbeheer, een van de hoofdtaken van de functie.

Een tweede voorbeeld: een team wil een nieuwe dienst online zetten. De engineer configureert de servers volgens de afspraken van de organisatie, met onnodige onderdelen uit, toegang beperkt en versleuteling aan. Hij zorgt dat de logs in het SIEM terechtkomen, zodat het SOC mee kan kijken, en test of de beveiliging doet wat is afgesproken. Een team gebruikt hiervoor een script of infrastructuur als code, zodat de volgende omgeving op dezelfde manier wordt ingesteld.

Welke taken horen bij de functie?

De hoofdtaken staan in het Cybersecurity Implementer-profiel van het European Cybersecurity Skills Framework van ENISA. Dat profiel gaat over het ontwikkelen, uitrollen en beheren van cybersecurityoplossingen, tools en diensten die organisaties tegen cyberaanvallen beschermen. Het rolprofiel dateert van september 2022 en ENISA herziet het kader, dus de actuele stand staat op de ENISA-pagina. In gewone taal komen de hoofdtaken hier op neer:

• Producten ontwikkelen, implementeren, testen en onderhouden: van de eerste opzet tot de werkende versie in de omgeving.
• Oplossingen integreren: zorgen dat ze in de bestaande infrastructuur goed werken.
• Gebruikers en klanten ondersteunen: helpen bij vragen en problemen met de beveiliging.
• Veilig configureren: systemen, diensten en producten inrichten volgens het beveiligingsbeleid.
• Beveiliging onderhouden en upgraden: zodat wat eerder goed was, goed blijft.
• Procedures en controls implementeren: de afgesproken maatregelen daadwerkelijk neerzetten.
• Prestaties van controls bewaken: merken wanneer een maatregel niet meer doet wat hij moet doen.
• Documenteren en rapporteren: vastleggen wat er staat en daarover rapporteren.
• Samenwerken met IT- en OT-personeel: wijzigingen afstemmen met de teams die de systemen beheren.

Patches beheren hoort ook bij het werk, om technische kwetsbaarheden aan te pakken. De maatregelen kunnen daarnaast worden getoetst aan een kader zoals ISO 27001.

Security Engineer is geen titel van ENISA. Onder de alternatieve titels van het Implementer-profiel staat Cybersecurity Engineer, naast onder meer "Development, Security & Operations (DevSecOps) Engineer" (zie de PDF met de rolprofielen). Sommige organisaties vullen de rol anders in, dus de functieomschrijving zegt meer dan de titel.

Welke skills heb je nodig?

Het ENISA-profiel noemt key skills en key knowledge. In gewone taal gaat het om technische vaardigheden en om het vermogen om je werk uit te leggen.

Technisch:

• Veilig configureren: je weet welke instelling veilig is en waarom. Voorbeeld: je richt een dienst zo in dat alleen de poorten openstaan die nodig zijn.
• Scripten: je schrijft code, scripts en programma's, zodat een controle elke keer hetzelfde uitvoert. Voorbeeld: een script dat controleert of alle servers dezelfde instellingen hebben.
• Systemen en netwerken begrijpen: je weet hoe een besturingssysteem en een netwerk werken. Voorbeeld: na een wijziging is een server niet meer bereikbaar, en je weet waar je moet kijken.
• Aanvallers en verdediging kennen: je weet hoe een aanval verloopt en hoe je je verdedigt. Voorbeeld: je leest een scanresultaat en begrijpt waarom een kwetsbaarheid gevaarlijk is.
• Testen en oplossen: je controleert of een maatregel doet wat hij moet doen, en vindt de oorzaak als iets na een wijziging niet werkt.

Niet-technisch:

• Uitleggen en documenteren: je legt aan beheerders en ontwikkelaars uit waarom iets moet, en legt het vast. Voorbeeld: een korte beschrijving van een instelling, met de reden erbij.
• Samenwerken: met IT- en OT-personeel en met teamleden. Voorbeeld: je overlegt met de beheerders voordat je een patch uitrolt.
• Prioriteren: je kiest wat eerst moet. Voorbeeld: een kwetsbaarheid op een server die van buiten bereikbaar is, kan voorrang krijgen op een server die alleen intern bereikbaar is.

Welke tools en technologie gebruikt een Security Engineer?

Bij elk gereedschap hieronder staat eerst wat het doet, dan de naam. De vacature noemt welke tools je nodig hebt.

• Besturingssystemen zijn wat je configureert. Denk aan Linux en Windows Server.
• Scripttalen automatiseren werk. Python, PowerShell en Bash zijn de talen die je hiervoor tegenkomt.
• Infrastructuur als code beschrijft cloudomgevingen als code, zodat ze herhaalbaar zijn. Een voorbeeld is Terraform.
• Containers draaien toepassingen. Kubernetes en Docker doen dat.
• Cloudplatformen zijn de omgevingen waarin diensten draaien. Voorbeelden zijn Azure en AWS.
• Identiteit bepaalt wie waar toegang toe heeft. Active Directory en Entra ID beheren dat.
• Kwetsbaarheidsscanners zoeken zwakke plekken in systemen. Voorbeelden zijn Nessus en Qualys.

Wie één platform kent, leert een tweede sneller.

Security Engineer of Security Architect?

Een klantenportaal in de cloud laat het verschil het beste zien, want twee rollen werken er samen aan. De Security Architect bepaalt wat er moet gelden: welke onderdelen van elkaar gescheiden worden, hoe gebruikers zich aanmelden, welke gegevens versleuteld worden, welke logs er komen en wat er gebeurt als een onderdeel uitvalt. Dat legt hij vast in een architectuurdiagram en een lijst met eisen. De Security Engineer bouwt het: hij stelt de netwerkscheiding in, configureert de aanmelding, zet de versleuteling aan en koppelt de logs. Hij test en past aan als de praktijk anders blijkt. Ziet hij dat een eis niet haalbaar is, dan gaat hij terug naar de architect.

Meer over de architectrol lees je in de rolgids Werken als Security Architect. De vacatures voor beide rollen vind je bij Security Engineer en Security Architect.

De twee rollen raken elkaar bij de eisen: de engineer bouwt wat de architect vastlegt, en de architect begeleidt de implementeerders en het IT- en OT-personeel. Bij sommige organisaties doet één persoon beide, vooral in kleine teams.

Welke opleiding en certificeringen passen bij een Security Engineer?

Een hbo-opleiding in ICT of security is een gangbare route. Zij-instroom uit systeembeheer, netwerkbeheer of softwareontwikkeling komt ook voor. Wat je vooral moet kunnen laten zien, is dat je een systeem veilig kunt instellen en een gevonden probleem kunt herstellen.

Een paar certificeringen als voorbeeld. CompTIA Security+ geeft basiskennis, en CompTIA noemt op de pagina onder meer Security Engineer als functie. CompTIA meldt dat versie 7 beschikbaar is en dat versie 8 naar verwachting rond 17 november 2026 verschijnt. Kijk voor de actuele versie op de CompTIA-pagina en bij de vacatureskill voor Security+.

De CISSP is een brede basis, en ISC2 noemt Security Systems Engineer en Security Architect als functies waarvoor die geschikt is (zie de CISSP-pagina van ISC2 en de vacatureskill CISSP). De Information Systems Security Engineering Professional (ISSEP) van ISC2 laat zien dat je weet hoe je beveiliging in alle onderdelen van bedrijfsprocessen verwerkt. Voor wie met cloud werkt, past de CCSP, met de vacatureskill CCSP als aanvulling.

Een certificering vervangt geen ervaring. Of een werkgever er waarde aan hecht en welke certificering hij vraagt, bepaalt de werkgever zelf.

Hoe word je Security Engineer?

Je kunt vanuit verschillende kanten instromen. Vanuit systeem- of netwerkbeheer ken je de systemen waar de beveiliging in moet komen. Vanuit softwareontwikkeling of DevOps ken je scripts, uitrolprocessen en de manier waarop omgevingen worden ingericht. Vanuit het SOC ken je de detectie en weet je wat er misgaat als een maatregel ontbreekt.

Begin met een oefenomgeving, bijvoorbeeld een paar servers of een cloudaccount. Pas daar een veilige instelling toe en test of hij werkt. Zoek een kwetsbaarheid op een eigen testsysteem en herstel die. Schrijf een script dat een controle uitvoert, en beschrijf wat je hebt gedaan. Zoek daarna een instapfunctie, een stage of een rol in beheer met securitytaken.

Dit is geen garantie op een baan, maar je laat er wel mee zien wat je kunt.

Waar werk je en waar groei je naartoe?

Security Engineers werken bij organisaties met een eigen IT-omgeving en een securityteam, bij dienstverleners, bij softwarebedrijven die producten bouwen en beveiligen, en in consultancy. Securityteams komen onder meer voor in financiële dienstverlening, IT, SaaS en technologie, energie en infrastructuur en de rijksoverheid.

Dit is een overzicht van rollen, geen belofte over welke route openstaat. Dat hangt af van de organisatie en van wat je laat zien.

• Security Architect: je werkt aan ontwerp en keuzes op hoofdlijnen (rolgids, vacatures).
• Cloud Security Engineer: je werkt als specialist in cloudomgevingen (rolgids, vacatures).
• Application Security Engineer: je werkt aan de beveiliging van software (rolgids, vacatures).
• Network Security Engineer: je werkt aan netwerkscheiding en netwerkverkeer (rolgids, vacatures).
• IAM Engineer: je werkt aan identiteiten en toegang (rolgids, vacatures).
• SOC Engineer: je werkt aan de techniek van detectie (rolgids, vacatures).
• Security Manager: je werkt aan team en beleid (rolgids, vacatures).

Vacatures en werkgevers

Bekijk de openstaande rollen op de pagina vacatures voor Security Engineer. De werkgeverspagina voor deze rol brengt de organisaties bij elkaar die Security Engineers zoeken.