Functietitels in security: wat betekenen ze echt?

Kort antwoord

Een functietitel in security verschilt per organisatie, onder meer omdat het vakgebied relatief jong is, organisaties sterk verschillen in omvang en Engelse en Nederlandse namen door elkaar worden gebruikt. Het Europese ENISA-kader laat zien dat één beroepsprofiel meerdere titels kan dragen. In het ECSF gelden Information Security Officer en Head of Information Security als alternatieve titels van het CISO-profiel. De taken in de vacature zeggen daarom meer dan de titel alleen. Deze pagina helpt je titels te groeperen en vacatures te lezen.

Waarom verschillen functietitels per organisatie?

In het ECSF-document van ENISA staat bij elk profiel een lijst met alternatieve titels. Het profiel Chief Information Security Officer noemt er vijf, waaronder Cybersecurity Programme Director, Information Security Manager en Head of Information Security. Het profiel Cyber Incident Responder noemt zeven titels, zoals Cyber Incident Handler en Security Operation Analyst (SOC Analyst). Het profiel Cyber Legal, Policy & Compliance Officer noemt negen titels, en het profiel Penetration Tester acht. Binnen dat laatste profiel staan de titels Offensive Cybersecurity Expert en Defensive Cybersecurity Expert allebei genoemd, dus één profiel draagt zowel een aanvallende als een verdedigende naam.

Vijf oorzaken kunnen meespelen. De omvang van de organisatie kan bepalen of één persoon alles van beleid tot incidenten doet, of dat het werk is verdeeld over gespecialiseerde titels. Een organisatie kan de naam van vroeger houden, zoals IT-beveiliger of Security Officer, ook als het werk is veranderd. Een titel kan de tool in de naam zetten: een SIEM Engineer of Splunk Engineer beschrijft dan vooral het platform dat de organisatie gebruikt. Engelse titels als Analyst, Engineer, Specialist, Consultant en Manager worden vrij gebruikt en soms vertaald, bijvoorbeeld naar Beveiligingsadviseur. Tot slot kan Senior of Lead bij de ene werkgever iets zeggen over leiding en bij de andere over ervaring.

Een titel is dus een etiket en geen definitie. Hij zegt welke naam een organisatie op een functie plakt, niet precies welk werk erbij hoort.

Wat is het ECSF en hoe gebruik je het?

Het European Cybersecurity Skills Framework (ECSF) is een open Europees instrument van ENISA voor een gemeenschappelijk begrip van beroepsprofielen in cybersecurity. ENISA vat de rollen samen in twaalf profielen en beschrijft per profiel de verantwoordelijkheden, vaardigheden en onderlinge afhankelijkheden. Elk profiel heeft een samenvatting, een missie, hoofdtaken, belangrijke vaardigheden en kennis. Het document is van september 2022. Het kader wordt herzien, onder meer om vaardigheidsniveaus in te voeren en het af te stemmen op nieuw EU-beleid. Een openbare consultatie is volgens ENISA gepland voor eind 2026. Meer over het kader vind je op de ENISA-pagina over het ECSF.

Gebruik het ECSF als vertaalwoordenboek, niet als wet. Het zegt niet hoe jouw werkgever een functie noemt. In de profielnamen staat "Cybersecurity", in veel alternatieve titels "Information Security". In de praktijk worden die termen door elkaar gebruikt, dus de vacaturetekst bepaalt wat er bedoeld wordt. Er zijn titels op de arbeidsmarkt die geen profiel in het ECSF hebben. De volgende twee secties laten zien welke titels in de tabellen passen en welke niet.

Welke titels horen bij leiding, risico en compliance?

De tabel zet de titels uit deze groep naast de alternatieve titels uit het ECSF, het profiel waar ze onder vallen en de rolgids. De eerste kolom bevat de titel zoals je die in vacatures ziet.

Het ECSF zet CISO en Information Security Officer onder één profiel, terwijl organisaties ze ook als aparte functies kunnen inrichten. Let op de afkorting: ISO betekent in een functietitel Information Security Officer, niet de norm ISO 27001 (zie ISO 27001). Lees het verschil tussen de twee functies in Information Security Officer of CISO. Voor het leiderschap van het vakgebied kijk je ook naar security leadership.

GRC Consultant is een alternatieve titel van het compliance-profiel en geen eigen profiel in het ECSF. De vacaturetekst laat zien hoe breed de rol is ingevuld. Meer over de term en de rol vind je bij wat is GRC. Voor het privacy- en compliancewerk in het algemeen kijk je naar het vakgebied compliance en privacy.

Welke titels horen bij operations, techniek en testen?

De tabel hieronder hoort bij het operationele en technische werk. Voor de operationele rollen kijk je naar het vakgebied security operations, voor de ontwerprollen naar het vakgebied security architecture.

Een aantal titels komt niet als profielnaam of alternatieve titel in het ECSF voor. Dat zijn Detection Engineer, SOC Engineer, SIEM Engineer, Threat Hunter, Cloud Security Engineer, Application Security Engineer, IAM Engineer, Network Security Engineer en OT Security Specialist. Dit zijn vaak toespitsingen van een bestaand profiel. Een Detection Engineer en een SIEM Engineer bouwen en onderhouden vaak de detectie waarmee de SOC Analist en de Incident Responder werken, en een Threat Hunter zoekt actief naar dreigingen die alarmen missen. Cloud, Application, IAM, Network en OT Security Engineers kunnen zich toespitsen op het technische werk van een Security Engineer of Architect. Dit is duiding en geen ECSF-indeling.

Lees de rolgidsen voor Detection Engineer, SIEM Engineer en Threat Hunter. Vacatures vind je voor Cloud Security Engineer en IAM Engineer.

Vaak is een Analyst iemand die onderzoekt en beoordeelt, een Engineer iemand die bouwt en onderhoudt, een Specialist iemand die diep in één onderwerp zit en een Consultant iemand die adviseert, maar de titel garandeert dat niet.

Welke titels hebben juridisch gewicht?

Bij de titel functionaris gegevensbescherming (FG) gelden wettelijke regels. Artikel 37 lid 1 van de AVG noemt de gevallen waarin een FG verplicht is, waaronder verwerking door een overheidsinstantie of overheidsorgaan. De Autoriteit Persoonsgegevens (AP) schrijft dat dezelfde regels over professionaliteit en takenpakket (artikel 37 tot en met 39 AVG) gelden zodra je een medewerker functionaris gegevensbescherming noemt, ook als de FG niet verplicht is.

Bijna alle andere security-titels kun je vrij kiezen. Een titel als CISO of Security Officer heeft geen wettelijke status. Omdat de titel FG wettelijke regels meebrengt, kiezen sommige organisaties bewust voor Privacy Officer. Volgens de AP mag een FG binnen de organisatie geen functie hebben waarin die het doel en de middelen van een verwerking bepaalt, zoals een managementpositie als hoofd IT of CISO. Heeft iemand een andere naam, positie en takenpakket, dan gelden de regels voor de FG niet, en moet de organisatie binnen en buiten duidelijk maken dat die persoon geen FG in de zin van de wet is.

Lees de rolgidsen voor Data Protection Officer en Privacy Officer, en het verschil tussen security, privacy en compliance.

Hoe lees je een vacature met een onduidelijke titel?

Lees eerst de taken en pas daarna de titel. Vijf controles helpen je dat in een vaste volgorde te doen.

1. Taken. Lees de eerste alinea met taken en vergelijk die met de hoofdtaken van het ECSF-profiel. Voor het profiel CISO gaat het om beleid en doelen, het aansturen van het informatiebeveiligingssysteem (ISMS) en het onderhandelen over het budget. Voor de Cyber Incident Responder gaat het om het monitoren van systemen, het analyseren van incidenten en het herstellen van systemen.
2. Rapportagelijn. Kijk aan wie je rapporteert: de directie, een CISO, de IT-manager of de SOC-manager. Die lijn zegt iets over of de rol leidinggevend is of uitvoerend.
3. Tools en kaders. Splunk of Microsoft Sentinel wijst naar monitoring. ISO 27001 of NIST CSF wijst eerder naar beleid en governance. Burp Suite of Metasploit wijst naar testen, en Okta of CyberArk naar identiteit.
4. Eisen. Kijk of een certificering wordt gevraagd als eis of als wens, en wat die zegt over het werk. Zie welke certificeringen per functie.
5. Soort organisatie. Een bank, een ziekenhuis, een gemeente en een softwareleverancier geven dezelfde titel elk een ander accent.

Neem twee vacatures die beide Security Officer heten. In de ene schrijf je beleid, voer je risicoanalyses uit, rapporteer je aan de directeur en begeleid je auditors. In de andere beheer je firewalls, rol je patches uit, bekijk je logs en help je gebruikers. De eerste lijkt op het ECSF-profiel CISO of Cyber Legal, Policy & Compliance Officer in een kleine organisatie. De tweede lijkt op een beheer- of implementatiefunctie. Zelfde titel, ander werk.

Zoek je een functie, combineer dan de titel met het werk dat je wilt doen, zoals incident, risico, privacy of architectuur. Gebruik de alternatieve titels uit de tabellen als synoniemen, zodat je geen vacature mist omdat de titel net anders is. Begin bij de vacatures en lees eerst wie doet wat in security, risk en compliance. Voor je cv gebruik je de titel die je werkgever gebruikte, desnoods met een neutrale beschrijving erachter. Zie de cv-tips voor cybersecurityfuncties.