Van SOC-analist naar CISO: zo kan een loopbaan eruitzien

Is er een vaste route van SOC-analist naar CISO?

Nee, er is geen vaste route. Organisaties geven functies eigen namen, en CISO's komen uit verschillende richtingen. Een CISO kan uit techniek komen, maar ook uit risk, audit of compliance. Kleine organisaties hebben soms geen CISO, maar een Information Security Officer of een security manager die de taken doet.

Wel kun je met het European Cybersecurity Skills Framework (ECSF) zien welke taken bij welke rol horen. ENISA beschrijft het als een open Europees hulpmiddel met twaalf rolprofielen. Het ECSF noemt SOC Analyst als alternatieve titel bij het profiel Cyber Incident Responder. Bij het CISO-profiel staan Information Security Officer, Information Security Manager en Head of Information Security als alternatieve titels, zodat het framework meerdere benamingen onder één profiel zet. Het ECSF is een referentiekader en geen carrièrepad. De volgorde in dit artikel is een mogelijke duiding, geen voorschrift van het ECSF. Voor de verschillen tussen titels lees je functietitels in security uitgelegd.

Als SOC-analist beoordeel je meldingen, zoek je uit wat er gebeurt, neem je contact op met de eigenaar van een systeem en leg je bevindingen vast. Dat zijn de bouwstenen voor wie later incidenten leidt of een SOC aanstuurt. Zie ook de vacatures voor SOC-analisten en het vakgebied security operations.

Welke stappen liggen er tussen SOC-analist en CISO?

Dit is één mogelijk pad. De fasen overlappen, sommige mensen slaan een fase over, en de titels verschillen per organisatie. De tabel laat de fasen zien, met het ECSF-profiel waar de titel het dichtst bij ligt.

SOC-analist. Je beoordeelt meldingen en bepaalt of er een incident is. Lees de rolgids voor de SOC-analist voor de dagelijkse praktijk.

Senior analist of specialist. Je neemt de zwaardere incidenten en onderzoekt ze dieper. Wie zich richt op onderzoek, kijkt naar de rolgids voor de Incident Responder.

Engineer, architect of risicorol. Je bouwt, ontwerpt of beoordeelt risico's in plaats van alleen te reageren. Lees de rolgids voor de Security Architect of de rolgids voor de Risk Manager.

Manager of officer. Je stuurt een team aan of bent verantwoordelijk voor het beleid van de security-functie. Zie de rolgids voor de SOC-manager en de rolgids voor de Security Manager, en kijk naar vacatures voor SOC-manager, security manager en head of security.

CISO. Je legt strategie en beleid voor aan het hoger management en draagt verantwoordelijkheid voor de risico's en middelen van de organisatie. Lees de rolgids voor de CISO en bekijk de vacatures voor CISO's.

Fasen lopen dus in elkaar over. Wie liever specialist blijft, bijvoorbeeld als threat hunter, detection engineer of architect, heeft ook een volwaardige loopbaan.

Wat verandert er in je taken onderweg?

Het grootste verschil zit in wat je beslist. De Cyber Incident Responder identificeert, analyseert en beperkt incidenten en beoordeelt technische kwetsbaarheden. Het CISO-profiel vraagt om cybersecuritybeleid en strategie op te stellen en te laten goedkeuren, het Information Security Management System (ISMS) aan te sturen, het bestuur te informeren en middelen en budget te regelen. De opleverpunten verschillen ook: de responder levert een Incident Response Plan en een Cyber Incident Report op, de CISO een Cybersecurity Strategy en een Cybersecurity Policy.

Een illustratie maakt dat concreet. Stel dat op een bestandsserver 's ochtends in één keer veel bestanden worden hernoemd. De SOC-analist beoordeelt of het een aanval is, isoleert het systeem volgens het draaiboek, noteert de tijdlijn en schakelt de incident responder in. De CISO krijgt dezelfde melding als een besluit: welke systemen zijn geraakt, moet de directie worden geïnformeerd, wanneer schakelen we een externe partij in, wat zeggen we tegen klanten en toezichthouders, en welke herstelkosten zijn te verwachten. Dezelfde gebeurtenis vraagt dus een andere vaardigheid.

De technische kant verdwijnt niet, maar de vraag verandert. Een analist vraagt wat er op deze server gebeurt. Een CISO vraagt wat het voor de organisatie betekent, wie het moet weten en wat we nu doen. Technische diepte blijft nuttig, want wie weet hoe een aanval verloopt, beoordeelt beter of een voorstel voor een maatregel zinvol is. De verhouding tussen techniek en management verschilt per organisatie.

Welke certificeringen passen bij welke fase?

Als instap bestaan er basiscertificeringen. De ISC2 Certified in Cybersecurity (CC) is volgens ISC2 een instapcertificering voor een instap- of juniorfunctie, zonder werkervaring. CompTIA noemt Security+ een wereldwijd erkende certificering voor praktische vaardigheden voor kernfuncties in security. Ze geven je een basis; of een werkgever erom vraagt, staat in de vacature.

Later, als je breder werkt of managementtaken krijgt, komt de CISSP in beeld. ISC2 noemt de CISSP ideaal voor ervaren security-professionals, managers en executives. De CISSP kent acht domeinen, en het certificaat vraagt minimaal vijf jaar cumulatieve, fulltime ervaring in twee of meer daarvan. Parttimewerk en stages tellen mee. Wie het examen haalt zonder die ervaring, wordt Associate of ISC2 en heeft zes jaar om de ervaring op te bouwen.

Voor wie security managet is de CISM gerichter. ISACA noemt de CISM een certificering voor de uitdagingen en verantwoordelijkheden van een moderne IT security manager, met vier domeinen. ISACA vraagt minimaal vijf jaar werkervaring in informatiebeveiligingsmanagement, in minstens drie van de vier domeinen, opgedaan in de tien jaar voor de aanvraag. Je mag het examen eerder afleggen, maar de ervaring moet je hebben voordat je gecertificeerd wordt.

Certificeringen vervangen ervaring niet. Ze geven richting en structuur aan wat je leert. Kijk in vacatures van de functie die je wilt welke certificeringen worden genoemd, bijvoorbeeld bij CISSP en CISM. Het keuzeartikel tussen CISSP, CISM en CISA helpt bij de afweging.

Welke vaardigheden ontwikkel je naast techniek?

Het ECSF-profiel van de CISO noemt kernvaardigheden als een cybersecuritycultuur beïnvloeden, middelen beheren, communiceren met interne en externe belanghebbenden en mensen motiveren. Die vaardigheden oefen je niet pas als je CISO bent. Je kunt er vanuit je huidige rol mee beginnen, bijvoorbeeld zo:

• Communiceren met het management. Schrijf een maandrapportage voor je manager in gewone taal, en schrijf je incidentverslag ook voor iemand die geen logs leest.
• Risico's bespreekbaar maken. Leg een risico voor met kans, impact en de maatregel die je voorstelt. Dat dwingt je om te kiezen wat je aanbeveelt en waarom.
• Middelen beheren. Stel een kleine begroting op voor één verbetering, en leer hoe je een kostenpost verdedigt.
• Mensen motiveren. Werk een nieuwe collega in. Je merkt snel wat je zelf weet maar niet goed kunt uitleggen.
• Besluiten oefenen. Leid een tabletop-oefening waarin een incident met het management wordt doorgesproken.
• Samenwerken met externen. Beoordeel een leverancier op de manier waarop die met beveiliging omgaat.

Dit gaat over bewust oefenen, niet over een vast programma. Een opleiding op managementvaardigheden, zoals leidinggeven, financiën voor niet-financials of communicatie, kan daarbij helpen. Lees ook het vakgebied security leadership.

Welke andere routes naar CISO zijn er?

De route via techniek is niet de enige. Elke andere route begint vanuit een ander werk en eindigt bij dezelfde vraag: welke risico's accepteert de organisatie, en wie beslist dat?

• Via risk. Het ECSF-profiel Cybersecurity Risk Manager noemt als kernvaardigheid belanghebbenden in staat stellen risicogebaseerde beslissingen te nemen. Dat kan een andere route naar de top zijn.
• Via architectuur. Het ECSF-profiel Cybersecurity Architect ontwerpt security-by-design oplossingen en presenteert die aan belanghebbenden. Dat past bij wie zelf wil bouwen.
• Via threat intelligence. Het ECSF-profiel Cyber Threat Intelligence Specialist gaat over het verzamelen en analyseren van informatie over dreigingen en het verspreiden van bruikbare rapporten.
• Via compliance en audit. Wie toetst en verantwoording controleert, leert hoe een organisatie aantoont dat maatregelen werken.

Lees de rolgids voor de Security Architect en de rolgids voor de Risk Manager om die routes verder te verkennen. Voor het verschil tussen de functies lees je het artikel over de Information Security Officer of CISO.