In dit artikel9
Welke functies bestaan er in security, risk en compliance?
De functies vallen in zes vakgebieden: security operations, cybersecurity, security architecture, risk management, compliance en privacy, en security leadership. Dat is de indeling van TrustJobs, geen officiële norm. Organisaties kunnen functies anders knippen, en de grens tussen twee functies verschuift daardoor per werkgever. Dezelfde functie kan dus onder een andere titel in een vacature staan, en dat is een eigen onderwerp in het artikel over functietitels in security.
Wat zegt het Europese kader ECSF over deze functies?
Het European Cybersecurity Skills Framework (ECSF) is een uitgave van ENISA, het EU-agentschap voor cyberbeveiliging, uit september 2022. ENISA beschrijft het kader als een praktisch hulpmiddel om taken, competenties, vaardigheden en kennis van cybersecurityprofessionals te benoemen. Meer over het kader vind je op de ENISA-pagina over het ECSF.
Het ECSF vat de cybersecurity-rollen samen in twaalf profielen: Chief Information Security Officer (CISO), Cyber Incident Responder, Cyber Legal, Policy & Compliance Officer, Cyber Threat Intelligence Specialist, Cybersecurity Architect, Cybersecurity Auditor, Cybersecurity Educator, Cybersecurity Implementer, Cybersecurity Researcher, Cybersecurity Risk Manager, Digital Forensics Investigator en Penetration Tester. Elk profiel heeft een titel, alternatieve titels, een samenvatting, een missie, hoofdtaken, key skills, key knowledge en e-CF-competenties. De rolprofielen staan in het PDF-document van ENISA.
Een paar voorbeelden van die alternatieve titels. Bij het CISO-profiel staan Information Security Officer (ISO), Information Security Manager en Head of Information Security. Bij Cyber Legal, Policy & Compliance Officer staan Data Protection Officer (DPO), Privacy Protection Officer, IT/ICT Compliance Manager en Governance Risk Compliance (GRC) Consultant. Bij Cybersecurity Risk Manager staan Information Security Risk Analyst en Cyber Risk Manager, en bij Cybersecurity Implementer staan Cybersecurity Engineer en DevSecOps Engineer.
Het ECSF is een rolkader waarmee werkgevers, opleiders en kandidaten dezelfde taal kunnen gebruiken. Het is geen verplicht kader en geen wettelijke eis. Niet elke functie in dit overzicht heeft een eigen ECSF-profiel. Waar dat zo is, is de beschrijving vakduiding, en de invulling verschilt per organisatie.
Wat doen de functies in security operations?
Security operations is het vakgebied van het team dat systemen bewaakt, meldingen beoordeelt en incidenten oppakt, zie het vakgebied security operations. Bij het ECSF-profiel Cyber Incident Responder staan onder meer Security Operations Center (SOC) Analyst en Security Operation Analyst (SOC Analyst) als alternatieve titel.
Functie | Wat de rol doet |
|---|---|
Beoordeelt meldingen van beveiligingssystemen en bepaalt welke een echt incident zijn. | |
Onderzoekt signalen die op een beveiligingsprobleem kunnen wijzen en helpt de beveiliging verbeteren. De titel is breed, ook Cybersecurity Specialist genoemd, en wordt per organisatie anders gebruikt. | |
Bouwt en onderhoudt de techniek waarmee het SOC aanvallen ziet: koppelingen met logbronnen, detectieregels en automatisering. | |
Zoekt actief naar sporen van aanvallers, ook als er geen melding is afgegaan. | |
Pakt een bevestigd incident op, bakent het af, dempt de schade en brengt systemen weer in bedrijf. | |
Onderzoekt digitale systemen om vast te stellen wat er is gebeurd en legt dat vast als bewijs. | |
Bouwt en onderhoudt de regels waarmee beveiligingssystemen aanvallen herkennen. | |
Bouwt en beheert het platform dat logs verzamelt zodat het SOC er meldingen uit kan halen. | |
Onderzoekt schadelijke software om te begrijpen wat die doet en hoe je hem herkent. |
Voor SOC Engineer, Detection Engineer, SIEM Engineer en Malware Analyst bestaat geen ECSF-profiel. De beschrijvingen in de tabel zijn vakduiding, en de invulling verschilt per organisatie. Het verschil met de offensieve kant van de beveiliging staat in het artikel over blue team, red team en purple team.
Wat doen de specialisten in cybersecurity?
Cybersecurity is het vakgebied van wie systemen beveiligt, test en veiliger bouwt, zie het vakgebied cybersecurity.
Functie | Wat de rol doet |
|---|---|
Zorgt dat er beleid is voor informatiebeveiliging en dat het in de praktijk wordt gevolgd. ISO is hier de functietitel, niet de norm. | |
Onderzoekt met toestemming en binnen afgesproken grenzen of de beveiliging van een systeem standhoudt. | |
Zoekt met toestemming of volgens afgesproken regels naar zwakke plekken, met de methoden van een aanvaller. | |
Bootst met toestemming een echte aanval op een hele organisatie na om te testen of de verdediging reageert. | |
Zorgt dat software veilig wordt gebouwd, door beveiliging in ontwerp, code en bouwproces mee te nemen. | |
Richt de beveiliging in van de omgevingen die een organisatie bij een cloudprovider draait en houdt die op orde. | |
Beveiligt systemen die fysieke processen aansturen, zoals installaties in een fabriek of energiecentrale. |
Het ECSF-profiel Penetration Tester heeft als alternatieve titels Pentester, Ethical Hacker, Offensive Cybersecurity Expert, Defensive Cybersecurity Expert, Red Team Expert en Red Teamer. De rolgidsen beschrijven de verschillen tussen deze namen als vakduiding. Het ECSF geeft er geen officiële afbakening voor.
Wat doen de functies in security architecture?
Security architecture is het vakgebied van wie bepaalt hoe beveiliging in systemen, diensten en netwerken is opgebouwd, zie het vakgebied security architecture.
Het ECSF-profiel Cybersecurity Architect plant en ontwerpt security-by-design-oplossingen. Het profiel Cybersecurity Implementer ontwikkelt, rolt uit en bedient cybersecurity-oplossingen op infrastructuur en producten. Zo komt het verschil tussen ontwerpen en bouwen ook in het ECSF terug.
Functie | Wat de rol doet |
|---|---|
Ontwerpt hoe de beveiliging van systemen, diensten en infrastructuur in elkaar zit en legt vast wat er moet gelden voordat het gebouwd wordt. | |
Bouwt, configureert en onderhoudt de beveiligingsmaatregelen. Cybersecurity Engineer is een alternatieve titel van het ECSF-profiel Cybersecurity Implementer. | |
Richt netwerken zo in dat alleen toegestaan verkeer erdoor kan, met firewalls, segmentatie, toegang op afstand en monitoring. | |
Zorgt dat de juiste mensen en systemen op het juiste moment bij de juiste middelen kunnen. De IAM Consultant adviseert en ontwerpt, de IAM Engineer bouwt en beheert. |
Wat doen de functies in risk management?
Risk management is het vakgebied van wie risico's in kaart brengt, beoordeelt en laat beheersen, zie het vakgebied risk management. Het werk is vooral beoordelen en adviseren, niet bouwen.
Het ECSF-profiel Cybersecurity Risk Manager beheert de cybersecurity-risico's van een organisatie, afgestemd op de strategie. Het ontwikkelt, onderhoudt en communiceert de risicobeheerprocessen en de rapportages. Bij dat profiel staan Information Security Risk Analyst en Cyber Risk Manager als alternatieve titel. Voor operationeel risico, modelrisico en derdenrisico bestaat geen ECSF-profiel. Dat zijn functies uit de financiële en risicopraktijk.
Functie | Wat de rol doet |
|---|---|
Brengt de risico's van een organisatie in kaart, beoordeelt ze en adviseert hoe ermee om te gaan. | |
Beoordeelt de risico's van IT-systemen, gegevens en leveranciers en adviseert over maatregelen. | |
Brengt in kaart wat er in processen, systemen en met mensen mis kan gaan en beoordeelt of de beheersmaatregelen werken. Dit werk zie je vooral bij banken en verzekeraars. | |
Beoordeelt of de modellen waarmee een organisatie rekent en beslist goed zijn opgezet en worden gebruikt. Dit werk zie je vooral bij banken. | |
Beheert de risico's die ontstaan doordat een organisatie leveranciers en andere externe partijen nodig heeft. | |
Adviseert organisaties per opdracht over het herkennen, beoordelen en beheersen van risico's. |
Wat doen de functies in compliance en privacy?
Compliance en privacy is het vakgebied van wie toetst of een organisatie zich aan wetten, normen en eigen regels houdt, zie het vakgebied compliance en privacy. Privacy en compliance zijn verwant, maar niet hetzelfde. Het artikel over het verschil tussen security, privacy en compliance legt uit waar de grenzen liggen.
Het ECSF-profiel Cyber Legal, Policy & Compliance Officer heeft onder meer Data Protection Officer (DPO) en GRC Consultant als alternatieve titel. Dat profiel beheert de naleving van cybersecurity-gerelateerde normen en wettelijke kaders, op basis van de strategie en de wettelijke eisen van de organisatie. Wat GRC in de praktijk inhoudt, lees je in het artikel over wat GRC is.
Functie | Wat de rol doet |
|---|---|
Zorgt dat een organisatie zorgvuldig met persoonsgegevens omgaat en de privacywetgeving naleeft. | |
Houdt toezicht op de naleving van de privacywetgeving en adviseert daarover. Het is een rol die in de AVG is vastgelegd. | |
Controleert of de organisatie zich aan wetten en eigen regels houdt en adviseert het management. | |
Onderzoekt dossiers, meldingen en processen op naleving en legt vast wat hij vindt. Vaak is dit de uitvoerende kant van de compliancefunctie. | |
Beoordeelt onafhankelijk of IT-systemen, processen en beheersmaatregelen doen wat ze moeten doen. | |
Helpt organisaties met governance, risk en compliance en vertaalt kaders zoals ISO 27001 naar beleid, maatregelen en bewijs. | |
Helpt medewerkers veilig te werken met campagnes, training en oefeningen. | |
Zorgt dat een organisatie haar belangrijkste processen kan blijven uitvoeren of snel kan hervatten als er iets uitvalt. |
Het ECSF-profiel Cybersecurity Educator noemt Cybersecurity Awareness Specialist als alternatieve titel. Dat sluit aan bij de Security Awareness Specialist, al wisselt de invulling in de praktijk. Voor de Business Continuity Manager bestaat geen ECSF-profiel.
Wat doen de leidinggevende functies in security?
Leidinggevende functies in security sturen mensen aan en leggen verantwoording af aan de directie, zie het vakgebied security leadership. Het verschil tussen een ISO en een CISO staat in het artikel over Information Security Officer of CISO.
Het ECSF-profiel Chief Information Security Officer (CISO) heeft als alternatieve titels Information Security Officer (ISO), Information Security Manager en Head of Information Security. De samenvatting van dat profiel luidt: de cybersecuritystrategie van een organisatie en de uitvoering daarvan beheren, zodat digitale systemen, diensten en middelen voldoende veilig zijn.
Functie | Wat de rol doet |
|---|---|
Beheert de securitystrategie en legt daarover verantwoording af aan de directie. | |
Stuurt het securityteam aan en zorgt dat het securitybeleid wordt uitgevoerd. Ook Head of Security genoemd. | |
Leidt het team van het Security Operations Center en bepaalt hoe het team werkt. |
Voor de Security Manager en de SOC Manager bestaat geen ECSF-profiel. Wie van het SOC-werk naar een leidinggevende rol wil, kan lezen in het artikel over de loopbaan van SOC Analist naar CISO.
Hoe werken deze functies samen?
Een incident raakt het SOC, incident response, forensics, communicatie en soms de DPO. Stel dat een medewerker een phishingmail opent en een onbekend programma start. De SOC Analist ziet de melding en beoordeelt die als echt incident. De Incident Responder dempt de schade en brengt de laptop weer in bedrijf. De Digital Forensics Specialist onderzoekt wat er precies is gebeurd. Gaat het om persoonsgegevens, dan beoordeelt de Privacy Officer of de DPO wat dat betekent, en de Security Manager of CISO informeert het bestuur. Dit is een patroon, geen vaste volgorde.
Een nieuwe leverancier raakt third party risk, security architecture en compliance. De Third Party Risk Manager kijkt naar het risico, de Security Architect naar de koppelingen, de Compliance Officer naar de wettelijke eisen en de IT Auditor later naar de naleving. De invulling verschilt per organisatie.
Elke rolgids heeft een eigen sectie "Hoe word je ...?". Omscholers en studenten hoeven niet aan alle rollen te voldoen. Wie uit een andere sector komt, vindt in het artikel over omscholen naar cybersecurity een overzicht van de instroomroutes. Welke certificeringen bij welke functie passen, staat op de pagina welke certificeringen per functie. Wie wil zien welke werkgevers deze functies zoeken, kijkt bij vacatures en werkgevers.
Welke functies zijn er in cybersecurity?
De functies verdelen zich over zes vakgebieden, en cybersecurity is er één van. Het ECSF beschrijft de cybersecurityrollen in twaalf profielen, van Chief Information Security Officer tot Penetration Tester. Lees de rolgids van de functie die je aanspreekt.
Wat is het verschil tussen een Risk Manager en een Compliance Officer?
Een Risk Manager brengt risico's in kaart, beoordeelt ze en adviseert hoe ermee om te gaan. Een Compliance Officer controleert of de organisatie zich aan wetten en eigen regels houdt en adviseert het management. Het ECSF noemt voor de risicokant het profiel Cybersecurity Risk Manager, en voor de compliancekant het profiel Cyber Legal, Policy & Compliance Officer.
Welke functie past bij iemand die niet technisch is?
Technische rollen bouwen en onderzoeken, risk en compliance beoordelen en adviseren, en leiding stuurt en legt verantwoording af. Functies in risk, compliance, privacy, security awareness en leiding vragen dus andere kwaliteiten dan het bouwen van systemen. Het artikel over het verschil tussen security, privacy en compliance helpt om die vakgebieden uit elkaar te houden.
Waarom hebben functies in security zoveel verschillende namen?
Het ECSF noemt per profiel alternatieve titels. Bij Penetration Tester staan bijvoorbeeld Pentester, Ethical Hacker en Red Teamer, en bij Cyber Incident Responder staat SOC Analyst. Een organisatie kiest zelf de titel die in een vacature staat. Het artikel over functietitels in security legt uit hoe je dezelfde functie herkent onder verschillende namen.
Hoe weet ik welke functie bij mij past?
Begin bij de vraag of je wilt bouwen, onderzoeken, beoordelen of adviseren. Lees daarna de rolgidsen van de functies die bij je kiezen, elk met een sectie "Hoe word je ...?". Welke certificering bij een functie past, lees je op welke certificeringen per functie. Meer over het vak vind je in de kennisbank.