Motivatiebrief voor een security-functie schrijven

Wat is een goede motivatiebrief voor een security-functie?

Werken voor Nederland, de wervingssite van de Rijksoverheid, schrijft dat je naast een sterk cv een sterke motivatiebrief nodig hebt om uitgenodigd te worden voor een gesprek. In die brief motiveer je waarom jij de aangewezen persoon bent voor de functie. Een motivatiebrief is geen herhaling van je cv voor cybersecurity-functies. Het cv laat zien wat je deed, de motivatiebrief legt uit waarom je dit wilt en waarom hier.

Bij veel security-functies zijn rapporteren en uitleggen een kern van het werk: een bevinding moet ook begrepen worden door iemand zonder security-achtergrond. Je motivatiebrief is daarom zelf een voorbeeld van hoe je schrijft. Houd hem kort, ruim binnen één A4 of zoals de vacature vraagt. Schrijf persoonlijk en concreet, zonder opsmuk, en vermijd zinnen die steeds met "ik" beginnen. Een tekst die je niet hardop aan een collega durft voor te lezen, is te opgeblazen.

Zo bouw je de brief op

Werken voor Nederland onderscheidt vier onderdelen: een introductie, een onderbouwing van je geschiktheid, je eigen motivatie en een formele afsluiting. Voor elk onderdeel hieronder een security-voorbeeld.

Onderbouw minimaal twee functie-eisen met bewijs. Dat bewijs mag een situatie uit je werk, studie, project of home lab zijn. Beschrijf wat jij deed, niet wat het team deed, en wat het opleverde. Heb je geen getal, schrijf dan geen getal. Eén sterk voorbeeld is beter dan vijf zinnen waarin je eigenschappen opsomt.

Werken voor Nederland adviseert ook om eerst te bepalen wat je toegevoegde waarde is en of je daar bewijs voor hebt, en daarna nog eens naar de vacaturetekst te kijken voordat je schrijft.

Voorbereiding: wat zoek je uit voordat je schrijft?

Begin met de functieomschrijving: welke taken horen erbij en wat vindt de organisatie belangrijk. Leer de organisatie kennen via de website en de berichten op LinkedIn. Welke werkgevers er zijn, zie je op de werkgeverspagina. Probeer via je netwerk contact te leggen met iemand die er werkt, en bel de vacaturehouder met inhoudelijke vragen. Kijk ook naar de wetten en kaders die in de sector gelden, bijvoorbeeld bij compliance en privacy, en naar publieke informatie over hun aanpak van security, zoals een beleidspagina of een CVD-beleid als die er is.

Het European Cybersecurity Skills Framework (ECSF) van ENISA, het EU-agentschap voor cyberbeveiliging, beschrijft twaalf typische functieprofielen in cybersecurity. Het document dateert van september 2022. Lees de missie van het profiel dat bij de functie past, zoals Cyber Incident Responder, Penetration Tester of Cybersecurity Risk Manager, en vraag jezelf welke twee zinnen daarvan jij al in de praktijk hebt gebracht. Schrijf daarover in je eigen woorden, en vertel in de brief niet dat je de vacature met het ECSF hebt vergeleken. Meer over functienamen staat in functietitels in security uitgelegd.

Drie vragen die je aan de vacaturehouder kunt stellen:

• Hoe is het team opgebouwd, en bij wie komt de nieuwe collega terecht?
• Welke taken heeft de nieuwe collega in de eerste maanden?
• Hoe wordt er samengewerkt met het IT-beheer of met de afdeling privacy?

Vraag niet naar zaken die al in de vacature staan.

Voorbeelden per type functie

Hieronder staan drie voorbeeldalinea's, één per soort functie. Ze laten de toon zien en zijn bedoeld als voorbeeld, niet om over te nemen.

SOC-analist met weinig ervaring (voorbeeld). Zie het vakgebied security operations en de vacatures voor SOC-analisten.

> De vacature vraagt om iemand die meldingen beoordeelt en kan uitleggen wat er gebeurd is. Dat oefen ik in mijn eigen omgeving. Ik laat een aanval simuleren op een Windows-machine, verzamel de logs en schrijf per stap op wat ik zie, wat ik vermoed en wat ik nog niet weet. Ik zoek een team waar ik dat op echte meldingen mag doen en van ervaren collega's leer hoe zij een melding beoordelen.

Waarom het werkt: de alinea noemt een eis uit de vacature, beschrijft een concrete handeling en zegt eerlijk wat de schrijver nog niet weet. Lees ook de rolgids voor de SOC-analist.

Risk- of compliancerol (voorbeeld). Zie het vakgebied risk management en de vacatures voor compliance officers.

> Op mijn huidige afdeling beoordeel ik leveranciers op hun beveiliging. Ik stuur een korte vragenlijst, bespreek de antwoorden met de inkoper en leg de restrisico's vast in een rapport dat ook een collega zonder security-achtergrond begrijpt. Uw functie vraagt om dezelfde stap: van norm naar advies dat de organisatie kan gebruiken. Dat wil ik op uw schaal doen.

Waarom het werkt: de alinea koppelt een taak uit de vacature aan een handeling die de schrijver al deed, en laat zien voor wie er wordt geschreven. Lees ook de rolgids voor de risk manager en de vacatures voor risk managers.

Penetration tester of security engineer (voorbeeld). Zie de vacatures voor penetration testers en de vacatures voor security engineers.

> Ik bouw en test in mijn eigen lab. Ik zette een kwetsbare webapplicatie op, zocht de zwakke plekken en schreef een rapport waarin elke bevinding een beschrijving, een bewijs en een advies heeft. Alles draait op systemen waarvan ik de eigenaar ben. Ik wil leren hoe een team dit professioneel aanpakt, met afspraken over de scope, toestemming vooraf en rapportage voor beheerders.

Waarom het werkt: de alinea laat zien hoe de schrijver rapporteert en noemt meteen de grenzen van wat hij doet. Die grenzen horen bij dit werk. Lees ook de rolgids voor de penetration tester.

Wat laat je weg?

Laat deze onderdelen weg uit de brief:

• Een herhaling van je cv, of het hele cv in proza.
• Algemene zinnen zonder bewijs, zoals "ik ben heel enthousiast over cybersecurity".
• Beloften als "ik ben de beste kandidaat".
• Vertrouwelijke details van een vorige werkgever of klant.
• Een kwetsbaarheid die je bij de organisatie zelf hebt gevonden zonder toestemming.
• Claims die je niet kunt onderbouwen.
• Privézaken, zoals een kinderwens of je gezondheid. Volgens Rijksoverheid.nl hoort een werkgever daar in de procedure niet naar te vragen.
• Een vraag over salaris in de eerste brief, tenzij de vacature erom vraagt.

Een werkgever mag openbare informatie over je opzoeken, maar volgens de Autoriteit Persoonsgegevens alleen met een zeer goede reden en beperkt tot zakelijke informatie, zoals een LinkedIn-account. De werkgever laat je dat vooraf weten en geeft je de kans om gevonden informatie toe te lichten. Houd je brief daarom in lijn met wat online over je te vinden is.

Solliciteren zonder security-ervaring

Als je uit een andere functie komt of net begint, gebruik je bewijs uit je studie, vorig werk, een home lab of CTF-oefenplatformen. Verwant werk telt mee: logs lezen bij systeembeheer, rapporteren bij een audit of wetgeving uitleggen bij een juridische baan. Noem je home lab of CTF-deelname alleen als je er iets over kunt vertellen. Wees eerlijk over wat je kunt en wat je nog moet leren, en onderbouw wat je schrijft. Lees ook de gidsen over omscholen naar cybersecurity en je eerste baan na je studie in security.

Controleer je brief voor je verstuurt

Controleer je motivatiebrief op spelfouten, gebruik een standaardlettertype en laat hem door iemand nalezen. Controleer ook dat de naam van de organisatie en de functietitel goed gespeld zijn, dat je niets vertrouwelijks noemt en dat de brief past bij wat je cv zegt. Bereid daarna het gesprek voor met de gids over het sollicitatiegesprek voor een security-functie.

Volgens de Autoriteit Persoonsgegevens verwijdert een werkgever de gegevens van een afgewezen sollicitant gebruikelijk uiterlijk 4 weken na het einde van de procedure. Met jouw toestemming mag dat langer, tot maximaal 1 jaar als redelijke termijn.