In dit artikel6
Welke soorten assessments kom je tegen in security?
Een assessment is onderdeel van de sollicitatie en laat de werkgever zien hoe je werkt. Vorm en inhoud verschillen per organisatie en per functie, dus vraag vooraf wat het wordt. Bij sommige organisaties is er geen opdracht en volstaat het gesprek.
Soort | Wat je doet | Wat het toont | Voor welke functies het past |
|---|---|---|---|
Technisch gesprek | Je beantwoordt vragen over concepten en over je eigen ervaring, soms met een tekening op een whiteboard. | Hoe je over een onderwerp denkt en hoe helder je het uitlegt. | Bijna elke technische functie |
Rapportage-opdracht | Je krijgt bevindingen, logs of een beschrijving en schrijft er een rapport of advies over. | Hoe je bevindingen onderbouwt en opschrijft. | Penetratietesters, IT-auditors, risk- en compliancefuncties |
Hands-on technische test | Je werkt in een aangewezen omgeving, bijvoorbeeld aan een kwetsbare applicatie, een logbestand of een netwerkopname. | Hoe je met tools werkt en hoe je stap voor stap redeneert. | Penetratietesters, SOC-analisten, detectie-engineers |
Scenario-analyse of tabletop | Je bespreekt wat je zou doen bij een incident of een besluit. | Hoe je denkt over prioriteiten, rollen en eerste stappen. | Incident responders, SOC-teams, security managers, business continuity en compliancefuncties |
Casus met presentatie | Je krijgt een situatie, werkt die thuis of ter plekke uit en presenteert aan de beoordelaars. | Hoe je een advies opbouwt en brengt. | Adviesrollen, risk-, GRC- en compliancefuncties |
Een technisch gesprek past bij bijna elke technische functie. Hoe je je daarop voorbereidt, lees je in het artikel over het sollicitatiegesprek voor een security-functie.
Op de werkgeverspagina voor penetration testers zie je welke werkgevers deze functie hebben.
Wat beoordeelt een werkgever eigenlijk?
Een werkgever kan kijken naar hoe je het probleem afbakent: wat hoort bij de opdracht en wat niet. Ook of je weet wat je niet weet, of je bevindingen onderbouwt en of je prioriteert, dus wat je eerst doet en waarom. Je schriftelijke en mondelinge uitleg telt mee, en of een niet-technisch iemand je uitleg begrijpt. Hoe je omgaat met onzekerheid is daar ook onderdeel van.
Een volledig juist antwoord is niet per se het enige criterium. Werkgevers wegen dit verschillend, en dat is een reden om vooraf te vragen wat er precies beoordeeld wordt.
Het European Cybersecurity Skills Framework van ENISA deelt cybersecurityfuncties in 12 profielen in. Per profiel staan titels, missie, taken, vaardigheden, kennis en competenties beschreven. Je kunt het gebruiken om te zien welke taken en vaardigheden bij een functie horen. Een werkgever kan dat raamwerk ook gebruiken om een opdracht te kiezen; wat jouw werkgever doet, vraag je na.
Hoe de werkgever technische vaardigheden beoordeelt, lees je in het artikel over kandidaten beoordelen op technische vaardigheden. Dat geeft de werkgeverskant van hetzelfde verhaal.
Hoe bereid je je voor op een rapportage-opdracht?
Een rapport wordt gelezen door mensen die niet bij je zaten toen je de test deed. Schrijf daarom voor twee lezers: een managementsamenvatting voor wie niet technisch is, en bevindingen met genoeg detail om het na te bootsen en op te lossen. De OWASP Web Security Testing Guide noemt dezelfde twee lezers en geeft suggesties voor de indeling.
De OWASP-gids schrijft dat de beschreven aanpak slechts suggesties zijn voor één mogelijke manier van rapporteren. De voorgestelde structuur bestaat uit een inleiding (met onder meer versiebeheer, team, scope, beperkingen, tijdlijn en een disclaimer), een managementsamenvatting (doel van de test, belangrijkste bevindingen in zakelijke context en strategische aanbevelingen), de bevindingen en bijlagen. Bij de bevindingen staat eerst een overzichtstabel met risiconiveaus en daarna een gedetailleerde uitwerking per bevinding.
Een gedetailleerde bevinding bevat volgens dezelfde gids een referentie-ID, een titel, de kans of uitbuitbaarheid en de impact. Daarbij hoort een risicobeoordeling van Informational, Low, Medium, High of Critical, optioneel met een CVSS-score. Verder staat in de bevinding een beschrijving van de kwetsbaarheid, hoe je die misbruikt en welke schade daarop volgt, met gevoelige gegevens afgeschermd. Het sluit af met stappen om het te herstellen en aanvullende bronnen.
Voor de werkwijze rond de test is er NIST SP 800-115, de gids uit september 2008 over technische beveiligingstests. Die helpt bij het plannen en uitvoeren van tests, het analyseren van bevindingen en het ontwikkelen van maatregelen. NIST schrijft dat de gids geen volledig testprogramma beschrijft, maar zich richt op specifieke technieken, hun voordelen en beperkingen.
Stel dat je een korte beschrijving krijgt van een webapplicatie met drie bevindingen. Begin met de structuur hierboven. Schrijf per bevinding een titel, het risico, een beschrijving en een advies. Schrijf de managementsamenvatting als laatste, in een paar korte zinnen zonder vakjargon: wat is er gevonden, wat betekent het voor de organisatie, wat raad je aan en in welke volgorde. Laat daarna iemand anders je rapport lezen.
Een rapportage-opdracht past bij het werk van een penetratietester en een IT-auditor. Een goede bevinding laat zien wat je zag, hoe de lezer het kan nabootsen, waarom het ertoe doet en wat ertegen te doen is. Maak onderscheid tussen wat je hebt aangetoond en wat je vermoedt, en schrijf het risico zo dat de lezer snapt hoe je het hebt beoordeeld.
Hoe pak je een technische test of hands-on opdracht aan?
Bij een hands-on test werk je in een omgeving die de werkgever je geeft, bijvoorbeeld een kwetsbare applicatie, een logbestand of een netwerkopname. Lees vooraf de regels: wat is de scope, welke tools mogen en wat mag niet. Werk alleen in de omgeving die je hebt gekregen. Het Openbaar Ministerie schrijft dat actief pentesten van het ICT-systeem van een ander niet is toegestaan, tenzij de eigenaar uitdrukkelijk toestemming heeft gegeven. Een ander systeem laat je dus met rust.
Sommige hands-on examens vragen ook een rapport. Het OSCP+-examen van OffSec is volgens de aanbieder volledig hands-on, en na het examen krijg je 24 extra uur om een uitgebreid penetratietestrapport in te dienen. Hack The Box Academy meldt dat bij zijn certificeringen een examen is inbegrepen, met de vermelding dat een rapport van commerciële kwaliteit nodig is om te slagen. Meer over het OSCP-examen lees je bij de OSCP-certificering. In het werk is het rapport het product, dus reserveer er tijd voor.
Verdeel je tijd in blokken: verkennen, uitvoeren en opschrijven. Houd bij wat je doet en bewaar bewijs, zoals schermafbeeldingen en commando's. Begin in je rapport met wat je zeker weet, en zet daarna wat je vermoedt, met de reden erbij.
Oefen vooraf met de tools die in de vacature staan, zoals Burp Suite, en lees over security testing als onderwerp. Richt een home lab in en oefen op CTF- en oefenplatformen. Bekijk voor detectiewerk de vacatures voor detection engineers en voor SOC-werk de vacatures voor SOC-analisten.
Loop je vast, stop dan niet. Schrijf op wat je probeerde, wat je zag en wat je vermoedt, en leg uit hoe je het probleem aanpakte. Dat laat zien hoe je denkt, en is bruikbaarder dan stil blijven.
Hoe pak je een scenario-analyse of casus aan?
Begin met de situatie in je eigen woorden. Benoem je aannames, noem wie er betrokken is en welke rol die heeft, zet opties naast elkaar met voor- en nadelen, en sluit af met een aanbeveling en de eerste stappen.
Een tabletop-oefening is volgens de NIST-woordenlijst een discussiegerichte oefening. Personen met rollen en verantwoordelijkheden in een IT-plan komen bijeen om de inhoud van het plan te toetsen door hun rol in een noodsituatie te bespreken. Een gespreksleider opent met een scenario en stelt vragen op basis daarvan. Een scenario-analyse in een sollicitatie lijkt daarop: je bespreekt wat je zou doen.
Neem als voorbeeld een melding van versleutelde bestanden op een vrijdagmiddag. Wie bel je? Wat isoleer je? Wat leg je vast, en wie informeer je? Voor incidentwerk zijn er de vacatures voor incident responders en de skillpagina voor incident response. Als de organisatie onder NIS2 valt, lees je de regels in het artikel over NIS2 en de Cyberbeveiligingswet.
Een compliancecasus ziet er anders uit. Een medewerker heeft per ongeluk een bestand met persoonsgegevens naar een verkeerde ontvanger gemaild. Je weegt of het een datalek is dat gemeld moet worden. Voor de regels lees je het artikel over de meldplicht datalekken en over de AVG voor privacy-professionals. Dit type casus past bij een compliance officer en bij het vakgebied compliance en privacy.
Bij een casus met presentatie krijg je een situatie die je thuis of ter plekke uitwerkt, waarna je presenteert aan de beoordelaars. Dat past bij adviesrollen, zoals een risk manager. Een risicoafweging maak je met kennis van risk assessment en het vakgebied risk management. Wettelijke termijnen en drempels staan in de artikelen hierboven; zoek ze daar op voordat je een casus uitwerkt.
Wat vraag je vooraf aan de werkgever?
Dit zijn vragen van een professional, en een werkgever kan er normaal op antwoorden. Vraag vooraf:
- hoeveel tijd de opdracht mag kosten
- welke omgeving en welke tools je gebruikt
- of je werkt met echte of fictieve gegevens
- hoe er beoordeeld wordt, en door wie
- wie je werk leest en wat er daarna mee gebeurt
- of er een vergoeding is
Gebruik bij een opdracht nooit echte persoonsgegevens of vertrouwelijke gegevens van je huidige werkgever. Maak voorbeelden fictief. Voor arbeidsrechtelijke vragen kun je terecht bij een vakbond of het Juridisch Loket.
Vraag na afloop om feedback, ook bij een afwijzing, en gebruik die voor je volgende kans. Geen enkele voorbereiding garandeert iets. Het beste wat je kunt doen is oefenen onder omstandigheden die op de opdracht lijken: beperkte tijd, schriftelijk uitleggen, in een omgeving die je niet kent. Als een assessment goed uitpakt, komt daarna de salarisonderhandeling in security. Voor je cv helpt het artikel over cv voor cybersecurity-functies. Meer artikelen vind je in de kennisbank.
Welke soorten assessments zijn er bij een security-sollicitatie?
Er zijn onder meer het technisch gesprek, de rapportage-opdracht, de hands-on technische test, de scenario-analyse of tabletop en de casus met presentatie. Welke er bij jouw sollicitatie komt, vraag je vooraf na. De tabel hierboven laat per soort zien wat je doet en welke functies erbij passen.
Wat moet er in een rapport bij een proefopdracht?
Volgens de structuur die de OWASP-gids voorstelt, bestaat een rapport uit een inleiding, een managementsamenvatting, de bevindingen en bijlagen. Per bevinding horen een titel, een risico, een beschrijving van de kwetsbaarheid en stappen om het te herstellen. De managementsamenvatting is voor bestuurders en vermijdt jargon, en de bevindingen bevatten genoeg detail om het probleem na te bootsen. De gids geeft daarbij suggesties en geen vaste sjabloon.
Hoe bereid je je voor op een hands-on technische test?
Oefen met een home lab, met CTF- en oefenplatformen en met de tools uit de vacature. Verdeel je tijd in blokken voor verkennen, uitvoeren en opschrijven, en houd notities bij terwijl je werkt. Bij sommige hands-on examens telt het rapport mee, dus reserveer er tijd voor. Blijf daarbij in de aangewezen omgeving.
Mag je tijdens een opdracht andere systemen testen?
Nee, niet zonder uitdrukkelijke toestemming van de eigenaar van dat systeem. Het Openbaar Ministerie schrijft dat actief pentesten van het ICT-systeem van een ander niet is toegestaan, tenzij de eigenaar je dat uitdrukkelijk heeft toegestaan. Blijf daarom in de omgeving die je hebt gekregen en houd al je stappen bij in een logbestand, zoals het OM aanraadt.
Wat vraag je aan de werkgever voordat je begint?
Vraag hoeveel tijd de opdracht mag kosten, welke omgeving en tools je gebruikt, of je met echte of fictieve gegevens werkt, hoe er beoordeeld wordt, wie het leest en wat er na afloop met je werk gebeurt. Vraag ook naar een vergoeding. Een werkgever kan op deze vragen normaal antwoorden.