Sollicitatiegesprek voor een security-functie: vragen en voorbereiding

Hoe verloopt een sollicitatiegesprek voor een security-functie?

Een typisch verloop, als patroon en niet als vaste regel, begint met een kennismaking met een recruiter of HR. Daarin gaat het over je motivatie, je beschikbaarheid en je verwachtingen van de functie. Daarna volgt een gesprek met de manager en soms met teamleden, over je ervaring, je werkwijze en de vraag of je bij het team past. Dan komt een inhoudelijk gesprek over vakkennis, soms met een casus of een technische opdracht. Soms sluit een gesprek over arbeidsvoorwaarden de reeks af.

Organisaties verschillen. Kleine werkgevers doen het in een of twee gesprekken, grote organisaties in meer rondes. Een externe recruiter of detacheerder kan zelf een eerste ronde doen voor de klant. De uitnodiging of de vacature laat vaak zien welke rondes er zijn, en je mag dat gewoon vragen. Voor de technische opdrachten en proefopdrachten lees je de gids over proefopdrachten en technische assessments.

Welke vragen krijg je?

Vragen in een security-gesprek vallen in vier soorten. De tabel laat per soort zien wat de interviewer wil weten.

Per functiefamilie komt er een eigen accent bij. Het zijn voorbeelden, geen lijst die je uit je hoofd moet kennen.

• SOC en incidentrespons. Hoe onderzoek je een melding over een verdacht proces op een laptop, en wat leg je vast? Zie de rolgids over werken als SOC-analist.
• Test en red team. Hoe schrijf je een bevinding zo op dat een beheerder hem kan herstellen, en wat doe je als je buiten de afgesproken scope uitkomt? Zie de rolgids over werken als penetration tester.
• Risk. Hoe leg je een risico uit aan iemand die geen security kent? Zie de rolgids over werken als risk manager en het vakgebied risk management.
• Compliance en privacy. Hoe ga je om met een afdeling die een regel te streng vindt? Zie de rolgids over werken als compliance officer, het vakgebied compliance en privacy en de vacatures voor privacy officers.

Hoe bereid je je voor?

1. Lees de vacaturetekst opnieuw en bedenk ongeveer tien vragen die je in het gesprek kunt verwachten. Werken voor Nederland, de wervingssite van de Rijksoverheid, adviseert precies dat.
2. Bedenk bij elke gevraagde competentie een voorbeeld en werk het uit met de STARR-methode. Beschrijf eerst een specifieke situatie en je taak, daarna hoe je het hebt aangepakt en wat het resultaat was. Kijk daarna terug en benoem wat je hebt geleerd. Hulp bij het cv en het verhaal vind je in de gids over het cv voor cybersecurity-functies.
3. Lees het profiel van de functie in het European Cybersecurity Skills Framework (ECSF) van ENISA, het EU-agentschap voor cyberbeveiliging. Het beschrijft twaalf typische functieprofielen met titels, taken en vaardigheden. Bij Cyber Incident Responder staan onder de kernvaardigheden onder druk werken en logbestanden analyseren, bij Penetration Tester creatief en buiten de gebaande paden denken. Uitleg over functietitels vind je in de gids over functietitels in security.
4. Zoek de organisatie op en lees wat ze zelf over hun werk zeggen. Begin bij de werkgeverspagina's.
5. Zoek de gesprekspartners op, voor zover dat kan. Zo weet je of je met een recruiter, een manager of een vakspecialist praat.
6. Oefen het gesprek hardop met iemand, bijvoorbeeld een loopbaanadviseur, en oefen vooral de moeilijkste vragen. Zie het gesprek als een gewoon gesprek en stel zelf vragen.
7. Bij een videogesprek staat in de uitnodiging welke tool de werkgever gebruikt. Krijg je geen handleiding, vraag er dan om. Vraag ook of je de tool vooraf kunt testen met een contactpersoon. Zie Werken voor Nederland over online solliciteren.
8. Eindig met drie verhalen uit je eigen werk, studie of een home lab. Schrijf de feiten van elk verhaal op: wat er speelde, wat jij deed en wat het opleverde.

Een scenariovraag uitgewerkt: de verdachte inlogmelding

Een scenario dat je in het gesprek kunt krijgen: een medewerker logt in vanuit een land waar die nooit werkt. Wat doe je? Een sterk antwoord werkt in stappen en zegt hardop wat je nog niet weet.

Begin met wat je ziet: van wie de inlog is, wanneer die plaatsvond, op welk systeem, en of hij gelukt is. Zoek daarna de context. Is de medewerker op reis, wordt er via een VPN ingelogd, zijn er eerdere inlogs vanuit dat land? Let ook op ongebruikelijke acties daarna, zoals het aanmaken van een regel in de mailbox, het downloaden van bestanden of het toevoegen van een nieuw apparaat. Dan volgt de impact: welke gegevens kan dit account bereiken? Daarna kies je tussen indammen en opschalen, volgens de afspraken van de organisatie. Dat kan betekenen dat je de sessie beëindigt, het wachtwoord laat resetten, de medewerker belt of het incidentteam waarschuwt. Leg tot slot vast wat je zag, wat je deed en wat je vermoedt, en houd die drie gescheiden.

Het ECSF beschrijft een incidentresponseplan met vier fasen: Preparation (voorbereiding), Detection and Analysis (detectie en analyse), Containment, Eradication and Recovery (indammen, uitroeien en herstellen) en Post-Incident Activity (activiteiten na het incident). Als je zegt in welke fase je zit, laat je zien dat je het proces kent. Vraag ook welke tools en draaiboeken het team gebruikt, want de juiste stap hangt daar deels van af. Meer over het vak vind je bij security operations en bij de vacatures met incidentrespons.

Voor risk en compliance past een ander scenario. Een leverancier meldt dat klantgegevens zijn ingezien. Je eerste vragen gaan over welke gegevens het zijn, van wie, sinds wanneer, wat er al is gedaan en wie binnen de organisatie moet worden geïnformeerd. Noem dat je de procedure voor datalekken van de organisatie volgt en dat de privacyfunctionaris of de functionaris gegevensbescherming erbij wordt betrokken. Zie ook compliance en privacy.

De interviewer let vaak meer op je redenering en op je vragen dan op één juist antwoord.

Een STARR-voorbeeld uit de praktijk van een analist

Het voorbeeld hieronder is fictief en gaat niet over een echte organisatie. Het laat zien hoe je een ervaring in de STARR-vorm vertelt. Verhalen uit je eigen werk maak je anoniem: "een middelgroot bedrijf in de zorg" is genoeg, zonder interne systemen of namen van klanten.

Situatie: In een middelgroot bedrijf melden medewerkers verdachte e-mails, maar de meldingen worden niet teruggekoppeld. Daardoor houden medewerkers op met melden.

Taak: Het meldproces zo verbeteren dat een melder snel weet wat er met zijn melding is gebeurd.

Aanpak: Er kwam een korte standaardtekst voor de terugkoppeling. Meldingen werden gegroepeerd per type. Samen met de beheerder kwam er een stap bij waarin schadelijke mails uit alle mailboxen worden verwijderd.

Resultaat: Medewerkers kregen sneller terugkoppeling, en het team zag dezelfde aanvalsmail eerder terug.

Wat je leerde: Een goed meldproces is deels techniek en deels communicatie.

Let op de opbouw: situatie en taak zijn kort, het zwaartepunt ligt op je aanpak. Zeg er ook bij wat jouw aandeel was.

Wat mag de werkgever vragen en wat hoef je niet te beantwoorden?

Een werkgever mag je niet vragen naar je gezondheid of naar privézaken, zoals een kinderwens. Ook vragen naar je ziekteverzuim bij je vorige werkgever hoef je niet te beantwoorden. Volgens Rijksoverheid.nl mogen vragen over je gezondheid alleen bij een aanstellingskeuring, die maar voor enkele functies is toegestaan en in de vacature moet staan. De werkgever mag wel vragen of je de taken van de functie kunt uitvoeren.

Googelen mag niet zomaar. Volgens de Autoriteit Persoonsgegevens mag een werkgever een sollicitant alleen op internet opzoeken als daar een zeer goede reden voor is, bijvoorbeeld omdat de informatie belangrijk is voor de functie. Opzoeken uit nieuwsgierigheid mag niet, en die regels gelden ook voor openbare informatie. De werkgever beperkt zich dan tot zakelijke informatie, zoals een LinkedIn-account, en laat sollicitanten vooraf weten dat dit kan, bijvoorbeeld in de vacaturetekst. Gebruikt de werkgever wat hij vindt, dan krijg je de kans om dat toe te lichten.

Screening bestaat volgens de AP meestal uit het controleren van je cv, bijvoorbeeld door de referenties te bellen die je hebt opgegeven. Voor sommige functies is screening bij wet verplicht. Dan mag de werkgever om een Verklaring Omtrent het Gedrag (VOG) vragen. Naar strafrechtelijke gegevens mag een werkgever niet vragen, tenzij dat nodig is voor de functie. Meestal is het genoeg dat je een VOG kunt overleggen. Wat je over de VOG moet weten, staat in de gids over security clearance en VOG.

Je burgerservicenummer (BSN) mag een werkgever in de sollicitatieprocedure niet vragen, en ook geen kopie, scan of foto van je identiteitsbewijs. Hij mag je identiteit wel controleren door het originele document te laten zien. Volgens de AP over persoonsgegevens van sollicitanten mag een werkgever ook niet eisen dat je een video van jezelf instuurt, omdat daarmee bijzondere persoonsgegevens kunnen worden verwerkt. Alleen met je uitdrukkelijke toestemming mag dat, en die is alleen geldig als je ook op een andere manier kunt solliciteren, bijvoorbeeld met een brief.

Je mag altijd vragen waarom iets wordt gevraagd. Dit is geen juridisch advies. Voor de beoordeling van een concreet geval kun je terecht bij de Autoriteit Persoonsgegevens, het College voor de Rechten van de Mens of Rijksoverheid.nl.

Welke vragen stel je zelf?

Een gesprek kan ook de plek zijn om te toetsen of de werkgever bij je past. Let op hoe ze praten over incidenten, fouten en toegang. Kies vijf of zes vragen die bij jou passen:

• Hoe is het team opgebouwd, en wie rapporteert aan wie?
• Welke tools en systemen gebruikt het team?
• Hoe worden incidenten of bevindingen na afloop besproken?
• Hoe gaat de organisatie om met certificeringen en opleiding, en wordt daar tijd en budget voor geboden?
• Wat zijn de eerste maanden in deze functie?
• Wat is de belangrijkste uitdaging voor het team dit jaar?

Stel aan het eind ook de vraag naar het vervolg van de procedure. Vraag of er tweede gesprekken volgen en wanneer je een reactie kunt verwachten. Dat hoort bij een gewoon gesprek, en Werken voor Nederland zegt dat je dit mag vragen.

Na het gesprek

Na het gesprek volgt een vervolgronde of een besluit. Als de functie screening vraagt, start de werkgever de VOG-aanvraag, want die kun je zelf niet starten: je (nieuwe) werkgever zet altijd de eerste stap. Justis noemt als verwerkingstijd meestal 1 tot 4 weken, en schrijft dat je na het indienen binnen 1 tot 8 weken bericht krijgt.

Bij een afwijzing verwijdert de werkgever je gegevens volgens de AP gebruikelijk uiterlijk 4 weken na het einde van de procedure. Je kunt toestemming geven om ze langer te bewaren, met een redelijke termijn van maximaal 1 jaar. Bij een aanbod lees je de gids over salarisonderhandeling in security.