In dit artikel5
Welke functies zijn geschikt als eerste baan in security?
Begin met het soort werk dat bij je past, niet met een titel. Welke studie bij welke richting past, lees je bij studie kiezen voor een security-loopbaan. Security is geen los beroep: elke richting heeft een eigen soort werk. Veel van de functies hieronder bestaan ook op medior niveau. Een instapversie heet vaak "junior", "analist" of "medewerker", maar dat is een patroon en geen regel. Lees daarom de taken in de vacature.
Richting | Functie | Wat je doet |
|---|---|---|
Bewaken en reageren | SOC-analist, cyber security analist, incident responder | Je werkt met alarmen, logbestanden en meldingen en onderzoekt wat er speelt. Bij sommige organisaties werk je in diensten of rouleert het werk. |
Testen en bouwen | Penetration tester, security engineer | Een penetration tester test systemen met toestemming en rapporteert. Een security engineer bouwt en beheert beveiligingsmaatregelen. |
Risico en compliance | Je analyseert, leest bronnen, stemt af en schrijft. | |
Audit | Je controleert of maatregelen bestaan en werken, en rapporteert daarover. | |
Beleid en organisatie | Je werkt aan beleid en de organisatie van informatiebeveiliging. Dit is vaak een rol voor wie al ervaring heeft. |
Het overzicht per functie vind je bij wie doet wat in security, risk en compliance. Voor het dagelijkse werk bij bewaken lees je werken als SOC-analist en werken als cyber security analyst.
Voor de IT-auditor geldt dat de RE-titel pas later komt, na een erkende opleiding. Zie het artikel over het register EDP-auditor (NOREA) voor de details.
Hoe lees je een functietitel in security?
Titels in vacatures passen niet altijd één op één op het European Cybersecurity Skills Framework (ECSF) van ENISA. Dat framework, uitgegeven in september 2022, beschrijft 12 rolprofielen, van Chief Information Security Officer (CISO) tot Penetration Tester. Elk profiel heeft deliverables, hoofdtaken en key skills. ENISA noemt het ECSF het EU-referentiepunt voor het definiëren en beoordelen van relevante vaardigheden. Het ECSF is geen lijst met functietitels van werkgevers: het beschrijft taken, resultaten en vaardigheden. De volledige rolprofielen staan in een PDF van ENISA.
Kijk daarom naar de deliverables, de resultaten die een rol oplevert. Een Cyber Incident Responder maakt een Incident Response Plan en een Cyber Incident Report. Een Penetration Tester levert een Vulnerability Assessment Results Report en een Penetration Testing Report op. Een Cybersecurity Risk Manager schrijft een Cybersecurity Risk Assessment Report en een Cybersecurity Risk Remediation Action Plan. Staan die resultaten in een vacature, dan weet je meer over het werk dan de titel je vertelt.
Voor het profiel Penetration Tester noemt het ECSF ook "Pentester" en "Ethical Hacker" als alternatieve titels. Kom je een van die woorden tegen, lees dan ook de taken. Een vacaturetekst kan daarnaast key skills van een profiel vragen. Het profiel Cyber Incident Responder noemt bijvoorbeeld werken onder druk en het beheren en analyseren van logbestanden.
Gebruik de ECSF-profielen ook als vragenlijst voor je eigen sollicitatiegesprek: welk rapport maak je, en welke plannen schrijf je? Het ECSF wordt herzien en ENISA plant een openbare consultatie over het herziene kader eind 2026. Kijk voor de actuele stand op de ENISA-pagina over het ECSF. Meer over titels lees je in functietitels in security uitgelegd en in wat verbergt zich achter een security-functietitel.
Welke certificeringen helpen bij je eerste baan?
Een certificering is een aanvulling op je opleiding, zie de cybersecurity-opleidingen op hbo en wo. Ze laat zien dat je een basis hebt, maar ze vervangt geen praktijk en is niet de reden dat je wordt aangenomen. Kies er een die past bij de functie die je wilt, zie welke certificeringen per functie. Begin met één en niet met drie.
De Certified in Cybersecurity (CC) van ISC2 is volgens ISC2 bedoeld voor een instap- of juniorrol in cybersecurity. ISC2 noemt studenten en pas afgestudeerden als doelgroep, en de pagina vermeldt dat er geen werkervaring vereist is. Dat maakt de CC geschikt naast je studie.
Bij CompTIA Security+ noemt CompTIA als aanbevolen ervaring CompTIA Network+ en twee jaar ervaring als security- of systeembeheerder. Dat is een aanbeveling en geen verplichting. Exameneisen en versies veranderen, dus kijk voor de details op de CompTIA-pagina en bij Security+.
De OffSec-cursus PEN-200, waar de OSCP+-certificering bij hoort, kent volgens OffSec geen formele vooropleidingseisen. OffSec raadt wel een goed begrip van TCP/IP, redelijke ervaring met Windows- en Linux-beheer en vertrouwdheid met basis-Bash en/of Python-scripting aan. Het examen duurt 24 uur en wordt begeleid door een OffSec-medewerker in een privé-VPN. Dat past bij wie al technisch thuis is. Lees meer bij de OSCP-certificering en vergelijk de instapcertificeringen in OSCP, CEH en Security+ naast elkaar.
Traineeship, directe functie of eerst een stage?
Een traineeship is een programma met begeleiding en vaak meerdere opdrachten of afdelingen. Sommige organisaties bieden er een aan. Het past bij wie nog niet weet welke richting past. Een directe functie bij een organisatie of dienstverlener past bij wie al een richting heeft.
Een stage of afstudeeropdracht kan tot een aanstelling leiden, al is dat een mogelijkheid en geen belofte. Lees meer over stage lopen in cybersecurity en over afstuderen in security, risk of compliance.
Bij advies werk je vaak breder en wisselender, en bij een organisatie in-house dieper in één omgeving. Dat geldt niet overal, dus kijk per organisatie. Meer over werken in advies staat bij security bij consultancy en IT-dienstverleners.
Bij sommige functies hoort een screening, bijvoorbeeld een VOG of een verklaring voor werk bij de overheid of vitale sectoren. Lees daarover bij security clearance en VOG.
Hoe vind en beoordeel je een eerste functie?
Volg deze stappen:
- Kies een richting. Lees bij de vakgebieden cybersecurity, security operations, risk management of compliance en privacy welk werk erbij hoort.
- Lees de vacature op taken en niet op titel. Het blog over hoe je een security-vacature leest legt uit hoe.
- Bouw bewijs op. Een home lab, CTF's en oefenplatformen, afstudeerwerk of een voorbeeldrapport van een eigen oefenomgeving laten zien wat je al kunt.
- Schrijf een cv en een motivatiebrief die dat bewijs laten zien.
- Bereid het sollicitatiegesprek voor, en een eventuele proefopdracht of technische assessment.
- Vraag in het gesprek naar je begeleiding. Vraag wie je begeleidt, hoe je eerste maanden eruitzien, hoe vaak en met wie je je werk bespreekt, of je cursussen of certificeringen kunt volgen en hoe de dienstindeling eruitziet. Dat laat zien dat je serieus wilt leren.
Kom je van een andere richting, dan vind je in omscholen naar cybersecurity de weg daarheen. Na je eerste functie kun je doorgroeien, zie van SOC-analist naar CISO. Het overzicht van alle onderwerpen staat in de kennisbank.
Wat is een goede eerste baan in security?
Er is geen beste eerste baan. Kies het soort werk dat bij je past: bewaken en reageren, testen en bouwen, risico en compliance, audit of beleid. Vergelijk de taken per richting met het werk dat je zelf het liefst doet.
Heb je een certificering nodig voor je eerste baan?
Niet per se. Een certificering is een aanvulling op je opleiding. ISC2 noemt de CC bedoeld voor een instap- of juniorrol en vraagt geen werkervaring. CompTIA Security+ noemt Network+ en twee jaar ervaring als aanbevolen ervaring, en dat is een aanbeveling en geen verplichting.
Wat is het ECSF en wat heb je eraan?
Het ECSF is het Europese skills framework van ENISA uit september 2022, met 12 rolprofielen. Je gebruikt het om vacatureteksten te vergelijken en om in een gesprek te vragen welke resultaten je zou maken. Het framework wordt herzien, dus kijk voor de actuele stand op de ENISA-pagina.
Is een traineeship beter dan een directe functie?
Dat hangt af van of je al een richting hebt. Een traineeship past bij wie nog wil proeven, met begeleiding en vaak meerdere opdrachten. Een directe functie past bij wie al weet welk werk bij hem of haar past en er meteen in wil werken.
Hoe laat je zien dat je geschikt bent zonder werkervaring?
Met bewijs dat je zelf hebt opgebouwd, zoals een stage, afstudeerwerk, een home lab, CTF's of een voorbeeldrapport. Noem dat bewijs in je cv en in je gesprek, en kies wat past bij de richting die je wilt. Het ECSF geeft per rol de namen van de rapporten, zoals een Penetration Testing Report of een Cybersecurity Risk Assessment Report, en die namen helpen je om een voorbeeldrapport te kiezen.