Security-kandidaten beoordelen: zo toets je technische vaardigheden

Kort antwoord

Begin bij de functie, niet bij de kandidaat. Schrijf op welke taken en vaardigheden de rol vraagt, bijvoorbeeld uit een profiel van het European Cybersecurity Skills Framework (ECSF). Kies daarna een toetsvorm die precies die vaardigheden laat zien, zoals een casus of een gesprek over eerder werk. Beoordeel met een scorekaart waarin staat wat een goede, een voldoende en een onvoldoende uitwerking is. Zo beoordeel je elke kandidaat op dezelfde manier, en niet op titel of sympathie. Stel alleen vragen en vraag alleen gegevens die voor de functie nodig zijn. Wat je over het beoordelingsproces in de vacature schrijft, staat in het artikel over de security-vacature schrijven.

Wat wil je eigenlijk meten?

Beoordelen op titel of certificering geeft een onzeker beeld, omdat dezelfde titel bij verschillende organisaties ander werk kan dekken. Lees meer over die verschillen in functietitels in security uitgelegd. Begin daarom bij de taken van de functie en maak drie lijsten:

• Wat moet de kandidaat de eerste dag kunnen?
• Wat leert iemand in het werk?
• Wat is prettig, maar geen eis?

Alleen de eerste lijst toets je technisch. Zo wijs je niemand af op onderwerpen die je zelf zou kunnen aanleren. Bij een SOC-rol hoort op de eerste lijst bijvoorbeeld het kunnen lezen van een paar logregels en zeggen wat er waarschijnlijk is gebeurd. Dat hoeft iemand niet met jouw tooling te kunnen. Welke rollen een team nodig heeft, zie je in security team opbouwen. Over certificeringen als eis of wens lees je meer in de gids over certificeringen in vacatures.

Hoe gebruik je het ECSF als competentiemodel?

Het European Cybersecurity Skills Framework (ECSF) is een open Europees hulpmiddel van ENISA, het cybersecurityagentschap van de Europese Unie. Het beschrijft twaalf rolprofielen met taken, vaardigheden en kennis. Elk profiel heeft dezelfde velden, zoals hoofdtaken, key skills, key knowledge en deliverables. Gebruik die velden als volgt:

Het profiel Cyber Incident Responder heeft als deliverables een Incident Response Plan en een Cyber Incident Report. Een key skill is logbestanden beheren en analyseren. Een alternatieve titel is Security Operations Center (SOC) Analyst, dus lees de rolgids voor de SOC Analist en de vacatures voor SOC Analisten.

Het profiel Penetration Tester heeft als deliverables een Vulnerability Assessment Results Report en een Penetration Testing Report. Key skills zijn kwetsbaarheden vinden en benutten, en code beoordelen op veiligheid. Zie de rolgids voor de Penetration Tester.

Voor engineering- en ontwerprollen gebruik je de profielen Cybersecurity Implementer en Cybersecurity Architect. De Implementer configureert systemen veilig en rolt patches uit, de Architect ontwerpt een veilige architectuur. Zie de rolgidsen voor de Security Engineer en de Security Architect.

Eerlijk over het ECSF: het is een raamwerk, geen toets of certificering, en het beschrijft rollen, niet jouw functie. Titels komen niet één op één overeen. Bij het profiel CISO staan bijvoorbeeld Information Security Officer (ISO) en Information Security Manager als alternatieve titels. ENISA herziet het kader en een openbare consultatie is eind 2026 gepland. Kijk voor de actuele stand op de ECSF-pagina van ENISA.

Welke vormen van technische beoordeling zijn er?

Er zijn vijf vormen om uit te kiezen. Elke vorm laat iets anders zien en heeft een nadeel.

Kies één of twee vormen, niet allemaal. Houd de duur voor de kandidaat redelijk en zeg vooraf hoe lang de beoordeling naar verwachting duurt. Een praktijkopdracht gaat op een fictieve of eigen omgeving, nooit op echte systemen of klantgegevens van de organisatie.

Voor een SOC-rol geef je de kandidaat een korte set fictieve logregels van een aanmeldpoging die niet klopt. Vraag wat er waarschijnlijk is gebeurd, welke aanvullende gegevens nodig zijn en wat de kandidaat als eerste doet. Je beoordeelt de redenering en de opschrijfstijl, niet of de kandidaat jouw tool kent. Bij die vaardigheden hoort de skill incident response en het vakgebied security operations.

Voor een pentest-rol werk je met een afgebakende oefenomgeving of een rapportage-opdracht op fictieve bevindingen. Geef scope en regels vooraf mee. Een test op echte systemen van de organisatie of van derden hoort er nooit bij. Zie de skill security testing. Voor een GRC-rol of risicorol past een korte casus, zoals een nieuwe leverancier met toegang tot klantgegevens. Vraag welke risico's de kandidaat ziet, wat hij navraagt en wat hij vastlegt. Technische diepgang is hier minder bepalend dan het redeneren en het kunnen opschrijven.

Uitleg voor kandidaten over proefopdrachten en technische assessments staat op de kennisbank. Voor het technische deel van een gesprek is er het artikel over het sollicitatiegesprek voor een security-functie.

Hoe bouw je een scorekaart?

Volg vijf stappen:

1. Kies vier tot zes criteria uit de key skills en hoofdtaken van het profiel.
2. Schrijf per criterium vooraf wat een 1, 2, 3 en 4 betekent. Dat zijn de ankers.
3. Geef elk criterium een klasse: kritisch of aanvullend. Kritisch betekent dat de kandidaat de functie niet kan uitvoeren zonder dit. Aanvullend helpt, maar iemand kan het ook in het werk leren.
4. Laat twee beoordelaars onafhankelijk scoren voordat ze overleggen.
5. Leg de score en de motivatie vast.

Een voorbeeld voor een SOC-functie is het criterium "Logs lezen en een incident duiden". Het is kritisch. De ankers op een schaal van 1 tot en met 4 zijn:

• 1, onvoldoende. De kandidaat legt geen verband tussen de regels en stelt geen vervolgvraag.
• 2, net niet. De kandidaat benoemt de regels, maar noemt geen waarschijnlijke oorzaak.
• 3, voldoende. De kandidaat noemt een logische oorzaak, zegt welke gegevens nog nodig zijn en stelt een eerste actie voor.
• 4, sterk. De kandidaat doet hetzelfde als bij 3, weegt alternatieven af en zegt wat er niet uit de logs te zeggen valt.

Een kandidaat met een 1 op een kritisch criterium valt af, ook als de totaalscore hoog is. De score ordent het gesprek, maar neemt de beslissing niet over. Schrijf de motivatie bij elke score op, zodat je later kunt nagaan waarom je zo besloot.

Gebruik voor alle kandidaten voor dezelfde functie dezelfde opdracht in dezelfde volgorde, zodat je niet op sympathie beoordeelt. Verschillen tussen beoordelaars zijn informatie, want ze laten zien waar een anker onduidelijk is. Bespreek na de eerste kandidaten of de ankers werken en pas ze aan voordat je verder gaat, anders is de vergelijking niet eerlijk.

Wat mag je opvragen en wat niet?

Vragen. Vraag alleen wat relevant is voor de functie. Vragen over privézaken horen niet, en naar gezondheid of ziekteverzuim mag je niet vragen, ook niet bij een vorige werkgever. De kandidaat hoeft zulke vragen dan niet te beantwoorden. Je mag wel vaststellen of iemand geschikt is, bijvoorbeeld door te vragen of iemand twee uur achter elkaar aan een bureau kan werken, zoals de Rijksoverheid uitlegt.

Een SOC met een 24/7-rooster vraagt dat iemand diensten kan draaien. Je mag vragen of iemand beschikbaar is voor diensten. Formuleer de vraag over wat de functie vraagt, zoals beschikbaarheid, rooster en bereikbaarheid, en niet over de persoon.

Gegevens. De AVG vraagt dat je persoonsgegevens beperkt tot wat noodzakelijk is en dat je ze niet langer bewaart dan nodig is (artikel 5 lid 1). Gezondheid hoort bij de bijzondere categorieën van artikel 9 lid 1, waarvoor een verwerkingsverbod geldt, tenzij een uitzondering uit lid 2 van toepassing is. Een kandidaat moet bovendien weten wie je bent, waarom je zijn gegevens verwerkt en op welke grondslag. Dat staat in artikel 13 lid 1 van de AVG.

Assessmentgegevens. Wat je van een kandidaat ziet in een assessment, zoals code, rapporten, scores en aantekeningen, zijn ook persoonsgegevens. Zeg vooraf wat je ermee doet, bepaal hoe lang je het bewaart en wie erbij kan, en verwijder wat je niet meer nodig hebt. Kijk voor de actuele uitleg over sollicitaties op de website van de Autoriteit Persoonsgegevens. Bij vragen over wat precies mag, zoals over identiteitsbewijzen, ga je naar HR of juridische zaken, en bij twijfel win je juridisch advies in. Over screening en de VOG lees je in security clearance en VOG.

Wat doe je met certificeringen en cv?

Een certificering laat zien dat iemand een examen heeft gehaald. Dat kan een gesprek openen, maar het vervangt niet de beoordeling van wat iemand in jouw situatie kan. Bij een cv geldt hetzelfde: het opent het gesprek, maar het bewijst niet wat iemand in de praktijk kan. Vraag daarom door op eerder werk en laat de technische beoordeling bepalen wat je van de kandidaat weet.

Hoe je een certificering in de vacature zet, lees je in de gids over certificeringen in vacatures. Wie wil weten welke certificering bij een functie past, kan kijken naar CISSP, CISM of CISA: welke certificering past en naar welke certificeringen per functie.