In dit artikel6
Kort antwoord
Een goede onboarding van een security professional heeft drie onderdelen:
- Regel op de eerste dag een laptop, een account en een aanspreekpunt, en zorg dat de toegang voor de eerste taak al is goedgekeurd.
- Geef rechten volgens het least-privilege-principe en breid ze gefaseerd uit, na een toets of een gesprek met de leidinggevende.
- Geef de nieuwe collega vanaf week 1 een eerste echte, afgebakende taak en een vast aanspreekpunt.
Voor overheidsorganisaties vraagt de BIO ook dat je nieuwe medewerkers wijst op hun verantwoordelijkheden en ze training geeft. Hoe je het team daar omheen opbouwt, lees je in het artikel over een security team opbouwen.
Wat regel je voor de eerste dag?
Een goede eerste dag begint met de voorbereiding. Regel vooraf de volgende zaken, zodat de nieuwe collega niet wacht op een account of een laptop:
- Een account en een apparaat. Laptop en account staan klaar en zijn ingericht voor het werk.
- De toegang voor de eerste taak. Die is aangevraagd en goedgekeurd door de eigenaar van het systeem.
- Een aanspreekpunt of buddy. De nieuwe collega weet vanaf het begin wie hij bij vragen kan benaderen.
- Gedragsregels en geheimhouding. De gedragsregels voor bedrijfsmiddelen zijn doorgenomen en de geheimhoudingsafspraken zijn getekend.
- Een overzicht van wat wel en niet kan. De nieuwe collega weet welke systemen open staan, welke niet en hoe een verzoek om meer toegang loopt.
Bij deze voorbereiding hoort ook een formele registratieprocedure voor gebruikersidentificaties, en een afmeldprocedure voor het moment dat iemand vertrekt. De BIO vraagt voor overheidsorganisaties een sluitende procedure voor beide. Leg vast wie een account aanmaakt en wie het bij vertrek intrekt.
Externe medewerkers, zoals zzp'ers, hebben dezelfde basis nodig: gedragsregels in het contract, toegang volgens taken en afmelden na afloop. Hoe je dat bij inhuur regelt, lees je in het artikel over security-professionals inhuren als zzp'er.
De eerste dag hoeft geen dag vol presentaties te zijn. Een werkbare indeling is 's ochtends kennismaken met het team en de werkafspraken, en 's middags de omgeving openen en één kleine taak lezen. Zo krijgt de nieuwe collega een rustige start, en zie jij na een paar dagen hoe iemand werkt.
Welke toegang krijgt een security professional?
Least privilege betekent dat een gebruiker niet meer toegang krijgt dan nodig is voor zijn taken. De NIST-woordenlijst beschrijft het als een beveiligingsprincipe waarbij de toegangsrechten van gebruikers worden beperkt tot het minimum dat nodig is voor de toegewezen taken. In gewone woorden: je geeft alleen de rechten die bij het werk horen. Zie de NIST-definitie van least privilege voor de exacte tekst.
Bij een security professional weegt dit zwaarder. Een SOC-analist of incident responder heeft toegang tot logs, systemen en soms gegevens met persoonsgegevens. De AVG vraagt dat persoonsgegevens worden verwerkt met passende technische en organisatorische maatregelen, zodat de vertrouwelijkheid en integriteit ervan gewaarborgd zijn. De organisatie moet die toegang kunnen verantwoorden, dus leg vast wie wat krijgt en waarom. Dat hoort bij de functie en is geen wantrouwen.
Werk de toegang gefaseerd uit. Begin met de rechten die de eerste taak vraagt, bijvoorbeeld alleen-lezen toegang tot het SIEM en het ticketsysteem. Breid uit na een toets of een gesprek met de leidinggevende. Verhoogde rechten, zoals acties op eindpunten of beheer van systemen, krijgt de medewerker tijdelijk en met goedkeuring van de eigenaar van het systeem. Gebruik een apart account voor beheer en een gewoon account voor dagelijks werk, en leg vast wie welke rechten heeft toegekend.
De BIO vraagt voor overheidsorganisaties onder meer meer-factorauthenticatie voor accounts met beheerrechten. Speciale bevoegdheden worden ook vaker beoordeeld dan gewone rechten. Meer over toegangsbeheer lees je in de uitleg over identity and access management en op de vacaturepagina voor IAM.
Rol | Eerste week | Pas na een toets |
|---|---|---|
SOC-analist | Leestoegang tot het SIEM en het ticketsysteem | Rechten om alarmen te sluiten, en acties op eindpunten pas na een toets |
Incident responder | Leestoegang tot logs en het incidentdossier | Toegang tot forensische tooling; een apparaat isoleren pas na uitleg van de procedure |
Pentester | Lezen van de scope, de afspraken en eerdere rapporten | Testen alleen met een schriftelijke opdracht en binnen de afgesproken scope |
GRC- of risicorol | Leestoegang tot beleid, risicoregister en auditrapporten | Schrijfrechten in het risicoregister |
De rolgidsen laten per functie zien welke taken erbij horen: lees werken als SOC-analist, werken als incident responder en werken als penetration tester.
Wat vragen ISO 27002 en de BIO over personeel?
ISO/IEC 27002:2022 heeft 93 beheersmaatregelen in vier thema's. Acht daarvan gaan over mensen: de personele maatregelen. Volgens het SC 27 Journal kunnen die worden toegepast op risico's die met mensen te maken hebben. De 93 maatregelen vormen de inhoud van Annex A van de derde editie van ISO 27001. Voor de achtergrond van de norm zie je ook de vacaturepagina voor ISO 27001 en de uitleg over ISO 27001.
De BIO is de invulling van informatiebeveiliging voor de overheid. Voor entiteiten in de sector overheid is ze verplicht via de Cyberbeveiligingswet, zie het artikel over NIS2 en de Cyberbeveiligingswet. Andere organisaties kunnen haar als voorbeeld gebruiken. Bij personeel vraagt de BIO onder meer een screeningsbeleid op basis van risico, en het wijzen van medewerkers op hun verantwoordelijkheden bij de aanstelling. Binnen drie maanden na indiensttreding hoort een training informatiebewustzijn te zijn afgerond, en alle medewerkers, intern en extern, hebben kennisgenomen van de meldingsprocedure voor incidenten. Hoe screening en de VOG werken, lees je in het artikel over security clearance en VOG.
Meer over de BIO staat in de BIO-uitleg. Voor andere organisaties is ISO 27002 een vrijwillige leidraad, tenzij een klant of de organisatie zelf de toepassing eist.
Dit is geen volledige checklist. De organisatie kiest zelf welke maatregelen van toepassing zijn, op basis van risico.
Hoe ziet het inwerken eruit in de eerste weken?
Een gefaseerd plan helpt voorkomen dat de onboarding na de eerste week stopt. Gebruik onderstaande fasen als uitgangspunt en pas de activiteiten aan op het werk van je team, zoals security operations of security leadership dat vraagt.
Periode | Doel | Voorbeeldactiviteiten |
|---|---|---|
Week 1 | Kennismaken en de omgeving openen | Kennismaking met het team, werkafspraken, toegang voor de eerste taak, de meldprocedure voor incidenten, één afgebakende taak met een buddy |
Week 2 tot en met 4 | Zelfstandig werken met begeleiding | Meelopen met een incident of audit, de eerste zelfstandige taak, kennismaken met de belangrijkste systeemeigenaren |
Maand 2 en 3 | Verder groeien en rechten uitbreiden | Een eigen verbeterpunt, de training informatiebewustzijn afronden, rechten uitbreiden op basis van het gesprek |
De eerste echte taak hoeft niet groot te zijn. Een bestaand runbook controleren op fouten, of alarmen uit één databron beoordelen, is genoeg. De nieuwe collega leert de omgeving kennen, en het team heeft er direct iets aan. Laat de nieuwe collega daarna bij een echt incident, een audit of een leveranciersbeoordeling meekijken voordat hij zelf de leiding neemt.
Leerdoelen koppel je aan het ECSF, het European Cybersecurity Skills Framework van ENISA, dat in september 2022 twaalf rolprofielen beschrijft. Kies het profiel dat het best bij de rol past, bijvoorbeeld Cyber Incident Responder voor een SOC-rol of Cybersecurity Implementer voor een engineer. Elk profiel beschrijft hoofdtaken, key skills en key knowledge. Het profiel van de Cyber Incident Responder noemt onder meer werken onder druk en het beheren en analyseren van logbestanden. Gebruik de lijst als basis voor het gesprek: waar is de nieuwe collega al sterk, en waar ontbreekt kennis? Het ECSF is een raamwerk en geen examen, en titels in de praktijk wijken af van de profielen.
Aan het eind van week 4 voer je een gesprek over wat goed gaat, wat ontbreekt en welke rechten erbij moeten. Koppel de beoordeling aan wat je bij het aannemen al hebt gezien, zoals het ECSF-profiel en de scorekaart uit het artikel over het beoordelen van technische vaardigheden. Zo begint de onboarding met wat je over de kandidaat al weet.
Wat gaat er vaak mis, en wat doe je bij vertrek?
Er zijn vier valkuilen die je kunt voorkomen:
- Rechten die blijven groeien. Taken veranderen, maar de rechten blijven staan. Dit heet rights creep: iemand houdt rechten van een eerdere taak. Kijk na een kwartaal of de rechten nog kloppen.
- Een gedeeld account voor gemak. De BIO staat groepsaccounts niet toe, tenzij de proceseigenaar dat motiveert, vastlegt en afstemt met de CISO.
- Trainingen en de meldprocedure die blijven liggen. Plan de training informatiebewustzijn in en zorg dat de nieuwe collega de meldprocedure heeft gelezen.
- Geen vaste begeleider. Zonder aanspreekpunt kan de onboarding na de eerste week stilvallen.
Bij vertrek of functiewisseling trek je alle rechten in via een vaste afmeldprocedure, ook van externen en tijdelijke accounts. Controleer of gedeelde wachtwoorden en sleutels zijn vervangen. Bij een functiewisseling klopt de toegang van de oude functie niet meer, dus haal die rechten weg. De BIO vraagt voor overheidsorganisaties verder dat alle toegangsrechten minimaal eenmaal per jaar worden beoordeeld, en speciale bevoegdheden minimaal ieder kwartaal.
Welke toegang krijgt een nieuwe security professional op dag 1?
Alleen de rechten die de eerste taak vraagt, bijvoorbeeld leestoegang tot het SIEM en het ticketsysteem. Dat volgt uit least privilege: een gebruiker krijgt niet meer toegang dan nodig is voor zijn taken. Uitbreiden doe je na een toets of een gesprek met de leidinggevende.
Moet ik een training voor nieuwe medewerkers geven?
Voor overheidsorganisaties vraagt de BIO een training informatiebewustzijn die binnen drie maanden na indiensttreding aantoonbaar is afgerond. Voor andere organisaties is zo'n training een goede praktijk. Plan de training in de eerste drie maanden in, zodat hij niet blijft liggen.
Geldt dit ook voor een zzp'er?
Een zzp'er heeft dezelfde basis nodig: gedragsregels in het contract, toegang volgens taken en afmelden na afloop. De BIO noemt voor overheidsorganisaties interne en externe medewerkers op dezelfde manier. Hoe je inhuur regelt, lees je in het artikel over security-professionals inhuren als zzp'er.
Wat zegt ISO 27002 over personeel?
ISO/IEC 27002:2022 heeft 93 beheersmaatregelen, waarvan 8 over mensen. Die personele maatregelen zijn een goede checklist voor onderdelen die je bij een audit kunt tegenkomen. De organisatie kiest zelf welke van toepassing zijn, op basis van risico.
Hoe vaak moet ik toegangsrechten controleren?
De BIO vraagt voor overheidsorganisaties dat alle toegangsrechten minimaal eenmaal per jaar worden beoordeeld. Speciale bevoegdheden worden minimaal ieder kwartaal beoordeeld. Een risicoafweging kan betekenen dat het sneller moet, en andere organisaties kunnen deze termijnen als uitgangspunt nemen.