IT Security Certificeringen

[ShadowBumble]

oak3 schreef op dinsdag 24 mei 2022 @ 09:31:
[...]

En ik ken best een aantal mensen die de code of ethics van ISC2 vrij serieus nemen.

Niet alleen die van ISC2 maar ook ISACA, ik had er zo eentje bij mijn vorige werkgever rondlopen die bij twijfel gewoon je certificeringsnummer vroeg (als CISSP/CISM moet je die af kunnen geven ter verificatie). Deed je dat niet dan melde hij je het aan bij ISACA/ISC2 (want dat is ook een reden voor een melding).

Sommige mensen maken er een sport van omdat "het niet volgen van de code of ethics" weerslag heeft op alle andere mensen die die titels dragen. Plus het degradeert natuurlijk de waarde van het certificaat, immers als je erover gaat liegen waarom zou je het examen dan überhaupt doen, lieg er dan gewoon over.

Het examen doen en dan liegen over je ervaring om de titel te mogen voeren tja, wat is dan de waarde van de titel. In eerste instantie doe je natuurlijk het examen voor de waarde van het certificaat dus dat is wel bijzonder tegenstrijdig dan.

[Liegebeest]

oak3 schreef op dinsdag 24 mei 2022 @ 09:31:
[...]

En ik ken best een aantal mensen die de code of ethics van ISC2 vrij serieus nemen.

Ik ben d'r één van.

Mijn punt was eerder: zelfs al doe je het examen niet eens, of heb je het eenmalig gedaan... niemand die je tegenhoudt om te zeggen dat je CISSP/CISM bent. Maar het zal inderdaad op termijn echt niet lekker uitpakken; veel bedrijven willen een aantal diploma's toch echt zien en then cums the monkey out the sleeve.

[paella]

Liegebeest schreef op dinsdag 24 mei 2022 @ 16:47:
[...]

Mijn punt was eerder: zelfs al doe je het examen niet eens, of heb je het eenmalig gedaan... niemand die je tegenhoudt om te zeggen dat je CISSP/CISM bent. Maar het zal inderdaad op termijn echt niet lekker uitpakken; veel bedrijven willen een aantal diploma's toch echt zien en then cums the monkey out the sleeve.

Niet dat de gemiddelde werkgever het gaat doen, maar je kan het checken:

https://www.isc2.org/MemberVerification

[Stufferdt]

Net bij TSTC mijn CIPP/E-examen gedaan en gehaald
Had uiteindelijk 50m50s nodig van de in totaal 150 minuten. Voorbereiding was wat rommelig, doordat ik dacht 'm pas op 8 juni te hebben in plaats van 1 juni. Dus laatste 2 dagen nog wat zaken doorgenomen en er met wat oppertunisme ingegaan. Uiteindelijk bijna een jaar na m'n training het examen gedaan, wat ik niet kan aanraden...

Er zaten enkele 'wtf' vragen tussen en enkele concepten die ik nog nooit had gezien/gehoord, maar het meeste was prima te beredeneren

Nu op naar de volgende. Neig naar CISM.

[Scoro]

Stufferdt schreef op woensdag 1 juni 2022 @ 10:43:
Net bij TSTC mijn CIPP/E-examen gedaan en gehaald
Had uiteindelijk 50m50s nodig van de in totaal 150 minuten. Voorbereiding was wat rommelig, doordat ik dacht 'm pas op 8 juni te hebben in plaats van 1 juni. Dus laatste 2 dagen nog wat zaken doorgenomen en er met wat oppertunisme ingegaan. Uiteindelijk bijna een jaar na m'n training het examen gedaan, wat ik niet kan aanraden...

Er zaten enkele 'wtf' vragen tussen en enkele concepten die ik nog nooit had gezien/gehoord, maar het meeste was prima te beredeneren

Nu op naar de volgende. Neig naar CISM.

Gefeliciteerd!
Altijd je examen zo snel mogelijk na je training. En eigenlijk gelijk boeken en liever de kosten voor verplaatsten ervan. Ik heb zo veel mensen gezien die maar bleven uitstellen met het boeken van het examen totdat ze eigenlijk weer de training moeten doen.

CIPP/E vond ik vooral de vragen over oorsprong privacy en EU inrichting erg oninteressant.. scoorde er ook minder op. Ben meer van de praktijk.

Weet trouwens niet welke hoek je zit (IB/Priv) en waar je naar toe wil gaan qua rol. Maar als je in privacy blijft dan kan je beter de tegenhanger CIPM kiezen..

[Brainscrewer]

TweakOverflow schreef op donderdag 5 mei 2022 @ 19:58:
[...]


Gaaf! Daar heb ik ook aan zitten denken omdat mijn werkgever behoorlijk huiverig is in het opleiden van personeel d.m.v. SANS. Uiteindelijk ga ik nu in november de SEC503 volgen, daarna ga ik -als ik de kans krijg- de FOR572 denk ik volgen.

Heb er ook aan zitten denken om als eerst de SEC504 te doen, en daarna pas de SEC503, FOR572, enz. maar gezien het geringe budget heb ik toch maar voor de 503 gekozen. Hopelijk de goede keuze.

Blijven dure krengen, die opleidingen. De value for money is het mij betreft echt wel waard. Sowieso een goede keus om voor SANS te kiezen, ongeacht welke cursus je kiest

[Stufferdt]

Scoro schreef op woensdag 1 juni 2022 @ 16:58:
[...]


Gefeliciteerd!
Altijd je examen zo snel mogelijk na je training. En eigenlijk gelijk boeken en liever de kosten voor verplaatsten ervan. Ik heb zo veel mensen gezien die maar bleven uitstellen met het boeken van het examen totdat ze eigenlijk weer de training moeten doen.

Ja helemaal eens. Ik heb 'm alles bij elkaar zo'n 7x verzet en bleef er maar tegenaan hikken (zonder echt te leren uiteindelijk). Heb het hele boek niet eens doorgewerkt denk ik.

CIPP/E vond ik vooral de vragen over oorsprong privacy en EU inrichting erg oninteressant.. scoorde er ook minder op. Ben meer van de praktijk.

Hier hetzelfde. Scoorde vrij wisselend:
57% op introduction to European data protection.
76% op European data protection law and regulation.
62% op compliance with European data protection law and regulation.

Eerste deel vond ik ook behoorlijk saai en niet boeiend.

Weet trouwens niet welke hoek je zit (IB/Priv) en waar je naar toe wil gaan qua rol. Maar als je in privacy blijft dan kan je beter de tegenhanger CIPM kiezen..

Goede vraag Twijfel zelf nog wel behoorlijk. Zit nu in een generieke rol waarin ik letterlijk alles aanraak (IB/privacy/auditing/interne governance). Heb nu 3,5 jaar werkervaring dus begin met m'n HBO ook tegen de grens voor CISSP/CISM etc. aan te komen. Wat ik concreet als rol/toekomst zie weet ik nog niet, dus dan is een CISM wel een mooie algemene verrijking.

Had achteraf sowieso beter CIPM gedaan ipv CIPP/E.

[Turdie]

https://gbhackers.com/free-access-to-penetration-testing/

[Liegebeest]

Voor hen die collega's of kennissen hebben die een eerste sprong naar security durven te wagen: een reminder.

Als het goed is, is dit al lang hier voorbij gekomen: ISC2 zagen een gat in de markt voor een entry-level cybersecurity certificaat (als concurrent voor CompTIA's Security+). Later dit jaar gaat dit certificaat live, maar nu loopt er een pilot programma -> https://www.isc2.org/Cert...evel-certification-pilot#

• Is het gratis? Nee.
• Is het goedkoper dan wanneer je het examen later gaat doen? Ja
• Het pilot examen kost €110 (credit card vereist!)
• Je kan na boeking niet gratis van datum wisselen, dus kies je datum+tijd goed uit!
• Er is een online self-paced training beschikbaar waar je ook voor kan betalen.
• Het examen is veel minder technisch, dan Security+
• Je kan het examen alleen bij specifieke PearsonVue centers doen

Ik ga op 28/06 het examen zelf doen, om te zien of het wel/niet een aanrader is voor "mijn" leerlingen.

[Mr-Robot]

Hoi allemaal,

Al geruime tijd heb ik het plan om mezelf verder te ontwikkelen door middel van het behalen van certificaten. Sinds kort wil mijn werkgever mij die mogelijkheid ook geven, hartstikke mooi dus.
Nu ben ik bezig om voor mezelf een "Roadmap" te maken welke certificaten ik wanneer wil halen. Ik ben dus benieuwd of dit volgens jullie ook een verstandige keuze is.

Even wat over mezelf. Ik werk nu een jaar of 4 bij een klein IT (automatiserings) bedrijf die hard aan het groeien is. Mijn functie binnen het bedrijf is officieel servicedesk medewerker maar eigenlijk is de titel skilled servicedesk / systeembeheer / netwerkbeheer meer aan de orde. Dit omdat ik verschillende taken / projecten op me neem die niks met een servicedesk medewerker te maken hebben.

Op termijn willen we binnen het bedrijf waar ik nu werk een SOC / SIEM gaan opzetten. Erg interessant natuurlijk en vandaar wil ik mezelf ook verder gaan ontwikkelen in de IT Security.

Bij deze mijn roadmap:
Comptia A+ (twijfel of dit überhaupt meerwaarde heeft)
Comptia Security +
EJPT
OSCP en OSDA (twijfel nog over de volgorde)

Verder wil ik via online cursussen en zelfstudie me wat meer verdiepen in bepaalde programmeer / scripting talen. Denk aan:
Bash (al redelijk onder controle)
Python3 (weinig kennis van)
GO (Geen kennis van)

Zijn dit een beetje verstandige keuzes? En heeft iemand nog tips, dan hoor ik dit natuurlijk graag.

Alvast bedankt!

[Liegebeest]

Mr-Robot schreef op donderdag 16 juni 2022 @ 15:44:
Bij deze mijn roadmap:
Comptia A+ (twijfel of dit überhaupt meerwaarde heeft) Voor jou inderdaad niet of nauwelijks
Comptia Security +. Altijd nuttig, maar je kan ook ISC2's entry-level cert bekijken, zie boven
EJPT Mooi begin
OSCP en OSDA (twijfel nog over de volgorde) Die zijn een enorme sprong

Zijn dit een beetje verstandige keuzes? En heeft iemand nog tips, dan hoor ik dit natuurlijk graag.

Neem vooral niet te veel tegelijk op je bord. Drie talen leren is wel heel wat, zeker als je dan ook nog al die certs wil doen met de bijbehorende studie.

Bash is vooral nuttig als je op het werk veel met Linux en Unix gaat werken. Zo niet, wat minder. Voor Python en Go: kijk voor jezelf naar de ROI: Return on Investment. Hoe groot is de kans dat het in de komende 1-2 jaar jou iets op gaat leveren? Laag? Zet't dan op je wishlist voor later. Hoog? Zet'm hoger.

Dat is sowieso een tip die ik aan mijn studenten en mentees geef: maak een wish and todo list voor jezelf. Daar ben je nu al mee begonnen. Maak een plan voor jezelf voor dit jaar en het volgende. Je hoeft je er niet aan te houden, maar zet't op papier. Herzie de lijst met enige regelmaat: schuif dingen op, haal ze naar boven, schuif ze naar beneden naar gelang van je huidige behoeftes.

Zie je iets super cools waarvan je denkt WAUW!, zet't op de lijst. Ga niet meteen rennen. Dan kan je eerst je belangrijke prioriteit afwerken en vergeet je het niet.

[Voor 6% gewijzigd door Liegebeest op 16-06-2022 20:49]

[Scoro]

Mr-Robot schreef op donderdag 16 juni 2022 @ 15:44:

Zijn dit een beetje verstandige keuzes? En heeft iemand nog tips, dan hoor ik dit natuurlijk graag.

Alvast bedankt!

Liegebeest geeft al inhoudelijk commentaar op de certs en trainingen.
Nu een ander soort commentaar.

Draai het eens om. Wat is je doel? Waar wil je straks terechtkomen? Als echte SOC response guru? Als security techneut?

Want ik krijg van je verhaal over je werkgever nou niet echt een warm gevoel. Misschien is het wel een toffe werkgever maar een klein IT bedrijf gaat je groeipad waarschijnlijk niet goed kunnen/willen ondersteunen.
En zo ja, dan ben je de enige expert in het bedrijf met certs zonder de buitenwereld gezien te hebben.

TLDR. Wat wil je worden? Want je kan zo overstap maken naar 1 van de middelgrote security bedrijfjes in NL die gretig op zoek zijn en je verder helpen. En waar je deze certs ook nog is als target hebt in je 1e week/half jaar/dit jaar. En grote kans dat je salaris ook nog is hoger is.

[Mr-Robot]

Hoi @Liegebeest en @Scoro

Bedankt voor jullie uitgebreide reactie, heb ik wat aan!

Wat betreft de programmeer talen. Tijdens mijn research kom ik vaak tegen dat het ontzettend handig is om voor bepaalde certificaten (en natuurlijk voor mezelf) iig een beetje kennis te hebben van Python en mogelijk ook GO. Voor mijn werk heb ik dit niet perse nodig. Mijn plan was ook meer om hier in te verdiepen zodat ik in ieder geval een beetje kaas heb gegeten van die programmeer talen

Zelf vindt ik Pentesten, Red teaming, CTF etc erg leuk om te doen. Maar omdat omdat we een SOC willen gaan opzetten ligt de focus daar meer op. Mogelijk willen we in de toekomst zelf ook pentesten gaan uitvoeren bij (nieuwe)klanten. Zelf vindt ik wel dat je als SOC-er ook wel enige Knowhow moet hebben van Pentesten etc. Vandaar dat ik ook zit te denken aan OSCP en OSDA. Mijn doel is dus voor nu zoals je het mooi zegt een SOC guru.

Wat betreft mijn werkgever. Omdat we zo hard aan het groeien zijn vind ik zelf juist erg tof om dit mee te maken. Dit zorgt er dan ook voor dat ik de mogelijkheid krijg om van scratch een SOC/SIEM op te zetten. Ik weet dat dit een immens grote taak is en niet zomaar 123 ingeregeld maar de mogelijkheid / kans is er wel! Verder is zo'n project natuurlijk ook erg leerzaam. Mocht ik na een paar jaar na het behalen van de certificaten een andere baan willen dan kan dat gelukkig dan ook nog.

Ik sla de Comptia A+ over en ga me nog even verder verdiepen in ISC2's.
@Liegebeest Je geeft aan dat de overstap van EJPT naar OSCP en OSDA een enorme sprong is. Wat zou je aanbevelen voor iets wat daar tussen in zit?

[Liegebeest]

Mr-Robot schreef op vrijdag 17 juni 2022 @ 11:31:
Hoi @Liegebeest en @Scoro
Mijn doel is dus voor nu zoals je het mooi zegt een SOC guru.

Kijk ipv OSCP en die zaken anders eerst eens naar dingen als:

• CySA+
• BTL1 -> https://securityblue.team/why-btl1/
• CRTO -> https://training.zeropoin...o.uk/courses/red-team-ops

En voor pentesting kan je na EJPT ook kijken naar -> https://certifications.tcm-sec.com/

[Column]

CompTIA heeft deze certificering roadmap opgesteld waarbij de nadruk op hun eigen producten ligt, maar daar concurrerende certificaten tegenover zetten. Voor een algemene indruk van het relevante speelveld een prima overzicht, al is het vast incompleet. Er zwerven verschillende versies online, dit is de 2022 versie. Hier kan je hem in als PDF met tekst en uitleg vinden.

[Turdie]

Kan iemand mij hier wat zelfstudie materiaal aanraden voor CCSP?

[Hmmbob]

Wat heb je zelf al gevonden in dit topic? CCSP komt vaker voorbij.

[Shadeblast]

Hoi allemaal,

Ik ben momenteel bezig mijn kennis te verbreden op gebied van blue teaming.
Reeds behaald: SANS SEC511.
Te behalen in de volgende 2 maanden: SANS FOR502 (training reeds gevolgd + oefenexamen behaald).

Primair ben ik op zoek naar volgende stappen, ik werk voornamelijk binnen Azure. SC-200 als training heb ik gevolgd, dat was echt pure bagger, examen ook niet gedaan om die reden.

Ik kwam o.a. BlueTeamSecurity BTL2 tegen, zijn er hier ervaringen mee? Voornamelijk zag ik BTL1 genoemd in dit topic. Een andere SANS cursus is wellicht nog een optie.
Op termijn wil ik meer richting cloud focussen, maar voor nu ben ik voorzien met Incident Response / Blue Team trainingen lijkt mij.

Ervaringen +/- 5 jaar in een SOC rol.

[Voor 1% gewijzigd door Shadeblast op 24-06-2022 13:34. Reden: Toevoeging]

[Liegebeest]

Voor de geïnteresseerden in NIST CSF en aanverwante zaken -> https://thehackernews.com...out-with-21-hours-of.html

Voor €47 heb je 21 uur aan trainingsmateriaal.

Oh handig, net betaald en dan zie ik dat ie bij hen op de site $14 is

-> https://www.icollege.co/c...management-frameworks-itp

Fscking online training bedrijven die elkanders aanbiedingen wegsnijden. Rare setup

HNN: "Van $295 voor $39!!"
iColl: "Van $99 voor $14!!"

Maar ach, de bron van de cursus is ITPro.tv en die lui hebben vaak goed spul. Dus €47 is nog steeds niet verspild.

[Voor 18% gewijzigd door Liegebeest op 26-06-2022 09:56]

[xehexehex]

Shadeblast schreef op donderdag 23 juni 2022 @ 18:21:
Hoi allemaal,

Ik ben momenteel bezig mijn kennis te verbreden op gebied van blue teaming.
Reeds behaald: SANS SEC511.
Te behalen in de volgende 2 maanden: SANS FOR502 (training reeds gevolgd + oefenexamen behaald).

Primair ben ik op zoek naar volgende stappen, ik werk voornamelijk binnen Azure. SC-200 als training heb ik gevolgd, dat was echt pure bagger, examen ook niet gedaan om die reden.

Ik kwam o.a. BlueTeamSecurity BTL2 tegen, zijn er hier ervaringen mee? Voornamelijk zag ik BTL1 genoemd in dit topic. Een andere SANS cursus is wellicht nog een optie.
Op termijn wil ik meer richting cloud focussen, maar voor nu ben ik voorzien met Incident Response / Blue Team trainingen lijkt mij.

Ervaringen +/- 5 jaar in een SOC rol.

Ik vind BTL wel leuk. BTL1 is prima, dekt genoeg lading voor dat bedrag. BTL2 ga ik binnenkort eens doen. Wel vooraf aan BTL wat 'proef' meuk gedaan, omdat ik niet wist wat voor niveau het zou hebben, maar al met al prima keuze.

[oak3]

Mr-Robot schreef op vrijdag 17 juni 2022 @ 11:31:
Hoi @Liegebeest en @Scoro

Bedankt voor jullie uitgebreide reactie, heb ik wat aan!

Wat betreft de programmeer talen. Tijdens mijn research kom ik vaak tegen dat het ontzettend handig is om voor bepaalde certificaten (en natuurlijk voor mezelf) iig een beetje kennis te hebben van Python en mogelijk ook GO. Voor mijn werk heb ik dit niet perse nodig. Mijn plan was ook meer om hier in te verdiepen zodat ik in ieder geval een beetje kaas heb gegeten van die programmeer talen

Zelf vindt ik Pentesten, Red teaming, CTF etc erg leuk om te doen. Maar omdat omdat we een SOC willen gaan opzetten ligt de focus daar meer op. Mogelijk willen we in de toekomst zelf ook pentesten gaan uitvoeren bij (nieuwe)klanten. Zelf vindt ik wel dat je als SOC-er ook wel enige Knowhow moet hebben van Pentesten etc. Vandaar dat ik ook zit te denken aan OSCP en OSDA. Mijn doel is dus voor nu zoals je het mooi zegt een SOC guru.

Wat betreft mijn werkgever. Omdat we zo hard aan het groeien zijn vind ik zelf juist erg tof om dit mee te maken. Dit zorgt er dan ook voor dat ik de mogelijkheid krijg om van scratch een SOC/SIEM op te zetten. Ik weet dat dit een immens grote taak is en niet zomaar 123 ingeregeld maar de mogelijkheid / kans is er wel! Verder is zo'n project natuurlijk ook erg leerzaam. Mocht ik na een paar jaar na het behalen van de certificaten een andere baan willen dan kan dat gelukkig dan ook nog.

Ik sla de Comptia A+ over en ga me nog even verder verdiepen in ISC2's.
@Liegebeest Je geeft aan dat de overstap van EJPT naar OSCP en OSDA een enorme sprong is. Wat zou je aanbevelen voor iets wat daar tussen in zit?

Als je als organisatie SOC/ SIEM gaat doen, dan is het erg handig om hack skills te hebben. Je kunt dan zelf hacks doen en kijken welke detectie je daarvoor kan schrijven. Of testen of je detectie werkt voor bijvoorbeeld een nieuwe exploit die beschikbaar is gekomen. Als je echt nog aan de basis staat, dan is dit een goede training om te doen: https://www.securityacade...fox-it/attack-and-defend/. Krijg je echt inzicht van beide, en geeft je een goede start om ook beter te bepalen wat je nodig gaat hebben.

Wat ik nog wel mis in je lijstje, is iets van training rondom de SOC/SIEM technologie die je gaat gebruiken. Het schrijven van regels is ook een vak apart en enigszins verschillend per SIEM oplossing.

[Liegebeest]

Liegebeest schreef op dinsdag 14 juni 2022 @ 20:11:
Als het goed is, is dit al lang hier voorbij gekomen: ISC2 zagen een gat in de markt voor een entry-level cybersecurity certificaat (als concurrent voor CompTIA's Security+). Later dit jaar gaat dit certificaat live, maar nu loopt er een pilot programma -> https://www.isc2.org/Cert...evel-certification-pilot#

Ik heb'm vanochtend gedaan.

Kort gezegd:

• De objectives, als in de "te leren onderwerpen" vind ik uitstekend voor een beginneling.
• Het examen zelf was teleurstellend: veelal vragen met "herken het gevraagde concept" (pick the right word)

Ik kreeg ook heel vaak dezelfde vraag, maar net anders geschreven of verwoord. Dat zal er wel aan liggen dat het de pilot / beta is. Als ik er dan even van uit ga dat in het echte examen de vragen diverser gaan zijn, dan vind ik't nog steeds geen super examen. Heel simplistisch.

Het voordeel van een ISC2 examen is dat je daarna toegang krijgt tot hun "netwerk" en diensten. Nadeel is dat ze een aanzienlijke AMF hebben.

[Liegebeest]

Terzijde, ik ben voor mijn leerlingen aan het kijken naar een goede invulling als introductie level certificaat voor cyber-security als werkveld.

Ze deden tot voor kort MTA Security van Microsoft, maar die gaat wegvallen. Ik heb d'r zelf een stuk of vier gevonden nu.



Persoonlijk valt het ISACA ding voor mij af. De organisatie is best goed, maar ik vind hun certs en AMFs echt geldklopperij.

GIAC is fantastisch, maar echt gods-onmogelijk duur.

CompTIA heeft een heel mooi curriculum, een goed examen, misschien is de stof zelfs te groot, maar CompTIA is niet zo bekend in EUW.

En het ELCC, daar lees je over in mijn vorige post: de objectives zijn mooi, het examen is "bleh".

Kunnen jullie me nog meer suggesties geven? Ik duik zelf Paul Jerimy's overzicht nog even in.

EDIT:
Als aanvulling, Mile2 weiger ik mee te werken na eerdere ervaringen met het bedrijf.

[Voor 13% gewijzigd door Liegebeest op 29-06-2022 14:31]

[Column]

CompTIA is wat mij betreft op dit moment het entry level certificaat. Het is een compleet curriculum, binnen redelijk tijd te halen, absoluut niet simpel en ook nog eens betaalbaar.

De bekendheid is inderdaad nog relatief klein aan deze kant van de wereld, maar groeiende, en zal alleen maar doorgroeien als meer mensen het halen. Het zou fijn zijn als CompTIA daar zelf ook aan mee zou helpen, hun Europa afdeling is klein en slecht bereikbaar, daar valt flink wat verbetering te halen.

[ShadowBumble]

GIAC staat by far boven aan, maar is onbetaalbaar tenzij de werkgever betaald en een werkgever zal niet zomaar een junior positie of starter even voorzien van een GIAC certificaat of meerdere. Om nu als entry level het zelf even voor te schieten is gewoon extreem prijzig

Ik denk dus dat ik het voornamelijk eens ben met @Column zijn redenatie, CompTia Security+ ondanks niet heel bekend in Europa, alhoewel ik stiekem toch best nog wel aardige verwachtingen heb van ELCC.

[Voor 59% gewijzigd door ShadowBumble op 29-06-2022 18:21]

[Liegebeest]

Dank jullie wel Ik kwam ook nog SECO als bedrijf tegen, die een hele stapel cursussen en examens aanbiedt. Nadeel: ik heb werkelijk nog nooit van ze gehoord en dus geen idee van de kwaliteit.

Gelukkig ben ik dus niet helemaal van het padje met mijn mening over Sec+.

Als het voor mijn leerlingen al een nadeel heeft, dan is het dat de objectives te veel zijn. Linux+ doe ik met hen in zestien lessen, voor Sec+ zou dat niet heel veel minder zijn. Dus misschien is het dan beter om een aantal objectives aan te stippen en de rest voor zelf-studie te laten.

ELCC is veel kleiner en bevat in elk geval de dingen die ik zou willen dat ze leren over enterprise security (BCP/DR, risk assessments, incident handling, enz).

[Column]

Een ander punt dat ik fijn vind aan Sec+ is dat je de breedte van het speelveld mee krijgt. Veel mensen weten dat ze in Cyber Security willen werken, maar niet precies in welke hoek. Met dit certificaat kunnen ze door de grote reikwijdte aan basiskennis hopelijk een beter geinformeerde keuze maken.

[Scoro]

Liegebeest schreef op woensdag 29 juni 2022 @ 14:21:

Persoonlijk valt het ISACA ding voor mij af. De organisatie is best goed, maar ik vind hun certs en AMFs echt geldklopperij.

ISACA is zeker niet goedkoop.
Maar er bestaat ook student membership tot max 6 jaar van wat ik lees.
Dus weet niet wat voor type studenten je hebt.

Zie ook https://www.isaca.org/en/membership/student-membership

[hellknight]

@Liegebeest is het in idee om ook SSCP van (ISC)2 is het overzicht mee te nemen? Vrijwel iedereen die een intro-level examen in de Security wil doen zal het gevraagde jaar werkervaring al hebben, en deze is qua examen, etc, een stuk volwassener dan ELCC

[Liegebeest]

hellknight schreef op donderdag 30 juni 2022 @ 14:24:
@Liegebeest is het in idee om ook SSCP van (ISC)2 is het overzicht mee te nemen? Vrijwel iedereen die een intro-level examen in de Security wil doen zal het gevraagde jaar werkervaring al hebben, en deze is qua examen, etc, een stuk volwassener dan ELCC

SSCP zou een optie zijn, ik moet de objectives eens goed bekijken.

Mijn studenten zijn jong-volwassenen die niet goed konden aarden in het regulier onderwijs. Zij hebben (bijna) geen van allen praktijk-ervaring in de IT, dus SSCP zou nu een brug te ver kunnen zijn.

• De huidige lichting begon hun traject met de MS MTA's Networks + Databases + Security.
• Daarna gaan ze door naar mij met CompTIA Linux+ en naar een uitgebreide Python cursus.

Ik heb nu voorgesteld om de MTA's te vervangen met CompTIA ITF+ gecombineerd met ELCC.

ITF+ combineert de technische aspecten van netwerken, databases, programmeren, computers en een beetje security. ELCC is daar naast een nette introductie van veel bedrijfstechnische termen rondom security (BCDR, IAM, AAA, RBAC, enz enz).

Security+ is een hele mooie, brede toevoeging, maar in het voortraject hebben we daar helemaal geen tijd voor. SSCP zal het zelfde verhaal zijn, vrees ik.

[Turdie]

Free Web Pentesting Class by Stanford University 🃏

https://web.stanford.edu/class/cs253/

zag dit net voorbijkomen,wellicht interessant voor sommigen hier.

[xehexehex]

Turdie schreef op zaterdag 2 juli 2022 @ 09:51:
Free Web Pentesting Class by Stanford University 🃏

https://web.stanford.edu/class/cs253/

zag dit net voorbijkomen,wellicht interessant voor sommigen hier.

Even doorheen gescrold, thanks. Examens etc. zijn wel fysiek, althans daar lijkt het op.

[Shadeblast]

xehexehex schreef op zondag 26 juni 2022 @ 14:23:
[...]


Ik vind BTL wel leuk. BTL1 is prima, dekt genoeg lading voor dat bedrag. BTL2 ga ik binnenkort eens doen. Wel vooraf aan BTL wat 'proef' meuk gedaan, omdat ik niet wist wat voor niveau het zou hebben, maar al met al prima keuze.

Ah, als je de ervaringen van BTL2 kan delen als je die gedaan hebt hoor ik het graag, ben erg benieuwd.

[Liegebeest]

Aangaande de vervanging van de Microsoft MTA's: de klant zelf geeft aan dat de MTA's zijn overgenomen door Certiport. Certiport geven er een nieuwe draai aan met wat verbeteringen.

-> https://certiport.pearson...ertification/Certify.aspx

Ik vind eerlijk gezegd wat zij doen met de Cybersecurity "ITS" (zoals het nu gaat heten) best netjes.

-> https://certiport.filecamp.com/s/JTIy1sX0ci0ZI3ss/fi

Het is nog wel een stuk minder dan wat ELCC zou bieden, plus een naam die minder bekend is (Certiport vs Microsoft vs ISC2).

EDIT:
Bah... Staat alles mooi op hun site, zijn de les-materialen niet eens beschikbaar. Ze hebben ruim een dozijn aan examens overgenomen, maar de boeken (en meer) volgen pas veel later. In Augustus komen de eerste twee, waarschijnlijk.

[Voor 17% gewijzigd door Liegebeest op 06-07-2022 13:16]

[Column]

Liegebeest schreef op woensdag 6 juli 2022 @ 13:00:
Aangaande de vervanging van de Microsoft MTA's: de klant zelf geeft aan dat de MTA's zijn overgenomen door Certiport. Certiport geven er een nieuwe draai aan met wat verbeteringen.

-> https://certiport.pearson...ertification/Certify.aspx

Ik vind eerlijk gezegd wat zij doen met de Cybersecurity "ITS" (zoals het nu gaat heten) best netjes.

-> https://certiport.filecamp.com/s/JTIy1sX0ci0ZI3ss/fi

Het is nog wel een stuk minder dan wat ELCC zou bieden, plus een naam die minder bekend is (Certiport vs Microsoft vs ISC2).

Naamsbekendheid is zo'n ding met recruiters. Wat zou je je studenten adviseren als een recruiter niet bekend is met een ceritifcaat? Hoe dat aan te vliegen?

[Liegebeest]

Column schreef op woensdag 6 juli 2022 @ 13:04:
[...]


Naamsbekendheid is zo'n ding met recruiters. Wat zou je je studenten adviseren als een recruiter niet bekend is met een ceritifcaat? Hoe dat aan te vliegen?

Daar kan je kort gezegd weinig aan doen, in de fase dat men naar CVtjes zit te turen.

Het beste dat je kan doen relevante steekwoorden uit de vacature en de betrokken/gewenste certificaten opnemen bij werk-ervaringen en projecten. Dan is het op die fiets allicht onderbouwd.

De certificatie moet je natuurlijk sowieso op je CV zetten, maar dan krijgt het net iets meer onderbouwing.

En hey, voor de mensen waar het hier om gaat is elk cert/examen er eentje! Ik sta met mijn collega's letterlijk aan de wieg van hun cyber-carriere, dus dan kunnen ze het veroorloven om "minder bekende" certs te pakken.

Mocht er dan weer eens een goedkope beta voorbij komen, dan schop is ze d'r allemaal naartoe.

[Brainscrewer]

Brainscrewer schreef op donderdag 5 mei 2022 @ 14:56:
Yay, na 3 jaar geleden SEC504 te hebben gedaan mag ik binnenkort beginnen aan FOR572 van Sans. Alleen nog even kijken of ik in-person ga volgen of via OnDemand.

Afgelopen week definitief Amsterdam 2023 in-person geboekt. Gaan er toevallig nog andere tweakers ook die week?

[hellknight]

A.s. donderdag GSEC examen (SANS SEC401). Afgelopen zaterdag proefexamen gedaan .
Ik had nog wat twijfel of de stof goed genoeg beheerste, maar dit bleek onterecht- in +- 2 uur een score van 92%, zonder eigen index te gebruiken, enkel de beperkte index die al aanwezig is in het laatste boek.

[Metzie]

hellknight schreef op maandag 18 juli 2022 @ 16:19:
A.s. donderdag GSEC examen (SANS SEC401). Afgelopen zaterdag proefexamen gedaan .
Ik had nog wat twijfel of de stof goed genoeg beheerste, maar dit bleek onterecht- in +- 2 uur een score van 92%, zonder eigen index te gebruiken, enkel de beperkte index die al aanwezig is in het laatste boek.

Gefeliciteerd!

[Liegebeest]

hellknight schreef op maandag 18 juli 2022 @ 16:19:
A.s. donderdag GSEC examen (SANS SEC401). Afgelopen zaterdag proefexamen gedaan .
Ik had nog wat twijfel of de stof goed genoeg beheerste, maar dit bleek onterecht- in +- 2 uur een score van 92%, zonder eigen index te gebruiken, enkel de beperkte index die al aanwezig is in het laatste boek.

Goed werk!

[shaowoo]

hellknight schreef op maandag 18 juli 2022 @ 16:19:
A.s. donderdag GSEC examen (SANS SEC401). Afgelopen zaterdag proefexamen gedaan .
Ik had nog wat twijfel of de stof goed genoeg beheerste, maar dit bleek onterecht- in +- 2 uur een score van 92%, zonder eigen index te gebruiken, enkel de beperkte index die al aanwezig is in het laatste boek.

congrats!

[HenkEisjedies]

Kan iemand mij een schop de goede richting in geven? Ik merk dat het bedrijf waar ik werk en onze klanten niet volwassen genoeg zijn qua informatiebeveiliging. Ik zou daarom een proces in gang willen zetten om dit te verbeteren. Maar voordat ik dit kan doen moet ik zelf de benodigde kennis opdoen en daar zie ik door de bomen het bos niet meer.

Nu denk ik dat ik met één van deze twee leergangen een heel eind moet komen:

1. Nen leergang ISO 27001

https://www.nen.nl/leergang-iso27001

ISO 27001: De norm verklaard € 595,00
ISO 27001: Informatiebeveiliging in de praktijk € 1.015,00
ISO 27001/NEN 7510: Auditen van informatiebeveiliging € 595,00
Totaal 2200 euro

2. Bsigroup

https://www.bsigroup.com/.../ISOIEC-27001-Trainingen/
Introductie training EUR 815.00
Implementatie training EUR 1,400.00
Intern auditor training EUR 1,400.00
Lead auditor training (lijkt me niet nodig)
Totaal 3615

Beide gerenomeerde partijen met verstand van zaken volgens mij.

Maar is een ISO27001 wel de juiste training? Ik weet dat klanten soms ISO certificering vragen, ook ISO27001. Maar als bedrijf een ISO certificering halen is niet het doel, het beter beveiligen van bedrijfsgegevens en klantdata wel. Zijn er dan niet andere trainingen die mij veel beter voorbereiden?

[daily.data.inj]

Wat ben je tegengekomen dat je merkt dat de organisatie/klanten niet volwassen genoeg zijn qua informatiebeveiliging?

Als je een proces in gang wilt gaan zetten is het goed te weten wat je hiermee wilt bereiken. Als je bijv. meer bewustzijn/awareness wilt creeren om bepaalde 'fouten' te voorkomen zal dit andere acties vereisen dan wanneer je verwacht/wilt dat de juiste systemen een juiste maatregelen set krijgen om de bijv. de gebruikte data veilig genoeg te houden.

Wat betreft de ISO27001 is het 1 van de veelgebruikte normenkaders/industry standards die een handleiding geven waar je aan kunt denken om de processen in je organisatie naar een hoger volwassenheidsniveau te tillen qua informatiebeveiliging.

Als ik dit zo lees lijkt het mij goed om duidelijk te krijgen wat de uiteindelijke verwachting is en hoe dit opgenomen kan worden in de organisatie. Om echt effectief te willen zijn is het belangrijk dat informatiebeveiliging niet een 'side dingetje' is ergens in de organisatie of vanuit 1 persoon.

HenkEisjedies schreef op dinsdag 19 juli 2022 @ 17:12:
Kan iemand mij een schop de goede richting in geven? Ik merk dat het bedrijf waar ik werk en onze klanten niet volwassen genoeg zijn qua informatiebeveiliging. Ik zou daarom een proces in gang willen zetten om dit te verbeteren. Maar voordat ik dit kan doen moet ik zelf de benodigde kennis opdoen en daar zie ik door de bomen het bos niet meer.

Nu denk ik dat ik met één van deze twee leergangen een heel eind moet komen:

1. Nen leergang ISO 27001

https://www.nen.nl/leergang-iso27001

ISO 27001: De norm verklaard € 595,00
ISO 27001: Informatiebeveiliging in de praktijk € 1.015,00
ISO 27001/NEN 7510: Auditen van informatiebeveiliging € 595,00
Totaal 2200 euro

2. Bsigroup

https://www.bsigroup.com/.../ISOIEC-27001-Trainingen/
Introductie training EUR 815.00
Implementatie training EUR 1,400.00
Intern auditor training EUR 1,400.00
Lead auditor training (lijkt me niet nodig)
Totaal 3615

Beide gerenomeerde partijen met verstand van zaken volgens mij.

Maar is een ISO27001 wel de juiste training? Ik weet dat klanten soms ISO certificering vragen, ook ISO27001. Maar als bedrijf een ISO certificering halen is niet het doel, het beter beveiligen van bedrijfsgegevens en klantdata wel. Zijn er dan niet andere trainingen die mij veel beter voorbereiden?

[NLKornolio]

HenkEisjedies schreef op dinsdag 19 juli 2022 @ 17:12:
Kan iemand mij een schop de goede richting in geven? Ik merk dat het bedrijf waar ik werk en onze klanten niet volwassen genoeg zijn qua informatiebeveiliging. Ik zou daarom een proces in gang willen zetten om dit te verbeteren. Maar voordat ik dit kan doen moet ik zelf de benodigde kennis opdoen en daar zie ik door de bomen het bos niet meer.

Nu denk ik dat ik met één van deze twee leergangen een heel eind moet komen:

1. Nen leergang ISO 27001

https://www.nen.nl/leergang-iso27001

ISO 27001: De norm verklaard € 595,00
ISO 27001: Informatiebeveiliging in de praktijk € 1.015,00
ISO 27001/NEN 7510: Auditen van informatiebeveiliging € 595,00
Totaal 2200 euro

2. Bsigroup

https://www.bsigroup.com/.../ISOIEC-27001-Trainingen/
Introductie training EUR 815.00
Implementatie training EUR 1,400.00
Intern auditor training EUR 1,400.00
Lead auditor training (lijkt me niet nodig)
Totaal 3615

Beide gerenomeerde partijen met verstand van zaken volgens mij.

Maar is een ISO27001 wel de juiste training? Ik weet dat klanten soms ISO certificering vragen, ook ISO27001. Maar als bedrijf een ISO certificering halen is niet het doel, het beter beveiligen van bedrijfsgegevens en klantdata wel. Zijn er dan niet andere trainingen die mij veel beter voorbereiden?

Kijk is naar de CIS benchmarks van center of internet security. De CIS controls zijn een goede stap naar een hoger niveau als je begint bij lvl1. Makkelijke kant en klare security instellingen in vorm van gpo's. Is ook een doc te vinden met mappings naar iso. Wat meer handvaten ipv van processen naar mij idee.

[Metzie]

HenkEisjedies schreef op dinsdag 19 juli 2022 @ 17:12:
Ik merk dat het bedrijf waar ik werk en onze klanten niet volwassen genoeg zijn qua informatiebeveiliging. Ik zou daarom een proces in gang willen zetten om dit te verbeteren. Maar voordat ik dit kan doen moet ik zelf de benodigde kennis opdoen en daar zie ik door de bomen het bos niet meer.

Mooie vraag met verschillende oplossingsmogelijkheden.

Zoals al eerder gesteld ligt het eraan wat het doel is dat je wilt bereiken.
Wil een bedrijf als eerste de basis maatregelen op orde hebben gebruik dan een methode die dat faciliteert. zoals:

• CIS Critical Security Controls
• NCSC.gov.uk Cyber Essentials (plus)
• NCSC.nl Handreiking Cybersecuritymaatregelen

Wilt een bedrijf serieus met cyber security aan de slag dan is ISO 27001 of de NIST zeker een goede basis, echter moet je eerst zorgen voor voldoende management commitment omdat er forse investeringen in mensen en middelen moeten worden gedaan.

Je start eerst met het bepalen welke informatiesystemen, processen, afdelingen of bedrijfsonderdelen binnen de scope vallen. Daarna voer je een risico analyse uit op deze scope. Op basis van die risico analyse kies je uit de 27001 Annex A de mitigerende maatregelen die het risico beheersen. Deze maatregelen moeten dan verder ingevuld worden met (sub) maatregelen, processen, controles en dergelijken. En daarna begint het implementeren, controleren, bijsturen en verbeteringen opnieuw implementeren. Je snapt al een flinke klus en bedrijven die ISO gecertificeerd willen worden redden dit meestal niet binnen 12 maanden.

Even als fictief voorbeeld.
De scope is het boekhoudpakket van een bedrijf.
Een van de risico's is Fraude, waarbij een medewerker bestellingen kan doen maar ook de facturen daarvan kan goedkeuren dus potentieel geld kan overboeken op zijn eigen rekening.
Een van de mitigerende maatregelen is A.6.1.2 Segregation of Duties, waarbij het doel is dat een enkele medewerker niet de hele purchase to pay proces kan uitvoeren maar dat deze is opgedeeld over meerdere medewerkers. Of bijvoorbeeld dat betalingen altijd goedgekeurd moeten worden door de eigenaar van bet bedrijf.

Veel maatregelen voor informatie beveiliging hebben niet zoveel met techniek te maken, maar vooral met het inrichten van processen en controles.

Qua opleidingen voor 27001 hebben wij als informatie beveiliging team gekozen voor
PECB 27001 Lead Implementer
PECB 27005 Risk Manager

Een auditor opleiding vind ik niet zo relevant als je aan de implementerende kant zit. Als je een nadere uitwerking zoekt waar een maatregelen aan moet voldoende (of inspiratie voor maatregelen) gebruik dan het boek van ISO 27001 controls – A guide to implementing and auditing van Bridget Kenyon of het aankomende Handboek ISO 27001 Controls van Cees van der Wens

[Liegebeest]

Metzie schreef op dinsdag 19 juli 2022 @ 23:51:
[...]
Wilt een bedrijf serieus met cyber security aan de slag dan is ISO 27001 of de NIST zeker een goede basis, echter moet je eerst zorgen voor voldoende management commitment omdat er forse investeringen in mensen en middelen moeten worden gedaan.

Fantastische posts zo ver! En alles staat en valt met deze quote van Metzie!

"Security maturity" is niet iets dat je er even doorheen ramt en het is al helemaal geen technisch probleem. Er zijn voldoende technische middelen, maar die zijn geen oplossingen voor een organisatorisch probleem. Als de gewenste wijzigingen niet 100% door de hoogste hand worden (uit)gedragen, kan je het vergeten.

[HenkEisjedies]

Even voor de duidelijkheid: onze informatiebeveiliging is niet belabberd. We denken actief na over hoe we processen, systemen en instellingen kunnen verbeteren en ik durf te wedden dat wij een stuk volwassener zijn dan het gros van de bedrijven. Maar dat laatste zegt natuurlijk helemaal niets. Wat mij een tijd terug triggerde was dat een klant doodleuk een excelbestand met klantgegevens naar mij mailde en dat dit excel bestand niet versleuteld was en gegevens had die totaal niet relevant voor haar rol (waarom heeft ze daar toegang tot?) en hetgeen we mee bezig waren (waarom ben je niet selectiever?).

Maar mijn behoefte naar training is niet alleen ingegeven door de wens om de informatiebeveiliging in onze organisatie te verbeteren, maar ook door mijn wens om in de toekomst klanten beter over het onderwerp te kunnen adviseren. Ik vind het onderwerp gewoon erg interessant en ga mijn persoonlijke leerbudget van dit jaar er aan besteden.

Metzie schreef op dinsdag 19 juli 2022 @ 23:51:
[...]
Wil een bedrijf als eerste de basis maatregelen op orde hebben gebruik dan een methode die dat faciliteert. zoals:

• CIS Critical Security Controls
• NCSC.gov.uk Cyber Essentials (plus)
• NCSC.nl Handreiking Cybersecuritymaatregelen

Wilt een bedrijf serieus met cyber security aan de slag dan is ISO 27001 of de NIST zeker een goede basis, echter moet je eerst zorgen voor voldoende management commitment omdat er forse investeringen in mensen en middelen moeten worden gedaan.

Je start eerst met het bepalen welke informatiesystemen, processen, afdelingen of bedrijfsonderdelen binnen de scope vallen. Daarna voer je een risico analyse uit op deze scope. Op basis van die risico analyse kies je uit de 27001 Annex A de mitigerende maatregelen die het risico beheersen. Deze maatregelen moeten dan verder ingevuld worden met (sub) maatregelen, processen, controles en dergelijken. En daarna begint het implementeren, controleren, bijsturen en verbeteringen opnieuw implementeren. Je snapt al een flinke klus en bedrijven die ISO gecertificeerd willen worden redden dit meestal niet binnen 12 maanden.

Even als fictief voorbeeld.
De scope is het boekhoudpakket van een bedrijf.
Een van de risico's is Fraude, waarbij een medewerker bestellingen kan doen maar ook de facturen daarvan kan goedkeuren dus potentieel geld kan overboeken op zijn eigen rekening.
Een van de mitigerende maatregelen is A.6.1.2 Segregation of Duties, waarbij het doel is dat een enkele medewerker niet de hele purchase to pay proces kan uitvoeren maar dat deze is opgedeeld over meerdere medewerkers. Of bijvoorbeeld dat betalingen altijd goedgekeurd moeten worden door de eigenaar van bet bedrijf.

Veel maatregelen voor informatie beveiliging hebben niet zoveel met techniek te maken, maar vooral met het inrichten van processen en controles.

Qua opleidingen voor 27001 hebben wij als informatie beveiliging team gekozen voor
PECB 27001 Lead Implementer
PECB 27005 Risk Manager

Een auditor opleiding vind ik niet zo relevant als je aan de implementerende kant zit. Als je een nadere uitwerking zoekt waar een maatregelen aan moet voldoende (of inspiratie voor maatregelen) gebruik dan het boek van ISO 27001 controls – A guide to implementing and auditing van Bridget Kenyon of het aankomende Handboek ISO 27001 Controls van Cees van der Wens

Wat..een..toppost! Thanks voor je uitgebreide input! Je bevestigd mijn gevoel dat ISO27001 een goede basis is.

Als ik zo de verschillen lees tussen ISO27001 en NIST dan denk ik dat ISO27001 waardevoller voor mij is, maar voor mijn organisatie zou NIST op de korte termijn waardevoller zijn. Aangezien NIST gratis is kan het geen kwaad daar eerst eens in te duiken.
https://tugboatlogic.com/...ST%20CSF%20is%20voluntary.

Liegebeest schreef op woensdag 20 juli 2022 @ 06:20:
[...]

"Security maturity" is niet iets dat je er even doorheen ramt en het is al helemaal geen technisch probleem. Er zijn voldoende technische middelen, maar die zijn geen oplossingen voor een organisatorisch probleem. Als de gewenste wijzigingen niet 100% door de hoogste hand worden (uit)gedragen, kan je het vergeten.

Hier ben ik me van bewust, maar goed punt. Ik heb voldoende support van de directie en zal wanneer nodig ook mandaat krijgen om bepaalde wijzigingen door te voeren. De technische middelen vind ik wel erg interessant, maar dat lijkt me iets dat later komt als oplossing voor een probleem. Niet andersom.

NLKornolio schreef op dinsdag 19 juli 2022 @ 22:12:
[...]

Kijk is naar de CIS benchmarks van center of internet security. De CIS controls zijn een goede stap naar een hoger niveau als je begint bij lvl1. Makkelijke kant en klare security instellingen in vorm van gpo's. Is ook een doc te vinden met mappings naar iso. Wat meer handvaten ipv van processen naar mij idee.

Interessant! Dit lijkt meer de technische kant op te gaan en zou ik dan moeten zien als handvatten om problemen opgemerkt in ISO27001 op te lossen?

[Voor 5% gewijzigd door HenkEisjedies op 20-07-2022 10:53]

[Metzie]

HenkEisjedies schreef op woensdag 20 juli 2022 @ 10:48:

CIS lijkt Interessant! Dit lijkt meer de technische kant op te gaan en zou ik dan moeten zien als handvatten om problemen opgemerkt in ISO27001 op te lossen?

De CIS Center for Internet Security heeft een uitgebreid product portfolio.
Ze zijn het meest bekend voor hun CIS Benchmarks, dat zijn richtlijnen op welke manier je een hardware- of software component het veiligst kunt configureren en hardenen. Dat is inderdaad voornamelijk een technische maatregel.

De CIS Controls lijken meer een variant op de ISO 27001 annex-a controls, alleen dan wat meer uitgewerkt. Het mooie is dat zij een uitgebreider advies geven over wat de maatregel zou moeten inhouden als je een klein, middelgroot of multinational bedrijf bent.

Verder zijn er nog een aantal andere producten die je zelf op hun website kunt vinden waar ik zelf geen ervaring mee heb maar ongetwijfeld een nuttige toevoeging zijn tot je gereedschapkist.

[GDAHAGA]

*knip*, auteursrecht

[Voor 120% gewijzigd door F_J_K op 29-07-2022 15:10]

[Stufferdt]

Naar aanleiding van het behalen van mijn CIPP/E ben ik zoekende naar een volgend certificaat om mijn kennis mee te verrijken.

Concreet mijn achtergrond:
Zo'n 4 jaar werkzaam ondertussen. Begonnen als implementatieconsultant ISO 27001. Heb toen LA en LI gehaald. Ben sinds 2,5 jaar compliance verantwoordelijke en sindsdien CIPP/E, scrum, azure fundamentals en Prince 2 gehaald. Heel breed dus en deels ook wat net voorbij kwam intern bijvoorbeeld.

Volgende stap zoek ik richting security. Twijfel zelf tussen CISM en CISA, wat natuurlijk twee andere richtingen zijn. Beide zijn nuttig voor mijn huidige werkzaamheden en interesses.

Zit er qua overlap nog een logische volgorde in CISM/CISA/CISSP?

Ik wou beginnen met het bestellen van een boek en deze eens doornemen (dus hier ook tips welkom!). Keuze voor een training wel/niet moet ik dan tzt maken en overleggen. Verwacht hier geen problemen overigens.

TL;DR: ik kan niet kiezen en heb nog geen concrete richting om naar door te groeien. Twijfel tussen CISM/CISA.

[oak3]

HenkEisjedies schreef op woensdag 20 juli 2022 @ 10:48:
Even voor de duidelijkheid: onze informatiebeveiliging is niet belabberd. We denken actief na over hoe we processen, systemen en instellingen kunnen verbeteren en ik durf te wedden dat wij een stuk volwassener zijn dan het gros van de bedrijven. Maar dat laatste zegt natuurlijk helemaal niets. Wat mij een tijd terug triggerde was dat een klant doodleuk een excelbestand met klantgegevens naar mij mailde en dat dit excel bestand niet versleuteld was en gegevens had die totaal niet relevant voor haar rol (waarom heeft ze daar toegang tot?) en hetgeen we mee bezig waren (waarom ben je niet selectiever?).

Maar mijn behoefte naar training is niet alleen ingegeven door de wens om de informatiebeveiliging in onze organisatie te verbeteren, maar ook door mijn wens om in de toekomst klanten beter over het onderwerp te kunnen adviseren. Ik vind het onderwerp gewoon erg interessant en ga mijn persoonlijke leerbudget van dit jaar er aan besteden.


[...]


Wat..een..toppost! Thanks voor je uitgebreide input! Je bevestigd mijn gevoel dat ISO27001 een goede basis is.

Als ik zo de verschillen lees tussen ISO27001 en NIST dan denk ik dat ISO27001 waardevoller voor mij is, maar voor mijn organisatie zou NIST op de korte termijn waardevoller zijn. Aangezien NIST gratis is kan het geen kwaad daar eerst eens in te duiken.
https://tugboatlogic.com/...ST%20CSF%20is%20voluntary.


[...]


Hier ben ik me van bewust, maar goed punt. Ik heb voldoende support van de directie en zal wanneer nodig ook mandaat krijgen om bepaalde wijzigingen door te voeren. De technische middelen vind ik wel erg interessant, maar dat lijkt me iets dat later komt als oplossing voor een probleem. Niet andersom.


[...]


Interessant! Dit lijkt meer de technische kant op te gaan en zou ik dan moeten zien als handvatten om problemen opgemerkt in ISO27001 op te lossen?

Je kunt ISO27001 ook zeker doen voor de eigen organisatie, maar daar zie ik de toegevoegde waarde toch wat beperkt. Voor mij is ISO27001 toch vooral om aan de buitenwereld aan te tonen dat je aantoonbaar iets aan Cyber Security doet. Maar misschien ben ik wat negatief, omdat ik vooral zie dat die daarvoor gebruikt wordt. Bij ISO zit je ook vooral zelf aan het stuur en bepaal je zelf de risico's. ISO schrijft daarin niet echt voor wat je moet doen.

Als je het hebt over volwassenheid, dan is in mijn ogen intussen het meest geaccepteerde framework, dat van de NIST. Bijna elke (grote) organisatie gebruikt deze als leidraad en/of gebruikt hem als benchmark. Deze kun je hier vinden: https://www.nist.gov/cyberframework. Ik dacht 108 controls over 5 hoofd gebieden (identify, prevent, detect, respond, recover).
Het grootste nadeel van het NIST framework hanteren is dat er bij mijn weten geen trainingen voor zijn in NL en het in NL niet gecertificeerd kan worden zoals met ISO27001. Ik vind het echter wel het beste framework om te bepalen en te meten of je alle Cyber Security onderwerpen hebt afgedekt en hoe volwassen je daar in bent. Daarnaast heeft NIST op de meeste onderwerpen verdiepende publicaties. Soms wel taaie stof, maar heel goed en vaak de benchmark voor de industrie. Misschien niet voor hier relevant, maar zodra NIST hun post quantum encryptie standaarden publiceert, volgt de AIVD een dag later met hetzelfde advies.

CIS is ook een goede (technische) benchmark, maar volgens mij niet echt gericht op volwassenheid, meer op techniek. En daarnaast vooral gericht op preventie, terwijl dit bij NIST 1 van de 5 cyber security onderdelen is. Ook vind ik Risk Management in Cyber Security essentieel en is dat geen onderdeel van de CIS.

[Voor 11% gewijzigd door oak3 op 01-08-2022 17:06]

[Orangelights23]

@oak3 en @HenkEisjedies Ik zou beginnen met een risico assessment: waar zien jullie risico’s en hoe willen jullie deze mitigeren? Vervolgens kun je één van de frameworks gebruiken om daar invulling aan te geven, de context van jullie organisatie meenemend hierin. ‘Zomaar’ beginnen met een framework om het naar een hoger volwassenheidsniveau te tillen is geen doel op zichzelf.

[oak3]

Orangelights23 schreef op maandag 1 augustus 2022 @ 17:47:
@oak3 en @HenkEisjedies Ik zou beginnen met een risico assessment: waar zien jullie risico’s en hoe willen jullie deze mitigeren? Vervolgens kun je één van de frameworks gebruiken om daar invulling aan te geven, de context van jullie organisatie meenemend hierin. ‘Zomaar’ beginnen met een framework om het naar een hoger volwassenheidsniveau te tillen is geen doel op zichzelf.

In de basis erg mee eens, maar juist dat gestructureerd doen op een volwassen manier is lastig. ISO27001 biedt dan handvaten om het te organiseren en NIST handvaten voor de volledigheid.

PS, als je een opleiding wil doen om Risk management beter te doen, dan CISM en CRISC van Isaca weer een aanrader.

[Orangelights23]

oak3 schreef op maandag 1 augustus 2022 @ 18:51:
[...]


In de basis erg mee eens, maar juist dat gestructureerd doen op een volwassen manier is lastig. ISO27001 biedt dan handvaten om het te organiseren en NIST handvaten voor de volledigheid.

PS, als je een opleiding wil doen om Risk management beter te doen, dan CISM en CRISC van Isaca weer een aanrader.

ISO27001 en NIST zijn respectievelijk een security standaard en een framework, dus dat helpt niet bij het uitvoeren van de eerste stap: risk assessments. Daarna kan je beiden erbij pakken om te kijken hoe invulling gegeven kan worden aan mitigatie. Je kunt wel ISO27005 erbij pakken, maar ik zou altijd externe expertise erbij halen om minder subjectievere analyses uit te laten voeren, ervan uitgaande dat er intern onvoldoende kennis aanwezig is.

Ik zie veel organisaties een framework implementeren ‘omdat het handig schijnt te zijn’, maar dan ontstaat uiteindelijk een midmatch tussen bedrijfsdoelstellingen en infosec doelstellingen. Belangrijk dus om goed te beginnen met een belangrijke basis om vanuit daar verder te bouwen.

[slashdev]

Er is een update gekomen op de security-certification-roadmap

[Liegebeest]

Even een snarf & barf van m'n LinkedIn:

With thanks to Women In Cybersecurity Community Association for telling me about this opportunity!

Thursday 22/09, in Utrecht, Cisco will have their free security conference SecCon. It's a great opportunity to learn from cool guest speakers and to network with people in your industry.

Go check out their program! It looks to be an awesome day and I'll try to get a lot of fun folks from my network to come as well.

https://lnkd.in/e7S3937i

[Jaqenhghar]

Na 18 uur strijden is het me gelukt, ik heb m'n OSCP binnen

Nu nog verzinnen wat ik nu ga oppakken... Waarschijnlijk een flinke hoeveelheid HTB boxes en een pro lab voordat ik me weer op een certificaat ga storten.

[Voor 34% gewijzigd door Jaqenhghar op 04-09-2022 13:16]

[Scoro]

Stufferdt schreef op maandag 1 augustus 2022 @ 14:44:

TL;DR: ik kan niet kiezen en heb nog geen concrete richting om naar door te groeien. Twijfel tussen CISM/CISA.

Beetje laat maar kies CISM.
Kan redenatie wel delen maar misschien heb je je keuze al gemaakt.

[Liegebeest]

Jaqenhghar schreef op zondag 4 september 2022 @ 13:15:
Na 18 uur strijden is het me gelukt, ik heb m'n OSCP binnen

Nu nog verzinnen wat ik nu ga oppakken... Waarschijnlijk een flinke hoeveelheid HTB boxes en een pro lab voordat ik me weer op een certificaat ga storten.

Goed werk!

[xehexehex]

Jaqenhghar schreef op zondag 4 september 2022 @ 13:15:
Na 18 uur strijden is het me gelukt, ik heb m'n OSCP binnen

Nu nog verzinnen wat ik nu ga oppakken... Waarschijnlijk een flinke hoeveelheid HTB boxes en een pro lab voordat ik me weer op een certificaat ga storten.

Congrats, big achievement

[Stufferdt]

Scoro schreef op zondag 4 september 2022 @ 14:19:
[...]


Beetje laat maar kies CISM.
Kan redenatie wel delen maar misschien heb je je keuze al gemaakt.

Keuze is nog niet gemaakt! Neig wel naar CISM en had al een boek in m'n mandje liggen (maar nog niet helemaal uit welk boek ik wil). Wou het boek eerst eens doornemen en dan zien of ik een cursus wil. Heb wisselende ervaringen met de toegevoegde waarde van een klassikale cursus, dus met zelfstudie en wat logisch inzicht (ben wel vrij goed in het juiste antwoord kiezen bij de manier van vragen geloof ik) verwacht ik een heel eind te komen.

Twijfel tussen deze boeken:
Cism all-in-one van Gregory
Cism prep guide van Doshi
Cism review manual van ISACA zelf (135 $$$$$$....)

Iemand ervaring en een advies welk boek aan te schaffen?

[Liegebeest]

WTF?

Ik heb m'n GCCC cert van SANS/GIAC dan toch maar verlengd. Smak geld, maar het ding is toch wat waard. Ik doorloop netjes het proces en verwacht m'n nieuwe diploma in de post te ontvangen.

Krijg ik net een pakket via DHL, van SANS, met alle vijf de nieuwe boeken van SEC-566. WTF?

Euh, dankje voor het gratis kado. Dankje voor de dode bomen. Maar, waar is mijn certificaat?

[Orangelights23]

Liegebeest schreef op maandag 5 september 2022 @ 12:34:
WTF?

Ik heb m'n GCCC cert van SANS/GIAC dan toch maar verlengd. Smak geld, maar het ding is toch wat waard. Ik doorloop netjes het proces en verwacht m'n nieuwe diploma in de post te ontvangen.

Krijg ik net een pakket via DHL, van SANS, met alle vijf de nieuwe boeken van SEC-566. WTF?

Euh, dankje voor het gratis kado. Dankje voor de dode bomen. Maar, waar is mijn certificaat?

Eerste keer verlengd? Je moet aangeven of je opnieuw examen wilt doen, of dat je CPE’s wilt inzetten. Zou je mogelijk de verkeerde optie geselecteerd hebben?

[Liegebeest]

Ik had mijn CPEs lang voordat ik de betaling deed, dus ik heb verlengd met CPE.

Maar ik lees net ook dit in de mail over de betaling:

Your 4-month access period to the latest online courseware affiliated with your GIAC certifications has started! Simply log into your SANS account and select the ‘Course Material Downloads’ link under My Online Training. If you chose to receive printed courseware, you should receive it in about a week.

Ik had niet verwacht toegang te krijgen tot het lesmateriaal. Dus dat is een bonus. Ik had alleen de dode bomen en het transport kunnen besparen, want ik ga er toch niets mee doen en het is echt zonde van het milieu zo.

Maar goed, gevalletje "ik had de hele email moeten lezen"

[Scoro]

Stufferdt schreef op maandag 5 september 2022 @ 10:10:
[...]


Keuze is nog niet gemaakt! Neig wel naar CISM en had al een boek in m'n mandje liggen (maar nog niet helemaal uit welk boek ik wil). Wou het boek eerst eens doornemen en dan zien of ik een cursus wil. Heb wisselende ervaringen met de toegevoegde waarde van een klassikale cursus, dus met zelfstudie en wat logisch inzicht (ben wel vrij goed in het juiste antwoord kiezen bij de manier van vragen geloof ik) verwacht ik een heel eind te komen.

Twijfel tussen deze boeken:
Cism all-in-one van Gregory
Cism prep guide van Doshi
Cism review manual van ISACA zelf (135 $$$$$$....)

Iemand ervaring en een advies welk boek aan te schaffen?

Vergeleken met RE is CISA maar zo beperkt dat er niet zo veel waarde in zat. Beetje spijt dat ik er voor gegaan ben.

CISM daarin tegen geeft goed de "amerikaanse" managementstijl door. Zelfstudie is goed mogelijk.
Zou dan niet voor de ISACA versie gaan omdat die best droog is. Blijft gewoon veel oefenen om in de mindset van de vragen te komen. Van CISSP destijds de all-in-one gekocht en hoewel erg dik, was ik best tevreden.

[HenkEisjedies]

Liegebeest schreef op maandag 5 september 2022 @ 12:38:

ik ga er toch niets mee doen

Ruilen tegen een kratje pils?

[Liegebeest]

HenkEisjedies schreef op maandag 5 september 2022 @ 20:20:
[...]


Ruilen tegen een kratje pils?

Lief aangeboden, maar ik heb ze gedoneerd aan een collega die het examen ook wil gaan doen.

[Liegebeest]

En, ga ik morgen één van jullie nog tegenkomen bij Cisco's SecCon in Utrecht?

https://www.cisco.com/c/e...ecurity/seccon/index.html

[basmq]

Is er wellicht hier iemand die naar ISC2 Security Congress gaat in oktober?

[Brainscrewer]

Liegebeest schreef op woensdag 21 september 2022 @ 15:17:
En, ga ik morgen één van jullie nog tegenkomen bij Cisco's SecCon in Utrecht?

https://www.cisco.com/c/e...ecurity/seccon/index.html

Hoe was het?

[Liegebeest]

Brainscrewer schreef op vrijdag 23 september 2022 @ 16:43:
[...]


Hoe was het?

Niet geweest

Ik was wat verkouden (wilde niemand aansteken) en had door gedoe maar vier uurtjes slaap gehad. Dan kan ik beter gewoon een dagje vanuit huis werken.

[xehexehex]

Hier wel geweest, was wel ok event. Altijd grappige Zerocoper, talks o.a. Northwave, Belastingdienst, Politie etc.

[hmmmmmmmmmpffff]

xehexehex schreef op zaterdag 24 september 2022 @ 13:57:
Hier wel geweest, was wel ok event. Altijd grappige Zerocoper, talks o.a. Northwave, Belastingdienst, Politie etc.

Enig idee of die talks nog online komen?

[xehexehex]

Volgens mij komen zowel de talks als de slides online

[slashdev]

Ik was ook en vond het zeer de moeite. Geen commercieel tintje, lekker inhoudelijk en toffe locatie.

[Liegebeest]

Bah, nou vind ikt' extra jammer dat ik't heb gemist Maar, ik ben heel blij dat't voor jullie een goede dag was!

[Liegebeest]

Ik stoor me best wel aan vacatures die persé een WO-opleiding eisen. Klussen waar ik per-fect op zou passen gaan aan m'n neus voorbij omdat ik "maar" een HBO diploma en twintig jaar ervaring heb.

Nou was ik niet van plan om hier in NL een volle Masters te gaan doen, niet qua tijd, niet qua geld. Maar ik heb wel mooie dingen gehoord van kennissen (Discord en Reddit) over de programma's van WGU (Western Governors University).

https://www.wgu.edu/onlin...ance-masters-program.html

Het is volledig logisch dat we/men/iedereen sceptisch is over volledig-online programma's, maar deze lui hebben zowaar een goede naam. En gezien mijn huidige CV kan ik een enorm aantal klassen alvast afstrepen, op basis van mijn certificaten.

[Orangelights23]

Waarom wil je voor een bedrijf werken wat dat soort eisen stelt waar je je niet in kunt vinden? Groot gelijk om het niet te doen - of juist wel solliciteren. Feit blijft dat het belachelijk is dat je afgerekend wordt op een studie, zeker als dat in jouw geval 20 jaar geleden is.

Ik zit nu zelf in een team waar WO+ niveau voor gevraagd werd, het liefst phd. Toch geprobeerd en werd aangenomen. Desondanks ben ik wel met mijn hbo papiertje doorgegroeid tot CISO van de hele club en rapporteren 30 mensen aan mij.

Goede tip als je toch een WO papiertje wilt: als EU burger mag je gebruik maken van het gratis onderwijs in bijvoorbeeld Zweden. Ik heb al aardig wat cursussen volledig gratis gedaan, maar wel erkend.

[paella]

Orangelights23 schreef op zaterdag 1 oktober 2022 @ 20:51:

Goede tip als je toch een WO papiertje wilt: als EU burger mag je gebruik maken van het gratis onderwijs in bijvoorbeeld Zweden. Ik heb al aardig wat cursussen volledig gratis gedaan, maar wel erkend.

Interessant! Kan je daar wat meer over vertellen?

[Liegebeest]

@Orangelights23 ik ben't eens met @paella, dat is een goede tip! Daar moest ik ook eens naar gaan kijken! Hoewel het best vreemd voelt... je zit niet in SE/SF, maar neemt daar wel gratis lessen af... Het zal kloppen, maar het voelt raar.

Orangelights23 schreef op zaterdag 1 oktober 2022 @ 20:51:
Waarom wil je voor een bedrijf werken wat dat soort eisen stelt waar je je niet in kunt vinden? Groot gelijk om het niet te doen - of juist wel solliciteren. Feit blijft dat het belachelijk is dat je afgerekend wordt op een studie, zeker als dat in jouw geval 20 jaar geleden is.

Tja, het gaat hier niet om solliciteren, maar om het verwerven van opdrachten. Ik ben consultant en tegenwoordig zelfstandig, dus dan moet ik goed rond-shoppen voor opdrachten. En het was echt zo naar dat er een hele coole PKI-klus was, waar ik perfect los kon gaan! Maar helaas "u komt niet in aanmerking", want geen WO-diploma.

Ik kom niet eens voorbij de filter van de werving.

[Voor 100% gewijzigd door Liegebeest op 01-10-2022 21:23]

[Zenix]

Liegebeest schreef op zaterdag 1 oktober 2022 @ 19:08:
Ik stoor me best wel aan vacatures die persé een WO-opleiding eisen. Klussen waar ik per-fect op zou passen gaan aan m'n neus voorbij omdat ik "maar" een HBO diploma en twintig jaar ervaring heb.

Nou was ik niet van plan om hier in NL een volle Masters te gaan doen, niet qua tijd, niet qua geld. Maar ik heb wel mooie dingen gehoord van kennissen (Discord en Reddit) over de programma's van WGU (Western Governors University).

https://www.wgu.edu/onlin...ance-masters-program.html

Het is volledig logisch dat we/men/iedereen sceptisch is over volledig-online programma's, maar deze lui hebben zowaar een goede naam. En gezien mijn huidige CV kan ik een enorm aantal klassen alvast afstrepen, op basis van mijn certificaten.

Alleen is het alleen maar voor USA, helaas. Ik heb er ook naar gekeken.

[Liegebeest]

Zenix schreef op zaterdag 1 oktober 2022 @ 21:23:
[...]

Alleen is het alleen maar voor USA, helaas. Ik heb er ook naar gekeken.

Ik heb binnenkort een belletje met één van hun enrollment counsellors. Ik las op hun site dat internationaal niet gebruikelijk, maar ook niet onmogelijk is.

[Orangelights23]

paella schreef op zaterdag 1 oktober 2022 @ 21:01:
[...]


Interessant! Kan je daar wat meer over vertellen?

Het is zo simpel als naar de website van een universiteit in Zweden gaan, aanmelden en je kunt beginnen. Veel is in het Engels en parttime, wel volgt het vaak een schoolrooster (starten in augustus). Ik heb een paar security modules gevolgd in Karlstad en Lund, bijvoorbeeld. Uiteindelijk zou ik er nog een paar moeten doen om een master te halen, maar dat boeit mij niet zo veel. Maar het is heel simpel, en er zitten aardig wat mensen uit andere landen van Europa. Overigens moet je er wel af en toe heen, maar als het vaker dan twee keer per jaar is, is dat al veel.

[paella]

Orangelights23 schreef op zaterdag 1 oktober 2022 @ 21:53:
[...]

Overigens moet je er wel af en toe heen, maar als het vaker dan twee keer per jaar is, is dat al veel.

Wij hebben een zweeds zusterbedrijf, dus wellicht kan ik iets regelen met mijn werkgever. Hier ga ik zeker verder naar kijken. Superdank voor de tip!

[Liegebeest]

Orangelights23 schreef op zaterdag 1 oktober 2022 @ 21:53:
[...]
Overigens moet je er wel af en toe heen, maar als het vaker dan twee keer per jaar is, is dat al veel.

Dat zit er voor mij dan weer niet in. Voor de rest een super-uitleg, dankjewel! Goede tip!

[xehexehex]

Goeie tip, maar eens op inlezen @Orangelights23

[Liegebeest]

Cross-post tussen deze thread en de freelancers thread, omdat ik in beide threads ervaringsdeskundigen verwacht.

Heeft iemand hier recente ervaringen met FireBrand, de opleidings-toko? Ik overweeg om met hen in zee te gaan als freelance trainer en ben erg benieuwd of het wel een beetje een reputabele club is.

Bij Springest komen ze nogal ruk uit de test, maar vooral omdat er maar twee reviews staan.

[basmq]

Liegebeest schreef op dinsdag 4 oktober 2022 @ 20:02:
Cross-post tussen deze thread en de freelancers thread, omdat ik in beide threads ervaringsdeskundigen verwacht.

Heeft iemand hier recente ervaringen met FireBrand, de opleidings-toko? Ik overweeg om met hen in zee te gaan als freelance trainer en ben erg benieuwd of het wel een beetje een reputabele club is.

Bij Springest komen ze nogal ruk uit de test, maar vooral omdat er maar twee reviews staan.

2 Collega's van mij hebben daar trainingen gevolgd en waren erg te spreken over hen.

[slashdev]

Kijk met een schuin oog naar https://divd.academy/

[Liegebeest]

slashdev schreef op dinsdag 4 oktober 2022 @ 22:08:
Kijk met een schuin oog naar https://divd.academy/

Ook een aardige tip Hoewel DIVD het voorlopig van vrijwilligers moet hebben geloof ik... Ik ga er nog eens naar kijken.

[Liegebeest]

basmq schreef op dinsdag 4 oktober 2022 @ 21:55:
[...]

2 Collega's van mij hebben daar trainingen gevolgd en waren erg te spreken over hen.

Super, bedankt voor je input!

[ChUcKiE]

Liegebeest schreef op dinsdag 4 oktober 2022 @ 20:02:
Cross-post tussen deze thread en de freelancers thread, omdat ik in beide threads ervaringsdeskundigen verwacht.

Heeft iemand hier recente ervaringen met FireBrand, de opleidings-toko? Ik overweeg om met hen in zee te gaan als freelance trainer en ben erg benieuwd of het wel een beetje een reputabele club is.

Bij Springest komen ze nogal ruk uit de test, maar vooral omdat er maar twee reviews staan.

Ik heb mijn CISSP en CCSP daar gevolgd (St. Michelsgestel) en daar was ik erg over te spreken! Zowel de trainers als zeker de locatie.
Het is een andere aanpak dan een standaard cursusdag van 9:00-16:00, omdat je daar noem het maar "intern" zit. lange volle dagen, daarna lekker eten, beetje huiswerk, chillen aan de bar of in het zwembad en 's morgens weer vroeg op voor de volgende dag.

Edit: zoals @ShadowBumble hieronder aangeeft het eigen gecertificeerde examen centrum is echt een pre, zodat je na je 5 dagen bootcamp direct je examen zou kunnen doen!!

[Voor 8% gewijzigd door ChUcKiE op 05-10-2022 08:46]

[ShadowBumble]

Liegebeest schreef op dinsdag 4 oktober 2022 @ 20:02:
Cross-post tussen deze thread en de freelancers thread, omdat ik in beide threads ervaringsdeskundigen verwacht.

Heeft iemand hier recente ervaringen met FireBrand, de opleidings-toko? Ik overweeg om met hen in zee te gaan als freelance trainer en ben erg benieuwd of het wel een beetje een reputabele club is.

Bij Springest komen ze nogal ruk uit de test, maar vooral omdat er maar twee reviews staan.

FireBrand is een prima organisatie, ik heb ook trainingen gedaan in Sint Michielsgestel. Top locatie goed georganiseerd en wat ik begreep van mijn instructeur (een Amerikaan die ik daarna nog voor 3 groepen heb laten terug vliegen om les aan te geven) gaan ze prima met hun Instructeurs om.

Daarnaast is het een hele fijne locatie omdat ze daar direct een (eigen! gecertificeerd) examen centrum hebben zitten.

Ervaring van mij als student is in ieder geval zeer positief.

[Liegebeest]

Dankjulliewel allemaal! Dat zijn goede verhalen! Mooie stof tot nadenken!

[ramon42]

Voor de liefhebbers, Comptia CySA+ gaat in Beta waarop ingeschreven kan worden voor een gunstig prijsje, namelijk 45 euro.

[paella]

ramon42 schreef op donderdag 6 oktober 2022 @ 13:28:
Voor de liefhebbers, Comptia CySA+ gaat in Beta waarop ingeschreven kan worden voor een gunstig prijsje, namelijk 45 euro.

Zeker een aanrader! Heb m zelf vorige keer in beta gedaan. Leuk examen.

[Liegebeest]

ramon42 schreef op donderdag 6 oktober 2022 @ 13:28:
Voor de liefhebbers, Comptia CySA+ gaat in Beta waarop ingeschreven kan worden voor een gunstig prijsje, namelijk 45 euro.

Oh shit, is het weer zover! Ik ga'm doen!

Ha, normaal heb ik't eerder gezien dan de rest. Super dat je me voor bent!

EDIT:
Zondagochtend, 07:45.

[Voor 5% gewijzigd door Liegebeest op 06-10-2022 16:17]

[ralpje]

Op zoek naar input
Als freelancer werk ik met name in de Microsoft hoek. Een deel Azure, een deel Modern Workplace. Daarnaast ben ik Microsoft trainer.
Ik wil graag wat meer 'hands on' met security gaan doen. Ik heb al de nodige MS certs op security gebied (SC-300, SC-200, MS-500, AZ-500), maar zoek dus iets buiten m'n comfortzone.
Ik lees over dingen als CEH, OSCP, etc.... Maar wat is nu de beste start?
Ik ga al een jaartje of twintig mee in de IT, heb dus redelijk wat startkennis, maar niet direct 'offensive' vlak.

Ik zoek dus wel concreet iets op technisch toegepast gebied, niet de 'papieren' kant.

Wat is een goed punt om te starten, een cert wat ook in de praktijk goed bekend staat én waar ik gewoon even lekker buiten m'n comfortzone veel shit kan leren?

[paella]

Ik heb net SANS SEC504 training achter de rug. Alhoewel het als defensief in de boeken staat, leer je hoe hackers te werk gaan en ik heb de hele week genoten en veel geleerd. het is wel een hele dure cursus alleen...

[Liegebeest]

ralpje schreef op zaterdag 8 oktober 2022 @ 16:46:

Ik wil graag wat meer 'hands on' met security gaan doen. Ik heb al de nodige MS certs op security gebied (SC-300, SC-200, MS-500, AZ-500), maar zoek dus iets buiten m'n comfortzone.
Ik lees over dingen als CEH, OSCP, etc.... Maar wat is nu de beste start?
Ik ga al een jaartje of twintig mee in de IT, heb dus redelijk wat startkennis, maar niet direct 'offensive' vlak.

Ik zoek dus wel concreet iets op technisch toegepast gebied, niet de 'papieren' kant.

Ik wilde gaan zeggen: het is volledig afhankelijk van de kant die je op wilt, maar dat geef je best duidelijk zelf aan: technisch en offensief.

Mijn persoonlijke meningen en ervaringen:

• CEH en eigenlijk heel ECC blijf ik voortaan bij weg, die lui geef ik geen geld meer vanuit ethische overwegingen. CEH heeft een goede naamsbekendheid voor je CV, maar technisch inhoudelijk vond ik het een stuk minder.
• OSCP is een pittige start, heeft HR-technisch een kleinere bekendheid, maar is onder de werkelijke techneuten bekend als een goede, stevige instap.
• SANS is peperduur, maar is die prijs voor de kwaliteit ook zeker waard. Ze hebben een enorme keuze aan degelijke opleidingen.
• CompTIA Pentest+ en CySA+ zijn multiple choice examens met een degelijk curriculum. Kleine naamsbekendheid in de EU, goede lesstof voor een instapper. CySA+ is tevens sinds deze week voor $50 te doen, als beta-test voor de volgende versie van examen.
• Er zijn een heleboel hele goede, kleine aanbieders van trainingen waar onder INE (voorheen eLearnSec), Pentester Academy (PTA) en TCM (The Cyber Mentor). Die zijn in meer en mindere mate hands-on en aanbevolen.
• Black Hills InfoSec en hun Antisyphon organisatie bieden uitstekende trainingen voor zeer betaalbare prijzen. Ik heb zelf "Advanced webapp pentesting, with B.B. King" gedaan en die was top.