IT Security Certificeringen

[Stufferdt]

Stufferdt schreef op dinsdag 3 oktober 2023 @ 15:41:
Daarnaast donderdag examen voor CCSP staan. Druk aan het oefenen met de oefenvragen via ISC2 zelf (app.efficientlearning.com). Merk dat ik langzamer door de vragen moet (gemiddeld tempo; 3 per minuut) en wat grondiger moet lezen.

Vanmorgen examen gedaan. Onderweg is er nog iemand achterop gereden en had wat file dus voorbereiding was niet ideaal.

Om 9.45 begonnen en ik was om 11.35 klaar. Had in totaal 240 minuten de tjjd dus heb minder dan de helft gebruikt. Gevoel was waardeloos. Tijdens het examen me meerdere keren afgevraagd wanneer m’n examen zou worden afgekapt. Uiteindelijk wel (edit: 150 ipv 250) vragen beantwoord.

Veel onderwerpen die niet terugkwamen en enkele die ik niet kende (wss door vorige versie van het boek gebruiken om te leren ) en enkele vragen waar ik geen idee had.

De man bij de receptie van de testlocatie had geen resultaat voor me (aldus collega’s is dat normaal wel zo bij ISC2?) dus daar was ik wel teleurgesteld over. Kwam gelukkig eindelijk middag een mailtje in m’n junkmail tegen.

Resultaat: gefeliciteerd, you passed!

Dus nu gaan endorsen en pronken met een nieuwe sticker

[Scoro]

Stufferdt schreef op donderdag 5 oktober 2023 @ 19:31:
[...]


Vanmorgen examen gedaan. Onderweg is er nog iemand achterop gereden en had wat file dus voorbereiding was niet ideaal.

Om 9.45 begonnen en ik was om 11.35 klaar. Had in totaal 240 minuten de tjjd dus heb minder dan de helft gebruikt. Gevoel was waardeloos. Tijdens het examen me meerdere keren afgevraagd wanneer m’n examen zou worden afgekapt. Uiteindelijk wel 250 vragen beantwoord.

Veel onderwerpen die niet terugkwamen en enkele die ik niet kende (wss door vorige versie van het boek gebruiken om te leren ) en enkele vragen waar ik geen idee had.

De man bij de receptie van de testlocatie had geen resultaat voor me (aldus collega’s is dat normaal wel zo bij ISC2?) dus daar was ik wel teleurgesteld over. Kwam gelukkig eindelijk middag een mailtje in m’n junkmail tegen.

Resultaat: gefeliciteerd, you passed!

Dus nu gaan endorsen en pronken met een nieuwe sticker

Gefeliciteerd!

Is trouwens standaard gevoel bij ISC2 en ISACA examens.
Van de 4 vragen zijn er 2 duidelijk fout. Maar welke van de andere 2 is dan het minst slechtste antwoord...

[Liegebeest]

BytePhantomX schreef op woensdag 4 oktober 2023 @ 22:17:
[...]

Met regelmaat presentaties, korte en langere trainingen gegeven. Je kunt wat zoeken op didactische vaardigheden en hoe je lesmateriaal maakt. Vaak starten met leerdoelen, inhoud en dan weer samenvatten. Dat soort dingen.

CompTIA hadden daar hun CTT+ curriculum voor! Om eerlijk te zijn was't echt geen slecht vakkenpakket en het was genoeg om een techie meer te leren over lesgeven.

Jammer dat ze het examen uit hun aanbod verwijderen. Maar je kan er vast nog het oude boek van vinden! Ik weet dat ie op Oreilly Online beschikbaar was (is?).

[Liegebeest]

BytePhantomX schreef op woensdag 4 oktober 2023 @ 22:21:
[...]
CISSP CBK boek kopen. Daar staat alle stof in. En wil je training, dan kun je ook op iets als Pluralsight kijken.

Persoonlijk blijf ik weg bij de officiële CBK boeken van ISC2. Ooit heb ik er eentje gehad, die was gortdroog.

[Skywalker27]

DIe van CISSP omg wat een pil gelukkig kreeg je bij vijf hart een dunner boek er bij wat de samenvatting blijkt te zijn

[Stufferdt]

Skywalker27 schreef op maandag 9 oktober 2023 @ 08:05:
DIe van CISSP omg wat een pil gelukkig kreeg je bij vijf hart een dunner boek er bij wat de samenvatting blijkt te zijn

Heb je een link/ISBN code toevallig van dat boek?
Morgen dag 2/10 van de training via Security Academy maar de Official Study Guide met 1000ish pagina's motiveert niet inderdaad. Vond CCSP al taai en dat boek zijn er 250?....

[MiTM]

Ik wil binnenkort het ISACA CISA examen gaan doen. Iemand nog tips voor welk materiaal te lezen of video's te bekijken?

[ShadowBumble]

Liegebeest schreef op zondag 8 oktober 2023 @ 21:09:
[...]

Persoonlijk blijf ik weg bij de officiële CBK boeken van ISC2. Ooit heb ik er eentje gehad, die was gortdroog.

Dit, ik gebruikte altijd de Shon Harris boeken. Ook daar was het een hoop taaie kost maar het was in ieder geval logisch in verhaal vorm opgeschreven in plaats van heel staccato per begrip in de cbk boeken

[Skywalker27]

Stufferdt schreef op maandag 9 oktober 2023 @ 09:14:
[...]


Heb je een link/ISBN code toevallig van dat boek?
Morgen dag 2/10 van de training via Security Academy maar de Official Study Guide met 1000ish pagina's motiveert niet inderdaad. Vond CCSP al taai en dat boek zijn er 250?....

Oei das een leuke weet ik niet uit mijn hoofd maar ik zit net deze week in Zweden op het hoofdkantoor. Zodra ik thuis ben laat ik het je weten maar dat is dan misschien net te laat voor jou?


ISBN 978-0-12-802437-9 CISSP Study Guide

[ Voor 4% gewijzigd door Skywalker27 op 16-10-2023 14:28 ]

[Stufferdt]

Skywalker27 schreef op woensdag 11 oktober 2023 @ 07:31:
[...]


Oei das een leuke weet ik niet uit mijn hoofd maar ik zit net deze week in Zweden op het hoofdkantoor. Zodra ik thuis ben laat ik het je weten maar dat is dan misschien net te laat voor jou?

Neehoor zeker niet! Maar des te eerder hoe beter natuurlijk.

Net voor Kerst mock-examen en afsluiting van de training. Eerste twee hoofdstukken (risk en asset management) nu gehad qua training en die geloof ik wel qua inhoud. Nu een weekje geen training, dus pas over 2 weken het volgende onderwerp.

Wou examen voor eind januari in gaan plannen, dan heb ik nog een maand na afloop training om alles verder te stampen en te oefenen.

[Liegebeest]

ShadowBumble schreef op maandag 9 oktober 2023 @ 13:48:
[...]


Dit, ik gebruikte altijd de Shon Harris boeken. Ook daar was het een hoop taaie kost maar het was in ieder geval logisch in verhaal vorm opgeschreven in plaats van heel staccato per begrip in de cbk boeken

Dat! Het boek van wijlen Shon Harris was uitstekend, helemaal omdat je er ook video-uitleg bij kreeg, en meer. Die uitgeverij maakte echt een goed product. Ik hoop dat ze twaalf jaar later nog net zo goed zijn.

[revolution-nl]

Ik steek ook even mijn licht op

Inmiddels ben ik alweer +5 jaar actief in de combinatie rol Security Consultant /Security Officer. Graag zou ik deze ervaring willen bezegelen met een CCISO certificering.

Leren uit boeken is nooit mijn ding geweest. ik ben dus opzoek naar een pragmatische meerdaagse klassikale trainingen incl. examen (garantie). Ik besef mij dat zelfsstudie onderdeel is van een dergelijk traject en dat is inprincipe ook geen probleem.

Wie heeft ervaring met aanbieders? Kwaliteit gaat boven prijs.

[ Voor 7% gewijzigd door revolution-nl op 06-11-2023 22:02 ]

[Metzie]

revolution-nl schreef op maandag 6 november 2023 @ 21:19:
Wie heeft ervaring met aanbieders? Kwaliteit gaat boven prijs.

Ik heb goede ervaring met TSTC. Niet voor C/CISO maar wel voor PECB 27001 en 27005. De docenten die ik had waren in het dagelijks leven ZZP security consultant en gaven een paar keer per jaar training, daardoor konden ze veel vertellen over de praktijk.

Ik hoor ook wel goede ervaringen over Security Academy Woerden, alleen heb ik daar zelf niet direct ervaring mee. Een oud ISO van mijn werkgever werkt daar als docent.

[Stufferdt]

Metzie schreef op dinsdag 7 november 2023 @ 17:22:
[...]


Ik heb goede ervaring met TSTC. Niet voor C/CISO maar wel voor PECB 27001 en 27005. De docenten die ik had waren in het dagelijks leven ZZP security consultant en gaven een paar keer per jaar training, daardoor konden ze veel vertellen over de praktijk.

Ik hoor ook wel goede ervaringen over Security Academy Woerden, alleen heb ik daar zelf niet direct ervaring mee. Een oud ISO van mijn werkgever werkt daar als docent.

Ik ben momenteel bezig met CISSP via Security Academy. Niveau van de docenten is tot nu toe (zeer) goed. Zijn inderdaad mensen uit de praktijk ook (staan op de site, je kan ze allemaal bekijken en wat ze geven).

TSTC heb ik CIPP/e gedaan, hier ook een top docent.

[peak]

Orangelights23 schreef op maandag 27 februari 2023 @ 13:12:
[...]


Het zal in de praktijk heel erg meevallen. De voornaamste focus van NIS2 zijn risico management, incident management en BCP. De richtlijnen zijn zo breed en generiek opgeschreven, dat het niet heel lastig zal zijn om te voldoen aan de nieuwe wetgeving.

Ik heb met een paar CISO's NIS2 al bestudeerd en samen GAP analyses uitgevoerd binnen onze organisaties. Grootste leerpunt is dat ISO27001 gecertificeerd zijn al betekent dat er weinig extra benodigd is om te voldoen. Voor de freelancers hier, ga snel ISO27001 Lead Implementer volgen

Ik zoek mij suf naar enkel het examen voor lead implementer te doen zonder de cursus.

Ik zit al 10+ jaar in het vak en ik vind het volgen van een curses zonde van tijd en geld. Wil enkel het examen doen.

Ik zie dat APMG de lead auditor examen biedt maar niet de lead implementer.
en als ik op Exin kijk dan gebruiken ze weer andere termen "Professional" "Expert" maar geen duidelijke verwijzing van welke nou te vergelijken is met lead implementer.

Bij PECB geven ze enkel trainingen.

Waarom is het voor mijn gevoel zo verwarrend en kan ik geen examen centrum zoals PearsonVue, GlobalKnowledge of welk ander exam centrum vinden waar je enkel het examen kunt boeken?

[Orangelights23]

peak schreef op woensdag 8 november 2023 @ 10:33:
[...]


Ik zoek mij suf naar enkel het examen voor lead implementer te doen zonder de cursus.

Ik zit al 10+ jaar in het vak en ik vind het volgen van een curses zonde van tijd en geld. Wil enkel het examen doen.

Ik zie dat APMG de lead auditor examen biedt maar niet de lead implementer.
en als ik op Exin kijk dan gebruiken ze weer andere termen "Professional" "Expert" maar geen duidelijke verwijzing van welke nou te vergelijken is met lead implementer.

Bij PECB geven ze enkel trainingen.

Waarom is het voor mijn gevoel zo verwarrend en kan ik geen examen centrum zoals PearsonVue, GlobalKnowledge of welk ander exam centrum vinden waar je enkel het examen kunt boeken?

Dit is een perfect voorbeeld van de certificatie industrie

Je kunt altijd even bellen. Zij verdienen het meest aan de trainingen en niet zo veel aan het examen zelf, maar het is inderdaad zonde van je tijd en geld als je de kennis al beschikt.

[peak]

Orangelights23 schreef op woensdag 8 november 2023 @ 10:39:
[...]


Dit is een perfect voorbeeld van de certificatie industrie

Je kunt altijd even bellen. Zij verdienen het meest aan de trainingen en niet zo veel aan het examen zelf, maar het is inderdaad zonde van je tijd en geld als je de kennis al beschikt.

Ja sommige maken er een sport van om het vaag te houden zodat er veel geld verdiend kan worden.

Wat ik nu ontdekt heb is dat als je het examen alleen wilt doen bij PECB dat het 1000 USD kost. (even een My PECB account aanmaken en dan kan je inschrijven voor het examen)

Echter zie ik dat Global Knowledge en andere partners een e-learning aanbieden voor 1085 euro waarbij het examen inbegrepen zit en een herkansing van het examen.

Feitje, ze maken allemaal gebruik van dezelfde online e-learning omgeving (KATE) van PECB zelf...

Dus ik denk dat het e-learning kopen wordt

[Liegebeest]

Members only: goedkope vouchers

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

[ Voor 3% gewijzigd door Liegebeest op 02-12-2023 13:09 ]

[CyberGuardian]

Liegebeest schreef op vrijdag 1 december 2023 @ 20:59:

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

Liegebeest..

Ontopic: vandaag eerste cybersecurity certificaat behaald, SSCP. Ben er enorm blij mee, volgende stap is het CISSP certificaat.

[Liegebeest]

CyberGuardian schreef op vrijdag 1 december 2023 @ 21:24:
[...]


Liegebeest..

Ontopic: vandaag eerste cybersecurity certificaat behaald, SSCP. Ben er enorm blij mee, volgende stap is het CISSP certificaat.

Van harte! Goed werk joh!

En nee, geen woord aan gelogen Bijna de volledige 20% korting geef ik door.

[Capo]

Proficiat met CISSP!

En mooi aanbid Liegebeest.


Ben zelf bezig met CISM. Q1 2024 examen doen.

[ Voor 20% gewijzigd door Capo op 01-12-2023 21:38 ]

[ChUcKiE]

Om mijn CISO rol in volwassenheid te groeien denk ik aan de volgende cursus:

https://www.securityacade...curity-management-expert/

Iemand hier bekend mee? Security Academy vind ik op zich een fijne organisatie. Trainingen " in het Nederlands" gegeven vind ik toch wel prettig en deze is dat ook, ondanks engels cursusmateriaal en examen....

[Liegebeest]

ChUcKiE schreef op vrijdag 1 december 2023 @ 22:44:
https://www.securityacade...curity-management-expert/

Iemand hier bekend mee?

Dat is d'r weer zo eentje van "SECO Institute".

Ik heb die naam al eens eerder voorbij zien komen, maar ik kan me eerlijk geen beeld van dat "instituut" vormen. Ik heb hun naam nooit echt gehoord als een gewaardeerde partij. Maar, dat kan er heel goed aan liggen dat ik niet genoeg netwerk en niet genoeg om me heen kijk.

https://www.seco-institute.org

Naar eigen zeggen zijn ze een "leading" partij op de Europese markt, op het gebied van security certificeringen. Zoek ik online, dan zie ik ze eigenlijk vooral opkomen bij aanbieders van trainingen... Kleine partijen, maar ook Global Knowledge en Firebrand.

Tja, als GloKno en Firebrand er mee in zee gaan, dan zou het op zijn minst geen rommel moeten zijn.

Ik ben ook benieuwd of er iemand ervaring mee heeft.

EDIT:
Het is jammer dat je bij Credly niet op kan vragen hoe veel mensen zo'n badge hebben gehaald.

https://www.credly.com/organizations/seco-institute/badges

[ Voor 7% gewijzigd door Liegebeest op 01-12-2023 23:03 ]

[Scoro]

Liegebeest schreef op vrijdag 1 december 2023 @ 23:00:
[...]

Dat is d'r weer zo eentje van "SECO Institute".

SECO-Institute came to existence in 2008 when the Security Academy Netherlands started to develop certification courses in Security and Business Continuity. Security Academy started to develop an internationally recognised Cyber Security & Governance Certification Program.

In 2016, the Security Academy decided to focus on educational activities and transferred the complete courseware development process to the SECO-Institute.
Zie ook https://www.seco-institute.org/about-seco-institute/.

Van wat ik me kan herinneren een poging tot een Europese tegenhanger van ISACA/ISC2 met eigen focus en model erachter.

Verder heb ik geen kennis en ervaring met de stof /club.

ChUcKiE schreef op vrijdag 1 december 2023 @ 22:44:
Om mijn CISO rol in volwassenheid te groeien denk ik aan de volgende cursus:

https://www.securityacade...curity-management-expert/

Wat zoek je of eigenlijk op welk niveau zit je nu? Want zoek je CISO Security kennis in techniek of governance of managerial? C-level/Board kennis?

[Liegebeest]

Scoro schreef op zaterdag 2 december 2023 @ 00:39:
[...]
Security Academy started to develop an internationally recognised Cyber Security & Governance Certification Program.

Het vervelende is dat ze nooit zeggen "internationally recognised by whom??".

Het komt voor mij altijd over als "wij van WC Eend". Waar is je bewijs-van-waarde, SECO?

[SecHyg]

ChUcKiE schreef op vrijdag 1 december 2023 @ 22:44:
Om mijn CISO rol in volwassenheid te groeien denk ik aan de volgende cursus:

https://www.securityacade...curity-management-expert/

Iemand hier bekend mee? Security Academy vind ik op zich een fijne organisatie. Trainingen " in het Nederlands" gegeven vind ik toch wel prettig en deze is dat ook, ondanks engels cursusmateriaal en examen....

Hi ChUcKiE,

Ik zat zelf te kijken naar de C|CISO training van ec-council.
https://www.eccouncil.org...n-security-officer-cciso/
Ken je deze en waarom zou jouw voorkeur gaan naar de ISME?

[Orangelights23]

SecHyg schreef op zondag 3 december 2023 @ 09:14:
[...]


Hi ChUcKiE,

Ik zat zelf te kijken naar de C|CISO training van ec-council.
https://www.eccouncil.org...n-security-officer-cciso/
Ken je deze en waarom zou jouw voorkeur gaan naar de ISME?

Ik heb die training een paar jaar geleden gevolgd, maar ik heb niet echt nieuwe dingen geleerd. De meeste dingen leer je door het zelf mee te maken of andere trainingen, zoals leiderschap, diplomatiek en management.

Het ligt natuurlijk wel aan het type CISO wat je bent/wilt worden. Veel organisaties hebben een CISO welke eigenlijk operationeel bezig is, rapporteert aan een CFO/CTO en bijvoorbeeld een ISMS beheert. Dat noem ik niet echt een CISO, maar ik merk dat juist naar die kennis vraag is. Dan zit je te denken aan certificaten zoals CISA, CISM, CRISC, etc. Als je een grote security afdeling leidt en echt in het C-level acteert, is CCISO niet heel relevant. Dan zit ik eerder aan een MBA te denken op dat niveau.

[ChUcKiE]

Orangelights23 schreef op zondag 3 december 2023 @ 14:16:
[...]


Ik heb die training een paar jaar geleden gevolgd, maar ik heb niet echt nieuwe dingen geleerd. De meeste dingen leer je door het zelf mee te maken of andere trainingen, zoals leiderschap, diplomatiek en management.

Het ligt natuurlijk wel aan het type CISO wat je bent/wilt worden. Veel organisaties hebben een CISO welke eigenlijk operationeel bezig is, rapporteert aan een CFO/CTO en bijvoorbeeld een ISMS beheert. Dat noem ik niet echt een CISO, maar ik merk dat juist naar die kennis vraag is. Dan zit je te denken aan certificaten zoals CISA, CISM, CRISC, etc. Als je een grote security afdeling leidt en echt in het C-level acteert, is CCISO niet heel relevant. Dan zit ik eerder aan een MBA te denken op dat niveau.

Ik werk bij een grote zorginstelling en ben daar CISO. We zijn het ISMS aan het ontwikkelen en hebben de ambitie om in Q2 2024 te gaan certificeren op NEN7510. Mijn CISO rol staat nog in de kinderschoenen maar zal wel gaan groeien. We hebben geen security afdeling maar werken met security partners om ons heen (we zijn een regie organisatie).
Ik kom uit de technische hoek, heb daar ook wel wat certificeringen gehaald op IB gebied (CISSP, CCSP en Lead Implementer ISO27001).

Op linkedin zag ik een collega CISO (van een andere grote zorginstelling) dat hij de ISME opleiding gevolgd had. Ik heb daar de vraag ook uit staan hoe deze opleiding bevallen is en wat het hem zal gaan brengen.

[ Voor 3% gewijzigd door ChUcKiE op 04-12-2023 09:16 ]

[Panini]

Dit is wellicht leuk voor de mensen in dit topic: https://tryhackme.com/r/christmas

De Cyber advent kalender van TryHackme staat weer online. Elke dag een kleine security/hack uitdaging waar je ook leuke prijzen mee kan winnen. Voor sommige misschien kennis die zij al hebben, maar voor veel misschien ook een leuke kennismaking met dit vakgebied in cybersecurity.

[SecHyg]

ChUcKiE schreef op maandag 4 december 2023 @ 09:15:
[...]


Ik werk bij een grote zorginstelling en ben daar CISO. We zijn het ISMS aan het ontwikkelen en hebben de ambitie om in Q2 2024 te gaan certificeren op NEN7510. Mijn CISO rol staat nog in de kinderschoenen maar zal wel gaan groeien. We hebben geen security afdeling maar werken met security partners om ons heen (we zijn een regie organisatie).
Ik kom uit de technische hoek, heb daar ook wel wat certificeringen gehaald op IB gebied (CISSP, CCSP en Lead Implementer ISO27001).

Op linkedin zag ik een collega CISO (van een andere grote zorginstelling) dat hij de ISME opleiding gevolgd had. Ik heb daar de vraag ook uit staan hoe deze opleiding bevallen is en wat het hem zal gaan brengen.

Hi ChUcKiE, Orangelights23,

Dank jullie voor de info.
Ik ben CISSP gecertificeerd, momenteel CCSP met zelfstudie aan het doen.
Middenin ISO27001 certificering traject en om die reden met werkgever aan het kijken voor eventueel een ISO27001 lead auditor training met examen.
Ik kom zelf ook uit de techniek en vanuit CERT/SOC lead naar Security Officer functie gegaan. In een volledige regie organisatie aan het orienteren welke training / opleiding het beste past. Techniek blijft voor mij aantrekkelijk, wil er alleen niet meer de hele dag mee bezig zijn en partners kunnen dat beter met meer continuiteit.
@Orangelights23, jij verwoord precies wat ik al dacht, op papier leuk maar niet de toegevoegde waarde die ik zoek op C-Level.

In die zoektocht kom ik op uitbreidingen op CISSP als ISSMP (Information Systems Security Management Professional) en ISSAP (Information Systems Security Architecture Professional)

Omdat een CISO functie niet uitgesloten is zat ik ook aan NOVI te denken (https://www.novi.nl/cyber-security/) maar of ik een 4 jaar durende opleiding wil doen weet ik niet.

Ik ga mij verdiepen in de S-ISME en de S-CISO opleiding.

[ShadowBumble]

Panini schreef op maandag 4 december 2023 @ 10:18:
Dit is wellicht leuk voor de mensen in dit topic: https://tryhackme.com/r/christmas

De Cyber advent kalender van TryHackme staat weer online. Elke dag een kleine security/hack uitdaging waar je ook leuke prijzen mee kan winnen. Voor sommige misschien kennis die zij al hebben, maar voor veel misschien ook een leuke kennismaking met dit vakgebied in cybersecurity.

Deze is wel vermakelijk net zoals de SANS Holiday Hack 2023 meestal doe ik ze beide wel Ik hoop ooit nog eens een van de KirngleCon coins te bemachtigen voor mijn collectie.

SecHyg schreef op maandag 4 december 2023 @ 11:23:
[...]

In die zoektocht kom ik op uitbreidingen op CISSP als ISSMP (Information Systems Security Management Professional) en ISSAP (Information Systems Security Architecture Professional)

Ikzelf ben nooit zo gecharmeerd geweest van de "concentrations" van ISC2, op de een of andere manier vond ik ze destijds relatief weinig toevoegen. Ikzelf zou dan ook eens gaan kijken naar CISM, waar je bij CISSP echt een adviserus rol aanneemt, trek je bij CISM zelf veel meer de management hoek in hoe je zo'n Cyber programma uitvoerd/opzet en wat daarbij komt kijken.

Wat misschien ook wel handig is is om voor jezelf duidelijk te maken welke kant je op wilt, Security Officer zegt tegenwoordig niet zoveel meer omdat de rol op veel manieren ingevuld kan worden. (Compliance, Policy, Technologie) Architectuur hoort mijn inziens niet bij de rol maar om eerlijk te zijn, ik heb ook zo'n Rol en mijn focus ligt op Architectuur (Business & Technology (TOGAF) ), Strategie en indepth tech. (Offensief, Defensief & Intelligence)

Dus het is maar net waar je organisatie opstuurt, kwa functie titel zegt het in ieder geval niet veel wat mij betreft

[Panini]

ShadowBumble schreef op maandag 4 december 2023 @ 14:21:
[...]


Deze is wel vermakelijk net zoals de SANS Holiday Hack 2023 meestal doe ik ze beide wel Ik hoop ooit nog eens een van de KirngleCon coins te bemachtigen voor mijn collectie.

Die kende ik nog niet en gaat gelijk op het lijstje . Vorig jaar voor het eerst de TryHackme advent kalender gedaan en het was zeker vermakelijk. Luchtig aangepakt met wat droge comics erbij en erg duidelijke info over de opdrachten.

[ChUcKiE]

ShadowBumble schreef op maandag 4 december 2023 @ 14:21:
[...]
Ikzelf ben nooit zo gecharmeerd geweest van de "concentrations" van ISC2, op de een of andere manier vond ik ze destijds relatief weinig toevoegen. Ikzelf zou dan ook eens gaan kijken naar CISM, waar je bij CISSP echt een adviserus rol aanneemt, trek je bij CISM zelf veel meer de management hoek in hoe je zo'n Cyber programma uitvoerd/opzet en wat daarbij komt kijken.

Wat misschien ook wel handig is is om voor jezelf duidelijk te maken welke kant je op wilt, Security Officer zegt tegenwoordig niet zoveel meer omdat de rol op veel manieren ingevuld kan worden. (Compliance, Policy, Technologie) Architectuur hoort mijn inziens niet bij de rol maar om eerlijk te zijn, ik heb ook zo'n Rol en mijn focus ligt op Architectuur (Business & Technology (TOGAF) ), Strategie en indepth tech. (Offensief, Defensief & Intelligence)

Dus het is maar net waar je organisatie opstuurt, kwa functie titel zegt het in ieder geval niet veel wat mij betreft

Ik heb eerlijk gezegd ook gekeken naar ISC2 (HCISSP of CGRC), maar ik bemerk dat deze veelal Amerikaans georiënteerde opleidingen steeds minder aansluiten voor mijn organisatie (Nederlandse zorgorganisatie). Ja de certificaten staan leuk op je CV, maar dat is het dan ook. Als ik de Exam Outline lees is er toch erg veel inhoud die niet of nauwelijks aansluit.

[ Voor 8% gewijzigd door ChUcKiE op 04-12-2023 14:41 ]

[BytePhantomX]

ChUcKiE schreef op maandag 4 december 2023 @ 09:15:
[...]


Ik werk bij een grote zorginstelling en ben daar CISO. We zijn het ISMS aan het ontwikkelen en hebben de ambitie om in Q2 2024 te gaan certificeren op NEN7510. Mijn CISO rol staat nog in de kinderschoenen maar zal wel gaan groeien. We hebben geen security afdeling maar werken met security partners om ons heen (we zijn een regie organisatie).
Ik kom uit de technische hoek, heb daar ook wel wat certificeringen gehaald op IB gebied (CISSP, CCSP en Lead Implementer ISO27001).

Op linkedin zag ik een collega CISO (van een andere grote zorginstelling) dat hij de ISME opleiding gevolgd had. Ik heb daar de vraag ook uit staan hoe deze opleiding bevallen is en wat het hem zal gaan brengen.

Als ik het zo lees zit het security deel wel goed. Je zit zo te lezen op een uitdagende positie, regie organisatie, NEN7510 willen halen, ook nog echt secure blijven en zeer waarschijnlijk tegen een heel beperkt budget. En een gemiddeld ziekenhuis kennende hebben ze jou ook ergens vijf lagen onder de directie geplaatst.

Persoonlijk zou ik misschien eerder richting het verbeteren van skills gaan. Bijvoorbeeld hoe presenteer je effectief bij een board of een directie, op basis waarvan stel je prioriteiten en communicatieve vaardigheden. Een beetje een basistraing consultancy in McKinsey stijl. Misschien kun je dat allemaal al heel goed, maar dit baseer ik gemakshalve even op het feit dat je een tehcnische achtergrond hebt.

Waarom dit advies? Ik merk zelf dat hoe meer security kennis ik opdoe, hoe meer ik besef hoe genuanceerd alles is en hoe uitdagender het wordt om dit over te dragen aan mensen die die kennis niet hebben. En bijvoorbeeld netwerksegmentatie aan een board verkopen doe je niet met meer secrurity kennis, maar met presentatie skills. Het zou mooi zijn als het anders is, maar dat is helaas niet mijn ervaring.

[ Voor 17% gewijzigd door BytePhantomX op 04-12-2023 14:49 ]

[ChUcKiE]

BytePhantomX schreef op maandag 4 december 2023 @ 14:43:
[...]


Als ik het zo lees zit het security deel wel goed. Je zit zo te lezen op een uitdagende positie, regie organisatie, NEN7510 willen halen, ook nog echt secure blijven en zeer waarschijnlijk tegen een heel beperkt budget. En een gemiddeld ziekenhuis kennende hebben ze jou ook ergens vijf lagen onder de directie geplaatst.

Persoonlijk zou ik misschien eerder richting het verbeteren van skills gaan. Bijvoorbeeld hoe presenteer je effectief bij een board of een directie, op basis waarvan stel je prioriteiten en communicatieve vaardigheden. Een beetje een basistraing consultancy in McKinsey stijl. Misschien kun je dat allemaal al heel goed, maar dit baseer ik gemakshalve even op het feit dat je een tehcnische achtergrond hebt.

Waarom dit advies? Ik merk zelf dat hoe meer security kennis ik opdoe, hoe meer ik besef hoe genuanceerd alles is en hoe uitdagender het wordt om dit over te dragen aan mensen die die kennis niet hebben. En bijvoorbeeld netwerksegmentatie aan een board verkopen doe je niet met meer secrurity kennis, maar met presentatie skills. Het zou mooi zijn als het anders is, maar dat is helaas niet mijn ervaring.

Ja daar zit wel wat in ja, ik dacht middels die S-ISME training of bijvoorbeeld CISO Masterclass https://cisomasterclass.nl/ dat daar ook de softskills goed aan de beurt komen. En daarmee meteen in de juiste context geplaatst

[ShadowBumble]

ChUcKiE schreef op maandag 4 december 2023 @ 14:40:
[...]


Ik heb eerlijk gezegd ook gekeken naar ISC2 (HCISSP of CGRC), maar ik bemerk dat deze veelal Amerikaans georiënteerde opleidingen steeds minder aansluiten voor mijn organisatie (Nederlandse zorgorganisatie). Ja de certificaten staan leuk op je CV, maar dat is het dan ook. Als ik de Exam Outline lees is er toch erg veel inhoud die niet of nauwelijks aansluit.

Dat geloof ik direct inderdaad, de structuur en opbouw daar is ook volledig anders ( de verantwoordingen ook ). Als je ook kijkt naar bijvoorbeeld een HCISSP die is ook heel erg gericht op de US regelgeving. Dat kan natuurlijk ook niet anders immers is dat een volledig andere zorg maatschappij dan die van ons. Zeker als je kijkt naar verantwoording en het risico op fouten.

Daar liep ik iets minder tegen aan met de CISSP concentrations, maar ik vond de toegevoegde waarde op CISSP zelf gewoon erg laag. Je krijgt relatief weinig terug voor de investering in tijd (en geld) die je erin doet.

[BytePhantomX]

ChUcKiE schreef op maandag 4 december 2023 @ 14:53:
[...]


Ja daar zit wel wat in ja, ik dacht middels die S-ISME training of bijvoorbeeld CISO Masterclass https://cisomasterclass.nl/ dat daar ook de softskills goed aan de beurt komen. En daarmee meteen in de juiste context geplaatst

De website ziet er een beetje gedateerd uit, maar aanpak is wel verfrissend.

[Stufferdt]

Morgen nog een proefexamen met erna doorlopen vragen etc met een docent en dan ben ik klaar met 10 dagen CISSP-cursus. Veel geleerd, maar merk dat ik de stof onvoldoende heb bijgehouden. Mis echt nog wel details ook uit het boek (nog niet alles gelezen...).

Nu zie ik dat je op dit moment bij ISC2 een goedkopere herkansing kan bijkopen (200 dollar ipv regulier 749). Alleen twijfel ik of ik het al ga doen. Werkgever betaalt de eerste poging, eventuele herkansingen moet ik zelf betalen. Trackrecord is tot nu toe om gewoon alles in 1x te halen, maar vraag het me bij CISSP af. Muntje moet toch een beetje de juiste kant op vallen

Purchase your exam with Peace of Mind Protection below and get the assurance of a second sitting, if needed — when purchased by December 20.

Here's how it works:

Purchase your exam voucher from ISC2 with Peace of Mind Protection from December 1-20, 2023. You’ll receive your exam voucher code in up to 7 days.
Register and sit for your exam by January 31, 2024. Use your exam voucher code at checkout.
If needed, you can sit for the exam a second time through March 15, 2024.

https://www.isc2.org/landing/exam-peace-of-mind

Opzich geeft een herkansing wel rust, maar maakt wellicht ook weer overmoeding/laks. Want heb toch nog een herkansing waar ik me op kan storten mocht ik poging 1 niet halen.

[BytePhantomX]

Stufferdt schreef op dinsdag 19 december 2023 @ 09:58:
Morgen nog een proefexamen met erna doorlopen vragen etc met een docent en dan ben ik klaar met 10 dagen CISSP-cursus. Veel geleerd, maar merk dat ik de stof onvoldoende heb bijgehouden. Mis echt nog wel details ook uit het boek (nog niet alles gelezen...).

Nu zie ik dat je op dit moment bij ISC2 een goedkopere herkansing kan bijkopen (200 dollar ipv regulier 749). Alleen twijfel ik of ik het al ga doen. Werkgever betaalt de eerste poging, eventuele herkansingen moet ik zelf betalen. Trackrecord is tot nu toe om gewoon alles in 1x te halen, maar vraag het me bij CISSP af. Muntje moet toch een beetje de juiste kant op vallen


[...]

https://www.isc2.org/landing/exam-peace-of-mind

Opzich geeft een herkansing wel rust, maar maakt wellicht ook weer overmoeding/laks. Want heb toch nog een herkansing waar ik me op kan storten mocht ik poging 1 niet halen.

Ik kan uiteraard niet voor een ander oordelen, maar mijn ervaring met CCSP en CISSP is dat het te doen is. En al heb je de cursus af, dan begrijp je waarschijnlijk alle concepten wel, maar moet je nog zaken uit je hoofd leren. Mijn redding was om de oefen app van ISC2 te gebruiken en er voor te zorgen dat je daar eigenlijk geen fouten meer maakt.

[Yaay]

Stufferdt schreef op dinsdag 19 december 2023 @ 09:58:
Morgen nog een proefexamen met erna doorlopen vragen etc met een docent en dan ben ik klaar met 10 dagen CISSP-cursus. Veel geleerd, maar merk dat ik de stof onvoldoende heb bijgehouden. Mis echt nog wel details ook uit het boek (nog niet alles gelezen...).

Nu zie ik dat je op dit moment bij ISC2 een goedkopere herkansing kan bijkopen (200 dollar ipv regulier 749). Alleen twijfel ik of ik het al ga doen. Werkgever betaalt de eerste poging, eventuele herkansingen moet ik zelf betalen. Trackrecord is tot nu toe om gewoon alles in 1x te halen, maar vraag het me bij CISSP af. Muntje moet toch een beetje de juiste kant op vallen


[...]

https://www.isc2.org/landing/exam-peace-of-mind

Opzich geeft een herkansing wel rust, maar maakt wellicht ook weer overmoeding/laks. Want heb toch nog een herkansing waar ik me op kan storten mocht ik poging 1 niet halen.

Zelf destijds de Boson tests aangeschaft, dat gaf mij heel duidelijk weer of ik er klaar voor was en op welke punten ik verkeerd redeneerde.
High value is daarbij vooral de uitleg bij de antwoorden. Verder heeft het maar zin om deze tests 1 of hooguit 2x te doen anders ga je de vragen en antwoorden onthouden.

[Orangelights23]

Ik ben op zoek naar wat inspiratie voor nieuwe certificaten. Ik heb al aardig wat cybersec certificaten en acteer al wat jaren op het C-level als CISO/CIO. Nu zijn specifieke cybersecurity certificaten niet heel interessant voor mij, maar zit ik meer richting leiderschap en dat soort zaken te denken. Ik heb teams aangestuurd, grootste was rond de 80, basisbeginselen mbt leiderschap, inspireren en coachen heb ik gaandeweg geleerd en wat curussen in gevolgd.

Een volgende stap voor mij (alhoewel ik die nog niet zou willen maken) is een beetje richting Fortune 500, maar ik heb weinig kennis van de eisen die ze stellen aan CISO's. Ik heb een paar keer met headhunters uit de VS gesproken voor dat soort functies, maar zij kijken meer naar track record. Echter, ik vind leren leuk en interessant en wil mijzelf graag blijven uitdagen.

Iemand tips?

[Stufferdt]

BytePhantomX schreef op dinsdag 19 december 2023 @ 10:46:
[...]


Ik kan uiteraard niet voor een ander oordelen, maar mijn ervaring met CCSP en CISSP is dat het te doen is. En al heb je de cursus af, dan begrijp je waarschijnlijk alle concepten wel, maar moet je nog zaken uit je hoofd leren. Mijn redding was om de oefen app van ISC2 te gebruiken en er voor te zorgen dat je daar eigenlijk geen fouten meer maakt.

CCSP vond ik dus prima te doen afgelopen oktober. Maar dat boek is 250 pagina's ipv 1000 en de vragen in de ISC2-app en de wiley vragenbank leken voor CCSP minder gevuld met specifieke detailvragen. Merk dat ik de "onthoud voor het examen en vergeet daarna voor altijd"-details niet scherp heb.

Scoor 70ish procent momenteel bij oefenvragen wat me dus onvoldoende lijkt nog. Gaat vooral dus op details mis en niet zo zeer op de vraagstelling.

Zou met de aanbieding dus in ieder geval in januari eerste poging moeten doen, dus welicht is dat toch weeral een stok achter de deur om ff tempo te maken.

Yaay schreef op dinsdag 19 december 2023 @ 11:33:
[...]


Zelf destijds de Boson tests aangeschaft, dat gaf mij heel duidelijk weer of ik er klaar voor was en op welke punten ik verkeerd redeneerde.
High value is daarbij vooral de uitleg bij de antwoorden. Verder heeft het maar zin om deze tests 1 of hooguit 2x te doen anders ga je de vragen en antwoorden onthouden.

Wat is exact de meerwaarde van boson tests tov andere tests? Vind Wiley en ISC2-app opzich ook redelijk uitgebreid qua uitleg bij vragen?

Heb overignes ook het all-in-one boek nog gekocht (marktplaats, 25 euro gloednieuw). Collega raadde 'm aan omdat het toch net weer anders is omschreven. Dus heb hier de vragen, heb de official study guide met vragen en het vragenboek. En dus wiley + ISC2-app gekocht. Klinkt als voldoende oefenmateriaal ergens?

Orangelights23 schreef op dinsdag 19 december 2023 @ 12:13:
Ik ben op zoek naar wat inspiratie voor nieuwe certificaten. Ik heb al aardig wat cybersec certificaten en acteer al wat jaren op het C-level als CISO/CIO. Nu zijn specifieke cybersecurity certificaten niet heel interessant voor mij, maar zit ik meer richting leiderschap en dat soort zaken te denken. Ik heb teams aangestuurd, grootste was rond de 80, basisbeginselen mbt leiderschap, inspireren en coachen heb ik gaandeweg geleerd en wat curussen in gevolgd.

Een volgende stap voor mij (alhoewel ik die nog niet zou willen maken) is een beetje richting Fortune 500, maar ik heb weinig kennis van de eisen die ze stellen aan CISO's. Ik heb een paar keer met headhunters uit de VS gesproken voor dat soort functies, maar zij kijken meer naar track record. Echter, ik vind leren leuk en interessant en wil mijzelf graag blijven uitdagen.

Iemand tips?

MBA een optie? Of iets bij Nyenrode? Of bijvoorbeeld Antwerp business school met de executive masters. Die zie ik geregeld voorbijkomen bij CISO's die ik volg/zie op LinkedIn.
https://www.antwerpmanage...cyber-security-management

[Michelli]

BytePhantomX schreef op dinsdag 19 december 2023 @ 10:46:
[...]


Ik kan uiteraard niet voor een ander oordelen, maar mijn ervaring met CCSP en CISSP is dat het te doen is. En al heb je de cursus af, dan begrijp je waarschijnlijk alle concepten wel, maar moet je nog zaken uit je hoofd leren. Mijn redding was om de oefen app van ISC2 te gebruiken en er voor te zorgen dat je daar eigenlijk geen fouten meer maakt.

Ik heb inderdaad voor CISSP ook veel oefenvragen gemaakt met de app en de online oefenexamens die je bij de OSG krijgt.

Wat mij vooral hielp was ontdekken waar mijn zwakkere punten lagen zodat ik die verder kon uitwerken. Ik heb bijvoorbeeld nog aantekeningen met een tabel over al die access control models die je moet leren. Juridische deel (vooral AVG en IE-recht) heb ik daarentegen nauwelijks iets voor gedaan omdat ik dit al door oa mijn masteropleiding wist.

[Shinji]

Ik zit nu ook even naar die app te kijken maar de prijzen liegen er niet om, vanaf €1000/maand is de goedkoopste optie, dat is het me niet waard.

[Mmore]

Stufferdt schreef op dinsdag 19 december 2023 @ 12:28:


[...]


MBA een optie? Of iets bij Nyenrode? Of bijvoorbeeld Antwerp business school met de executive masters. Die zie ik geregeld voorbijkomen bij CISO's die ik volg/zie op LinkedIn.
https://www.antwerpmanage...cyber-security-management

Dit inderdaad, INSEAD is er ook zo één. Bieden specifiek educatie richting die hoek zoals de Global Executive MBA. En je bouwt natuurlijk een flink netwerk op tijdens zo'n programma. Wel een behoorlijke commitment.

[BytePhantomX]

Shinji schreef op dinsdag 19 december 2023 @ 12:37:
Ik zit nu ook even naar die app te kijken maar de prijzen liegen er niet om, vanaf €1000/maand is de goedkoopste optie, dat is het me niet waard.

De CISSP oefen vragen app? Die van ISC2 is zo te zien nog steeds gratis.

[Stufferdt]

Michelli schreef op dinsdag 19 december 2023 @ 12:33:
[...]

Ik heb inderdaad voor CISSP ook veel oefenvragen gemaakt met de app en de online oefenexamens die je bij de OSG krijgt.

Wat mij vooral hielp was ontdekken waar mijn zwakkere punten lagen zodat ik die verder kon uitwerken. Ik heb bijvoorbeeld nog aantekeningen met een tabel over al die access control models die je moet leren. Juridische deel (vooral AVG en IE-recht) heb ik daarentegen nauwelijks iets voor gedaan omdat ik dit al door oa mijn masteropleiding wist.

Is wel de route die ik hoor ja. Ik ben ook handig met Privacy, juridsch en risk. Netwerken en crypto blijf ik lastig vinden. Maar probeer alles zo veel mogelijk door elkaar heen te oefenen zodat ik continu moet schakelen tussen topics.

Overigens net wel het examen + herkansing alvast geboekt. Stukje risicomanagent voor 200 dollar. Anders kost het me 750 dollar waarbij het de vraag is of het ik het ergens terug kan krijgen van werkgever.

BytePhantomX schreef op dinsdag 19 december 2023 @ 13:32:
[...]


De CISSP oefen vragen app? Die van ISC2 is zo te zien nog steeds gratis.

Gratis maar beperkte functionaliteit meen ik me te herinneren. Heb een half jaar gekocht voor 70 dollar. Prima deal opzich. En dus fan van de wiley-testbank die je bij de OSG krijgt.

[ Voor 15% gewijzigd door Stufferdt op 19-12-2023 13:46 ]

[Shinji]

BytePhantomX schreef op dinsdag 19 december 2023 @ 13:32:
[...]


De CISSP oefen vragen app? Die van ISC2 is zo te zien nog steeds gratis.

De app is gratis, de vragen niet (in-app purchase).

Maar het staat denk ik wat raar omschreven.

[Orangelights23]

Mmore schreef op dinsdag 19 december 2023 @ 12:40:
[...]

Dit inderdaad, INSEAD is er ook zo één. Bieden specifiek educatie richting die hoek zoals de Global Executive MBA. En je bouwt natuurlijk een flink netwerk op tijdens zo'n programma. Wel een behoorlijke commitment.

INSEAD ken ik, al eens bij geïnformeerd. Past niet echt bij mij als persoon vanwege de prestige die erbij komt kijken, maar ik zal me er weer eens in verdiepen. Bedankt!

[Column]

Stufferdt schreef op dinsdag 19 december 2023 @ 09:58:
Morgen nog een proefexamen met erna doorlopen vragen etc met een docent en dan ben ik klaar met 10 dagen CISSP-cursus. Veel geleerd, maar merk dat ik de stof onvoldoende heb bijgehouden. Mis echt nog wel details ook uit het boek (nog niet alles gelezen...).

Nu zie ik dat je op dit moment bij ISC2 een goedkopere herkansing kan bijkopen (200 dollar ipv regulier 749). Alleen twijfel ik of ik het al ga doen. Werkgever betaalt de eerste poging, eventuele herkansingen moet ik zelf betalen. Trackrecord is tot nu toe om gewoon alles in 1x te halen, maar vraag het me bij CISSP af. Muntje moet toch een beetje de juiste kant op vallen


[...]

https://www.isc2.org/landing/exam-peace-of-mind

Opzich geeft een herkansing wel rust, maar maakt wellicht ook weer overmoeding/laks. Want heb toch nog een herkansing waar ik me op kan storten mocht ik poging 1 niet halen.

De Certification Station Discord community was essentieel in mijn voorbereiding voor CISSP. Gratis, community driven, en hoge kwaliteit. Veel van de bekede online trainers geven daar regelmatig gratis bootcamps etc. Succes!

[Cambionn]

Er zijn de afgelopentijd bij mij wat veranderingen gekomen. Lang verhaal kort, ik heb een nieuwe baan als Security Officer vanaf volgend jaar maart, en ik heb er heel veel zin in ! Ik krijg daarbij ook budget om door te leren en certificeren, dus zekerheid dat ik bezig kan met leren voor dat CISSP certificaat is er daarmee ook.

Ik ga nog even kijken hoe ik het ga aanpakken, maar ik vermoed dat ik maar eens begin met de official reference, study guide en practice tests boeken. Dan aan de hand van hoe dat bevalt kijk ik verder.

[Crowdpleaser]

Cambionn schreef op woensdag 20 december 2023 @ 20:06:
Er zijn de afgelopentijd bij mij wat veranderingen gekomen. Lang verhaal kort, ik heb een nieuwe baan als Security Officer vanaf volgend jaar maart, en ik heb er heel veel zin in ! Ik krijg daarbij ook budget om door te leren en certificeren, dus zekerheid dat ik bezig kan met leren voor dat CISSP certificaat is er daarmee ook.

Ik ga nog even kijken hoe ik het ga aanpakken, maar ik vermoed dat ik maar eens begin met de official reference, study guide en practice tests boeken. Dan aan de hand van hoe dat bevalt kijk ik verder.

Gefeliciteerd, ik heb vorig jaar dezelfde stap ondernomen (al ging ik de techniek uit) en heb ik toentertijd ook mijn CISSP behaald, CIPPE verder nog gedaan dit jaar en mega happy met de stap die ik genomen heb! Enjoy!

[C_V_S]

Iemand die mij iets kan vertellen over de moeilijkheidsgraad m.b.t. CISSP?

Ik wil dit als freelancer namelijk gaan behalen via een training van X aantal dagen. Lees er wat wisselende zaken over het examen.

20+ jaar ICT ervaring waarbij de nodige infra ervaring en veel service management (ITIL) ervaring. Als ik zo de 8 domeinen lees ziet het er uit als zaken die ik vaker tegen ben gekomen.

[ShadowBumble]

C_V_S schreef op donderdag 21 december 2023 @ 12:23:
Iemand die mij iets kan vertellen over de moeilijkheidsgraad m.b.t. CISSP?

Ik wil dit als freelancer namelijk gaan behalen via een training van X aantal dagen. Lees er wat wisselende zaken over het examen.

Als je echt kijkt naar Training X dagen en dan direct examen zou ik voor Firebrand gaan, die hebben wat dat aangaat het beste "track record" maar alles valt of staat met de instructeur die ze eraan plakken natuurlijk, persoonlijk denk ik dat het een hele kluif is om "In een weekje CISSP te doen". Er zijn mensen die het kunnen maar ik schaar mijzelf niet onder die mensen daarvoor is het gewoon simpel weg te veel (en te saaie ) stof om in het koppie te stampen.

[C_V_S]

ShadowBumble schreef op donderdag 21 december 2023 @ 12:52:
[...]


Als je echt kijkt naar Training X dagen en dan direct examen zou ik voor Firebrand gaan, die hebben wat dat aangaat het beste "track record" maar alles valt of staat met de instructeur die ze eraan plakken natuurlijk, persoonlijk denk ik dat het een hele kluif is om "In een weekje CISSP te doen". Er zijn mensen die het kunnen maar ik schaar mijzelf niet onder die mensen daarvoor is het gewoon simpel weg te veel (en te saaie ) stof om in het koppie te stampen.

Maar het is vooral veel i.p.v. lastig? Firebrand ben ik persoonlijk geen fan van. Ook niet om de hoek en met zo'n hotel e.d. vind ik niks.

[Yaay]

C_V_S schreef op donderdag 21 december 2023 @ 13:21:
[...]


Maar het is vooral veel i.p.v. lastig? Firebrand ben ik persoonlijk geen fan van. Ook niet om de hoek en met zo'n hotel e.d. vind ik niks.

veel gehoorde slogan is: ‘a mile wide, an inch deep’. Met veel werk ervaring zijn een aantal domeinen waarschijnlijk peanuts maar gezien de breedte zijn er allicht domeinen die studie vereisenZ

Ik ben zelf van mening dat je in een week tijd nooit de stof echt kunt doorgronden, ik heb er zelf heel veel aan gehad en gebruik kennis die ik heb opgedaan nog heel regelmatig. Daar zit voor mij dan ook meer de waarde dan enkel het certificaat.

Als cursist is het m.i. dus heel waardevol om er juist iets langer de tijd voor te nemen om er zo ook na het examen nog wat aan te hebben.

[ShadowBumble]

C_V_S schreef op donderdag 21 december 2023 @ 13:21:
[...]


Maar het is vooral veel i.p.v. lastig? Firebrand ben ik persoonlijk geen fan van. Ook niet om de hoek en met zo'n hotel e.d. vind ik niks.

Het is veel, heel veel. Ik heb Firebrand gedaan voor mijn CCSP maar daar zit wel wat meer achter waaromd at wel een succeswas. Voor CISSP hadden wij een studie groepje, die elkaar ook echt scherp hield. Het volledig verhaal zal hier vast wel ergens in het topic staan, maar wij hebben afzonderlijk de boeken gelezen (Shon Harris). Daarna hebben we bijna twee maanden lang minimaal 5 avonden in de week minimaal 2 uur vragen gedaan, en dan niet "Dit is het goede antwoord" maar vooral uitleggen en motiveren aan elkaar. "Okay we zijn het er allemaal over eens dat A het juiste antwoord is maar waarom zijn B,C,D dan fout ?

Dat hebben we twee maanden bijna non stop gedaan, dat resulteerde wel in dat we in een keer het CISSP examen haalde ruim binnen de examentijd, ( wij hadden nog de 250 vragen / 6 uur ).

Echter die opbouw en intensiteit heeft er wel voor gezorgd dat ik op basis van die kennis heel eenvoudig CCSP kon doen (immers iets overlap en maar 2 nieuwe domeinen) en daarna zelfs CISM (Overlap kwa stof ander perspectief, wel goed opletten dus ).

[Rekcor]

Bij ons bedrijfje (7 fte / 10 mensen) zijn we ISO27001 gecertificeerd. Dit omdat we namen en mailadressen van onze gebruikers opslaan. Tot nu deden we de interne audits altijd zelf. Voor de jaarlijkse audit huren we een gerenommeerd extern bedrijf in.

Nu horen we steeds vaker geluiden dat we de interne audits ook echt moeten uitbesteden, omdat we zelf niet onafhankelijk genoeg zouden zijn om de interne audits te doen. Deze geluiden komen vooral van lieden die zichzelf verhuren als externe interne auditor...

Ik vind dat echt overkill. Wat vinden jullie?

[Stufferdt]

C_V_S schreef op donderdag 21 december 2023 @ 13:21:
[...]


Maar het is vooral veel i.p.v. lastig? Firebrand ben ik persoonlijk geen fan van. Ook niet om de hoek en met zo'n hotel e.d. vind ik niks.

Jups. Het is vooral veel. En dingen die je simpelweg moet weten (hoogte van hekken, temperatuur, vochtigheidsgraad, lichtsterkte etc. voor fysieke beveiliging of allerlei modellen (Bell-LaPadula...).

Nu heb je zeker profijt van Infra-ervaring en al een tijdje meelopen waardoor je oudere meuk ook kent. Voor mij zijn zaken als virtual circuits volledig nieuw. En ga ik ook nooit meer gebruiken bijvoorbeeld.

Ik zou kijken of je van iemand een boek kan lenen bijvoorbeeld of via marktplaats op de kop kunnen tikken. Maak eens wat vragen/een oefenexamen en kijk hoe dat voelt. Ga je goed op de vraagstelling en onderwerpen is het wellicht peanuts

Hier op 29 januari examen gepland. Moet voor 31 januari ivm geldigheid van m'n herexamenvoucher. Die doe ik dan ergens eind maart (mocht ik 'm nodig hebben....).

Heb helaas nog wel wat te doen. Gisteren 80/150 gescoord tijdens mock examen vanuit de cursus. Dus werkt aan de winkel tijdens Kerst.

[Stufferdt]

Rekcor schreef op donderdag 21 december 2023 @ 15:14:
Bij ons bedrijfje (7 fte / 10 mensen) zijn we ISO27001 gecertificeerd. Dit omdat we namen en mailadressen van onze gebruikers opslaan. Tot nu deden we de interne audits altijd zelf. Voor de jaarlijkse audit huren we een gerenommeerd extern bedrijf in.

Nu horen we steeds vaker geluiden dat we de interne audits ook echt moeten uitbesteden, omdat we zelf niet onafhankelijk genoeg zouden zijn om de interne audits te doen. Deze geluiden komen vooral van lieden die zichzelf verhuren als externe interne auditor...

Ik vind dat echt overkill. Wat vinden jullie?

Valt vanaf hier niet perse te zeggen. Ik denk dat ze een punt hebben gezien de omvang van jullie bedrijft, waardoor je als interne auditor waarschijnlijk minimaal consulted, informed maar waarschijnlijk wel responsbile bent. Dan kan het lastig zijn om je onafhankelijkheid aantoonbaar te houden.

Maar. Zolang je externe auditor (lees: certificeingsauditor) hier geen opmerking/bevinding over heeft gemaakt, kan je het zo laten. Dan zit je voor je certificering (voorlopig) goed blijkbaar.

Wat je je wel moet realiseren, is dat een goede externe auditor toch weer een frisse blik meebrengt die je als bedrijf verder kan helpen. Je kan het dus ook zien als een thermometer om je bedrijf weer verder te helpen. Waar een externe auditor puur controleert, is een goede (externe) interne auditor vaak ook iemand die heel veel nuttige tips en verbeteringen kan signaleren en hier ook weer over kan adviseren.

Je zou ook kunnen kijken of je een bevriend bedrijf kent waarbij je met gesloten beurs elkaar auditeert. Zo heb je onafhankelijk, leer je nog eens iets en haal je banden aan met het bedrijf

Om het ontopic te houden: Is je interne auditor voldoende kundig? Auditoren zijn dol op 27001 Lead auditoren. Heb hier weleens bevindingen op gezien.

[Cambionn]

Rekcor schreef op donderdag 21 december 2023 @ 15:14:
Bij ons bedrijfje (7 fte / 10 mensen) zijn we ISO27001 gecertificeerd. Dit omdat we namen en mailadressen van onze gebruikers opslaan. Tot nu deden we de interne audits altijd zelf. Voor de jaarlijkse audit huren we een gerenommeerd extern bedrijf in.

Nu horen we steeds vaker geluiden dat we de interne audits ook echt moeten uitbesteden, omdat we zelf niet onafhankelijk genoeg zouden zijn om de interne audits te doen. Deze geluiden komen vooral van lieden die zichzelf verhuren als externe interne auditor...

Ik vind dat echt overkill. Wat vinden jullie?

Om eerlijk te zijn. Met externen zijn er ook mensen die vanalles aan elkaar lullen en een certificering krijgen die zie niet zouden moeten halen. En intern kun je hem goed doen als je strikt en kritisch op jezelf kan en mag zijn (zelfs al zou daar een vernietigend rapport uit komen).

Als jullie hem gewoon goed doen kún je hem prima intern doen. Wij (huidige bedrijf) deden dat ook altijd (door QA medewerkers en de SO totdat die weg ging, daarna enkel QA) en zijn daar enkel mee gestopt omdat we een hele SPO dienst gingen afnemen en het daar bij in zat. En dit is een middelgroot bedrijf met o.a. farmaceutische data.

Begrijp me niet verkeerd. Een externe partij zal idd onafhankelijker zijn, dus het kán wel echt meerwaarde hebben (zoals hier boven ook gezegd). Hoe groot die meerwaarde precies is en of het die meerwaarde waard is moeten jullie zelf afwegen. De norm zegt niet dat het moet, en verkoopmensen zeggen wel vaker wat. Als het wel zou moeten, zou je daar bij je externe audit ook wel op aangesproken worden vermoed ik gezien een (degelijke) interne audit verplicht is.

[Rekcor]

Dank!

Ja we hadden de vorige keer wel een niet-kritieke afwijking, omdat de SO óók de teamleider van afdeling X had (afdeling X is 3 mensen :-)), en dus als SO ook het werk van afdeling X beoordeelde.

Echter, inhoudelijk voldeden we gewoon aan ons ISMS voor afdeling X en konden we dit ook hard maken met bewijzen.

Mijn bezwaar is vooral dat het een rupsje nooitgenoeg is: We hebben nu al een SO die 3 dagen per week ermee bezig is, en alle andere collega's zijn er ook tijd mee kwijt, en dan komt er straks nog weer iemand erbij die natuurlijk weer allemaal andere ideeen heeft, waar we dan ook weer wat mee moeten, enz enz. Dit terwijl feitelijk keer op keer blijkt dat we gewoon al heel netjes volgens de norm werken...

[C_V_S]

Stufferdt schreef op donderdag 21 december 2023 @ 15:19:
[...]


Jups. Het is vooral veel. En dingen die je simpelweg moet weten (hoogte van hekken, temperatuur, vochtigheidsgraad, lichtsterkte etc. voor fysieke beveiliging of allerlei modellen (Bell-LaPadula...).

Nu heb je zeker profijt van Infra-ervaring en al een tijdje meelopen waardoor je oudere meuk ook kent. Voor mij zijn zaken als virtual circuits volledig nieuw. En ga ik ook nooit meer gebruiken bijvoorbeeld.

Ik zou kijken of je van iemand een boek kan lenen bijvoorbeeld of via marktplaats op de kop kunnen tikken. Maak eens wat vragen/een oefenexamen en kijk hoe dat voelt. Ga je goed op de vraagstelling en onderwerpen is het wellicht peanuts

Hier op 29 januari examen gepland. Moet voor 31 januari ivm geldigheid van m'n herexamenvoucher. Die doe ik dan ergens eind maart (mocht ik 'm nodig hebben....).

Heb helaas nog wel wat te doen. Gisteren 80/150 gescoord tijdens mock examen vanuit de cursus. Dus werkt aan de winkel tijdens Kerst.

Heb ook een boel berg ITIL papiertjes en ervaring dus wat betreft processen snap ik wel enigzins hoe de boel werkt zeg maar.

Maar goed cursus eind februari gepland met een oud collega samen. Ga wel kijken of ik van de voren al het nodige kan lezen.

[C_V_S]

ShadowBumble schreef op donderdag 21 december 2023 @ 14:02:
[...]


Het is veel, heel veel. Ik heb Firebrand gedaan voor mijn CCSP maar daar zit wel wat meer achter waaromd at wel een succeswas. Voor CISSP hadden wij een studie groepje, die elkaar ook echt scherp hield. Het volledig verhaal zal hier vast wel ergens in het topic staan, maar wij hebben afzonderlijk de boeken gelezen (Shon Harris). Daarna hebben we bijna twee maanden lang minimaal 5 avonden in de week minimaal 2 uur vragen gedaan, en dan niet "Dit is het goede antwoord" maar vooral uitleggen en motiveren aan elkaar. "Okay we zijn het er allemaal over eens dat A het juiste antwoord is maar waarom zijn B,C,D dan fout ?

Dat hebben we twee maanden bijna non stop gedaan, dat resulteerde wel in dat we in een keer het CISSP examen haalde ruim binnen de examentijd, ( wij hadden nog de 250 vragen / 6 uur ).

Echter die opbouw en intensiteit heeft er wel voor gezorgd dat ik op basis van die kennis heel eenvoudig CCSP kon doen (immers iets overlap en maar 2 nieuwe domeinen) en daarna zelfs CISM (Overlap kwa stof ander perspectief, wel goed opletten dus ).

Dat is nog meer dan ik volgens mij aan mijn HBO heb besteedt lang geleden

[Skywalker27]

Rekcor schreef op donderdag 21 december 2023 @ 16:23:
Dank!

Ja we hadden de vorige keer wel een niet-kritieke afwijking, omdat de SO óók de teamleider van afdeling X had (afdeling X is 3 mensen :-)), en dus als SO ook het werk van afdeling X beoordeelde.

Echter, inhoudelijk voldeden we gewoon aan ons ISMS voor afdeling X en konden we dit ook hard maken met bewijzen.

Mijn bezwaar is vooral dat het een rupsje nooitgenoeg is: We hebben nu al een SO die 3 dagen per week ermee bezig is, en alle andere collega's zijn er ook tijd mee kwijt, en dan komt er straks nog weer iemand erbij die natuurlijk weer allemaal andere ideeen heeft, waar we dan ook weer wat mee moeten, enz enz. Dit terwijl feitelijk keer op keer blijkt dat we gewoon al heel netjes volgens de norm werken...

Dat is het continu verbeteren wat overal in voorkomt binnen de ISO.

[Stufferdt]

C_V_S schreef op donderdag 21 december 2023 @ 16:25:
[...]


Heb ook een boel berg ITIL papiertjes en ervaring dus wat betreft processen snap ik wel enigzins hoe de boel werkt zeg maar.

Maar goed cursus eind februari gepland met een oud collega samen. Ga wel kijken of ik van de voren al het nodige kan lezen.

Scheelt natuurlijk wel de zaken die je noemt. Het is een kwestie van weten, kunnen relateren en snappen hoe ISC2 (lees: Amerikanen) denken. En de een heeft daar vanuit ervaring en aanleg wat meer minder moeite mee dan de ander lijkt het.

Voor welke cursus heb je gekozen? Ik heb gisteren dus laatste dag van 10 dagen via Security Academy afgerond. Enorm tevreden over de docenten. Capabel, bevlogen en enthousiast. Merk wel dat ik onvoldoende heb voorgelezen/bijgehouden tussen de cursusdagen in. Dat zou dus wel mijn grootste tip zijn.

C_V_S schreef op donderdag 21 december 2023 @ 16:25:
[...]


Dat is nog meer dan ik volgens mij aan mijn HBO heb besteedt lang geleden

Ook mijn gevoel

Rekcor schreef op donderdag 21 december 2023 @ 16:23:
Dank!

Ja we hadden de vorige keer wel een niet-kritieke afwijking, omdat de SO óók de teamleider van afdeling X had (afdeling X is 3 mensen :-)), en dus als SO ook het werk van afdeling X beoordeelde.

Echter, inhoudelijk voldeden we gewoon aan ons ISMS voor afdeling X en konden we dit ook hard maken met bewijzen.

Mijn bezwaar is vooral dat het een rupsje nooitgenoeg is: We hebben nu al een SO die 3 dagen per week ermee bezig is, en alle andere collega's zijn er ook tijd mee kwijt, en dan komt er straks nog weer iemand erbij die natuurlijk weer allemaal andere ideeen heeft, waar we dan ook weer wat mee moeten, enz enz. Dit terwijl feitelijk keer op keer blijkt dat we gewoon al heel netjes volgens de norm werken...

2x per jaar een externe auditor voor een dag kom je al heel ver mee. Dit zijn de kosten als je ook 3 dagen per week een SO erop kan zetten.

Maar eens hoor, je kan ook te vele optuigen. Jullie systeem draait en functioneert blijkbaar. Pragmatisch proberen houden inderdaad. En je had een niet-kritieke afwijking, dus moest er waarschijnlijk een verbeterplan voor opstellen. Mooi moment om je oplossing met de auditor door te nemen of het door de beugel kan op niet

[C_V_S]

[quote]Stufferdt schreef op donderdag 21 december 2023 @ 16:54:
[...]


Scheelt natuurlijk wel de zaken die je noemt. Het is een kwestie van weten, kunnen relateren en snappen hoe ISC2 (lees: Amerikanen) denken. En de een heeft daar vanuit ervaring en aanleg wat meer minder moeite mee dan de ander lijkt het.

Voor welke cursus heb je gekozen? Ik heb gisteren dus laatste dag van 10 dagen via Security Academy afgerond. Enorm tevreden over de docenten. Capabel, bevlogen en enthousiast. Merk wel dat ik onvoldoende heb voorgelezen/bijgehouden tussen de cursusdagen in. Dat zou dus wel mijn grootste tip zijn.


[...]

Optisec - Kreeg ik een gunstige prijs en is 5 dagen achter elkaar. Is wel heel erg gericht puur op examen halen en ja daar vinden mensen iets van

[BytePhantomX]

Rekcor schreef op donderdag 21 december 2023 @ 15:14:
Bij ons bedrijfje (7 fte / 10 mensen) zijn we ISO27001 gecertificeerd. Dit omdat we namen en mailadressen van onze gebruikers opslaan. Tot nu deden we de interne audits altijd zelf. Voor de jaarlijkse audit huren we een gerenommeerd extern bedrijf in.

Nu horen we steeds vaker geluiden dat we de interne audits ook echt moeten uitbesteden, omdat we zelf niet onafhankelijk genoeg zouden zijn om de interne audits te doen. Deze geluiden komen vooral van lieden die zichzelf verhuren als externe interne auditor...

Ik vind dat echt overkill. Wat vinden jullie?

Externen kunnen over het algemeen vaak weer wat nieuwe inzichten brengen. Maar voor een bedrijf met zo'n kleine omvang, lijkt mij dit echt overdreven. En als de auditor geen bevindingen heeft t.a.v. dit punt zou ik het al helemaal niet veranderen.

In het security vakgebied is er altijd ruimte voor meer en beter, maar velen vergeten dat het ook wel moet passen bij je organisatie.

[Orangelights23]

Belangrijkste is belangenverstrengeling, oftewel segregation of duties. Als iemand eigen werk moet controleren, is dat niet per se een integere activiteit. Maar waar ISO 27001 je alle ruimte voor biedt, is het risico simpelweg assessen en het laten accepteren door het management. Opgelost

[Rekcor]

Ja op zich begrijp ik het idee van belangenverstrengeling. "Een slager die z'n eigen vlees keurt". Nu hoop ik allereerst dat slagers hun eigen vlees keuren.

Maar voor een klein team is het gewoon niet mogelijk om dit te voorkomen: we doen heel veel dingen samen. En de norm eist ook dat de interne auditor de juiste competenties bezit en moet begrijpen waar het inhoudelijk over gaat. Lees: nog meer (dure) trainingen.

Het lastige vind ik bovendien dat de externe partij die ons audit, ook dergelijke traningen verkoopt. Over integriteit gesproken :-).

[C_V_S]

Hier het CISSP boek gedownload: Classroom-Based CISSP Official (ISC)² Textbook, 6th Edition

Boek is maar iets van 120 blz als ik zo vlug kijk? (gaat via de Bookshelf app)

Is dat niet wat weinig?

[BytePhantomX]

C_V_S schreef op donderdag 28 december 2023 @ 08:43:
Hier het CISSP boek gedownload: Classroom-Based CISSP Official (ISC)² Textbook, 6th Edition

Boek is maar iets van 120 blz als ik zo vlug kijk? (gaat via de Bookshelf app)

Is dat niet wat weinig?

Ik heb een hard copy en in mijn herinnering was die ongeveer 1000 pagina's. Dat is dan wel de officiële CBK. Waarschijnlijk heb je iets anders gedownload.

[ Voor 9% gewijzigd door BytePhantomX op 28-12-2023 09:35 ]

[C_V_S]

BytePhantomX schreef op donderdag 28 december 2023 @ 09:34:
[...]


Ik heb een hard copy en in mijn herinnering was die ongeveer 1000 pagina's. Dat is dan wel de officiële CBK. Waarschijnlijk heb je iets anders gedownload.

Dit is de cover ?

[BytePhantomX]

Ik bedoel deze: https://www.bol.com/nl/p/...eference/9300000025936973

[ Voor 15% gewijzigd door BytePhantomX op 29-12-2023 23:05 ]

[Michelli]

Ik heb deze destijds gebruikt ter voorbereiding op het CISSP examen. Vooral de digitale oefenexamens waren erg nuttig.

[ Voor 4% gewijzigd door Michelli op 29-12-2023 23:30 ]

[Liegebeest]

Column schreef op woensdag 20 december 2023 @ 07:34:
[...]

De Certification Station Discord community was essentieel in mijn voorbereiding voor CISSP. Gratis, community driven, en hoge kwaliteit. Veel van de bekede online trainers geven daar regelmatig gratis bootcamps etc. Succes!

Bij deze nog een stem voor deze gemeenschap! Toffe lui, ben er al twee jaar gast aan huis.

[Liegebeest]

C_V_S schreef op donderdag 21 december 2023 @ 13:21:
[...]
Maar het is vooral veel i.p.v. lastig?

Als je zonder voorbereiding naar zo'n laarskamp gaat, is het drinken van de brandslang. Daar heb je weinig aan.

De reden waarom mijn bootcamp een succes was indertijd, is omdat ik vooraf het hele boek al had gelezen. Daardoor kon ik voorbereid, met gerichte vragen, naar de training. Zo haal je waarde binnen: gerichte vragen aan de trainer.

[FijneKnul]

Liegebeest schreef op dinsdag 2 januari 2024 @ 21:55:
[...]

Als je zonder voorbereiding naar zo'n laarskamp gaat, is het drinken van de brandslang.

Zelfs Google kent dit spreekwoord niet.

Liegebeest schreef op dinsdag 2 januari 2024 @ 21:55:
[...]
De reden waarom mijn bootcamp een succes was indertijd, is omdat ik vooraf het hele boek al had gelezen. Daardoor kon ik voorbereid, met gerichte vragen, naar de training. Zo haal je waarde binnen: gerichte vragen aan de trainer.

Eens dat de waarde van een bootcamp zit in stellen van vragen aan je trainer. Máár: iedereen is en leert anders, dus mijn advies is om het vooral op je eigen wijze te doen. Dat zal je vast het makkelijkste af gaan.

M.i. is het inderdaad veel en niet per se lastig. Soms voelt het wat wrang wanneer je weer Amerikaanse kennis op moet doen, omdat 'the body of knowledge' nu eenmaal in the US zit. Gewoon goed leren en na je examen weer vergeten. (Dat gebeurt toch wel)

[ Voor 13% gewijzigd door FijneKnul op 03-01-2024 16:57 ]

[paella]

FijneKnul schreef op woensdag 3 januari 2024 @ 16:55:
[...]


Zelfs Google kent dit spreekwoord niet.


[...]

Het is vooral amerikaans denk ik. Drinking from the firehose https://en.wiktionary.org/wiki/drink_from_a_firehose

[Stufferdt]

FijneKnul schreef op woensdag 3 januari 2024 @ 16:55:
[...]


Zelfs Google kent dit spreekwoord niet.


[...]


Eens dat de waarde van een bootcamp zit in stellen van vragen aan je trainer. Máár: iedereen is en leert anders, dus mijn advies is om het vooral op je eigen wijze te doen. Dat zal je vast het makkelijkste af gaan.

M.i. is het inderdaad veel en niet per se lastig. Soms voelt het wat wrang wanneer je weer Amerikaanse kennis op moet doen, omdat 'the body of knowledge' nu eenmaal in the US zit. Gewoon goed leren en na je examen weer vergeten. (Dat gebeurt toch wel)

Boot is ook laars in het Engels dus denk dat je het daar moet zoeken

Hier nog krap 4 weken tot m'n examen voor CISSP (29 januari). Druk oefenexamens aan het maken en de vragen die ik fout heb (te veel...) aan het opzoeken in het boek. Mis vooral nog de stomme feitjes dus kwestie van stampen.

Stiekem toch weeral aan het kijken wat een leuke volgende is overigens

[FijneKnul]

Stufferdt schreef op donderdag 4 januari 2024 @ 09:31:
[...]


Boot is ook laars in het Engels dus denk dat je het daar moet zoeken

Nu begrijp ik hem. Dank voor de tip

Stufferdt schreef op donderdag 4 januari 2024 @ 09:31:
[...]
Hier nog krap 4 weken tot m'n examen voor CISSP (29 januari). Druk oefenexamens aan het maken en de vragen die ik fout heb (te veel...) aan het opzoeken in het boek. Mis vooral nog de stomme feitjes dus kwestie van stampen.

Stiekem toch weeral aan het kijken wat een leuke volgende is overigens

Succes!
(Ik heb veel gehad aan videos op YT van Prab Nair.)

Ik ben ook aan het oriënteren wat ik ga ik doen dit jaar. Heb net vorige week het CIPP/E-examen gehaald, dus kan in 2024 weer een nieuwe volgen. Voor nu neig ik naar CISA vanwege mijn werkzaamheden, maar kwa interesse/plezier zou het ook wel eens leuk zijn om CEH te doen. Voor mijn gevoel kan ik dan wat rustiger aan doen.

[Willem30]

Voor mijn nieuwe functie werd ik gevraagd om alvast te beginnen met twee MS certificaten: SC-900 en SC-200.

Vorige week geslaagd voor SC-900 met een ruime score en dan nu gelijk door met SC-200.

[Stufferdt]

FijneKnul schreef op donderdag 4 januari 2024 @ 09:42:
[...]

Nu begrijp ik hem. Dank voor de tip


[...]


Succes!
(Ik heb veel gehad aan videos op YT van Prab Nair.)

Ik ben ook aan het oriënteren wat ik ga ik doen dit jaar. Heb net vorige week het CIPP/E-examen gehaald, dus kan in 2024 weer een nieuwe volgen. Voor nu neig ik naar CISA vanwege mijn werkzaamheden, maar kwa interesse/plezier zou het ook wel eens leuk zijn om CEH te doen. Voor mijn gevoel kan ik dan wat rustiger aan doen.

Grappig wel, voor CISSP is er zo veel te vinden dat iedereen een andere bron lijkt te hebben gebruikt.
Ik ben begonnen met Destination Certification op Youtube tijdens het indoorfietsen om toch iets mee te krijgen. Heb via werk ook nog percipio achter de hand maar dat vind ik tegenvallen. Gelukkig nog enorm veel oefenvragen en de boeken.

En proficiat met je CIPP/E! Viel het mee? Ik had er toendertijd een slecht gevoel over maar was net voldoende (338 punten uiteindelijk).

En CISA overweeg ik ook als volgende, maar vraag me af hoe interessant de stof is. Vond ISO2 7001 lead auditor al afstompend saai voor de geest

[sh4d0wman]

Een paar jaar voor de covid uitbraak was ik begonnen met bug bounties en heb daardoor diverse betalingen ontvangen/CVEs op naam gekregen. Dat viel stil omdat ik voor mijn kinderen moest zorgen en ik ben mij nu aan het orienteren wat wijsheid is.

In 2016? (gokje, zou even moeten spieken) eLearnSecurity eCPPT Silver/Gold en eNDP behaald en in een verder verleden Comptia Sec+, CCNA Security, ITIL Foundation, diverse EXIN certificaten.

Mijn bugbounty ervaring is met name op gebied van embedded devices / Windows & Linux desktop en server applicaties. Geen cloud of crypto specifieke ervaring.

Doel(en):
A. Met name memory exploitation en web exploitation verbeteren of kennis updaten.
B. Eventueel baan als pentester of software tester vinden, stabiel inkomen.

Opties:

Optie 1.

HTB CPTS + HTB CBBH
https://academy.hackthebox.com/preview/certifications

CPTS is vergelijkbaar met OSCP schijnt het, wat meer AD materiaal echter minder naamsbekendheid dan OSCP. In bug hunting gebruik je echter een groot deel nooit (latteral movement, persistence, etc.)

CBBH is blackbox webapp testing en vergelijkbaar met het materiaal van Portswigger (Burp) Academy.
Het sluit aan op OSWE welke een whitebox focus heeft. Ik zou ipv CBBH ook Portswigger + OSWE kunnen doen.

Optie 2.

Offsec OSWE + Portswigger
https://www.offsec.com/courses/web-300/
OSWE lijkt mij nuttig omdat het een whitebox approach hanteert op een grote code-base, dus realistisch.

Offsec OSED
https://www.offsec.com/courses/exp-301/
OSED voornamelijk om betere memory exploitation skills te verkrijgen.

Optie 3. Geen certificering maar alleen CVEs publiceren, bug bounties ontvangen. Bespaarde tijd stoppen in automatiseren van de workflow.

PS certificering is op eigen kosten dus dan is het OSWE of OSED, niet beiden in 1 jaar. Tenzij ik een paar mooie P1 bugs weet te vinden

[BytePhantomX]

FijneKnul schreef op donderdag 4 januari 2024 @ 09:42:
... maar kwa interesse/plezier zou het ook wel eens leuk zijn om CEH te doen. Voor mijn gevoel kan ik dan wat rustiger aan doen.

CEH zou ik persoonlijk niet snel meer doen. Als het puur voor jezelf is, misschien nog ok, maar zou hem niet meer op mijn CV willen zetten. Er is nogal wat controverse rondom EC-council m.b.t. plagiaat en sexisme. Zoals bijvoorbeeld hier te lezen is: https://www.infosecurity-...-of-the-eccouncil-gender/

[Hmmbob]

Nog los daarvan zeggen alle pentesters om mij heen "nah, leuke intro" over CEH. Beter investeren in iets met meer aanzien.

[Cambionn]

Hmmbob schreef op donderdag 4 januari 2024 @ 16:20:
Nog los daarvan zeggen alle pentesters om mij heen "nah, leuke intro" over CEH. Beter investeren in iets met meer aanzien.

Ik hoor ook wel vaker dat EC-council certificaten niet zo veel voorstellen, of zelfs negatief bekeken worden. Voor mij ook de reden om weg te blijven bij die partij.

[kahraman11]

Wij lachten altijd de pentesters uit die bij ons op sollicitatiegesprek kwamen die CEH op hun CV hadden en geen OSCP bijvoorbeeld. Wij wilden altijd graag praktische ervaring zien en dat toon je een beetje aan met het hebben van OSCP. Ik vond het bijvoorbeeld veel interessanter als kandidaten CRTO of OSEP op hun CV hadden staan aangezien die twee certificaten aantonen dat je diepgaande AD kennis hebt en weet hoe je dat moet uitbuiten met (custom) tools.

[FijneKnul]

Stufferdt schreef op donderdag 4 januari 2024 @ 10:03:
[...]


En proficiat met je CIPP/E! Viel het mee? Ik had er toendertijd een slecht gevoel over maar was net voldoende (338 punten uiteindelijk).

En CISA overweeg ik ook als volgende, maar vraag me af hoe interessant de stof is. Vond ISO2 7001 lead auditor al afstompend saai voor de geest

CIPP/E viel mee. Hoewel ik er wel met een slecht gevoel naar toe ging: het meerendeel van de vragen op de oefentoetsen die ik op intuitie beantwoorde, die had ik fout. Gaf mij het gevoel alsof ik het dus niet goed begreep. Uiteindelijk met 355 punten geslaagd, voor mij goed genoeg.

Hmmbob schreef op donderdag 4 januari 2024 @ 16:20:
Nog los daarvan zeggen alle pentesters om mij heen "nah, leuke intro" over CEH. Beter investeren in iets met meer aanzien.

Cambionn schreef op donderdag 4 januari 2024 @ 16:45:
[...]

Ik hoor ook wel vaker dat EC-council certificaten niet zo veel voorstellen, of zelfs negatief bekeken worden. Voor mij ook de reden om weg te blijven bij die partij.

kahraman11 schreef op donderdag 4 januari 2024 @ 16:49:
Wij lachten altijd de pentesters uit die bij ons op sollicitatiegesprek kwamen die CEH op hun CV hadden en geen OSCP bijvoorbeeld. Wij wilden altijd graag praktische ervaring zien en dat toon je een beetje aan met het hebben van OSCP. Ik vond het bijvoorbeeld veel interessanter als kandidaten CRTO of OSEP op hun CV hadden staan aangezien die twee certificaten aantonen dat je diepgaande AD kennis hebt en weet hoe je dat moet uitbuiten met (custom) tools.

Dank voor de responses over CEH hierboven. Dan blijf ik daar mooi bij weg. Mijn gedachte was dat ik nu ook wel eens een cursus wil volgen waar wat praktijk(plezier) inzit, in plaats van de vele theoretische (onnodige) kennis opzuigen alsof het Franse woordenlijsten zijn.

[Hmmbob]

Oh ja, disclaimer: ik heb zelf ook CEH gedaan

(Was inderdaad als onderdeel van een "introductie in cybersecurity" bij mijn toenmalige baan). Was wel leuk om te doen, maar heeft me verder in mijn carrière niet specifiek geholpen. Nu ben ik ook maar een manager, geen specialist

[Scoro]

FijneKnul schreef op donderdag 4 januari 2024 @ 09:42:
Voor nu neig ik naar CISA vanwege mijn werkzaamheden, maar kwa interesse/plezier zou het ook wel eens leuk zijn om CEH te doen. Voor mijn gevoel kan ik dan wat rustiger aan doen.

Ik vond CISA erg mager dus zou dan eerder iets anders aanraden van ISACA.
Nu ken ik je rol en wensen niet dus alles is nu een halfbakken advies. Want CIPP-E en CISA en CEH liggen wel heel erg uit elkaar qua focus.

Een CIPM of iets betere bekende zoals CISM zouden je al wat verder kunnen brengen. Vooral CISM is laagdrempeliger vanwege de management bril. CIPP-E is in vergelijking erg veel historie stampen.

sh4d0wman schreef op donderdag 4 januari 2024 @ 10:51:
Een paar jaar voor de covid uitbraak was ik begonnen met bug bounties en heb daardoor diverse betalingen ontvangen/CVEs op naam gekregen. Dat viel stil omdat ik voor mijn kinderen moest zorgen en ik ben mij nu aan het orienteren wat wijsheid is.

Doel(en):
A. Met name memory exploitation en web exploitation verbeteren of kennis updaten.
B. Eventueel baan als pentester of software tester vinden, stabiel inkomen.

In mijn ogen zijn de CVE's op naam meer waard dan een certificaat. Als je die op je CV zet is dat een erg groot pluspunt qua praktijkkennis. De gap kan je prima uitleggen.

En als je dat gedaan hebt zou ik je CV/Linkedin profiel gewoon is op de markt zetten. Ondanks ik de rest van je profiel niet weet verwacht ik gezien de security markt al genoeg belangstelling.
Want eenmaal in dienst bij een partij (optie zorgen die wel voor je verdere ontwikkelingen (optie A).
Dus B naar A.

[RovloSQL]

sh4d0wman schreef op donderdag 4 januari 2024 @ 10:51:
Optie 2.
Offsec OSWE + Portswigger
https://www.offsec.com/courses/web-300/
OSWE lijkt mij nuttig omdat het een whitebox approach hanteert op een grote code-base, dus realistisch.

OSWE heb ik vorig jaar gehaald via een Learn One subscription (met eindejaarskorting). Dit richt zich meer op code reviews en development ervaring helpt omdat je alle aanvallen ook moet scripten. Na het examen van 48 uur krijg je 24 uur de tijd om een pentestrapport in te dienen.

Lees vooral wat ervaringen online, het examen vond ik vrij pittig en mensen zonder development ervaring hebben het (denk ik) lastiger. Jouw ervaring kan wel helpen om de kwetsbaarheden te ontdekken maar zonder script en onderbouwing van de aanpak zak je.

[sh4d0wman]

@Scoro coro en @RovloSQL bedankt voor jullie input!

Ik heb diverse ervaringen gelezen over OSWE.
A. Klopt het dat je voornamelijk werkt aan auth bypasses en RCE verkrijgen?
B. Moet je ook nog local privilege escalation vinden?
C. Mag je Metasploit gebruiken als handler voor reverse shells?

Door Steeven Sealy / MrMe en Google Project0 heb ik mij exploit chaining/scripting aangeleerd. Dat maakt het bij bug-reports ook makkelijker om de vulnerability aan te tonen. De ontvangende persoon hoeft alleen maar de juiste versie te installeren en het script te starten. Als voorbereiding lijkt Portswigger een goede keuze (ja dat is blackbox), dan kan ik (oudere) scripts ook testen/tweaken waar nodig.

Live debugging is iets waar ik op web gebied geen ervaring mee heb. Dat gebruik ik wel voor Windows/Linux applicaties (samen met logging).

Klopt, ik ben geen developer. Het voordeel van de training ten opzichte van 0-day research is dat je er zeker van kan zijn dat er vulnerabilities in de code zitten en ze zullen (grotendeels) overeenkomen met het training materiaal. Maar ja, men staat ook bekend om hun red herrings dus time-management en een goede methodologie zijn belangrijk.

Er zal aardig wat tijd in gaan zitten dus ik ga eerst aan de slag met automation van mijn workflow en weer wat CVE opbouw. Mocht ik OSWE doen dan post ik hier wel even mijn ervaring.

Referenties waar ik van geleerd heb:
Steeven Sealy / MrMe: https://srcincite.io/
Google Project0: https://googleprojectzero.blogspot.com/
ZDI Blog: https://www.zerodayinitiative.com/blog
Securify Blog: https://www.securify.nl/artikelen/
(eigenlijk "advisory" maar die lijkt geen hoofdlink te hebben)

[Arend_Akelig]

Wil binnenkort examen doen voor CISM. Iemand een benchmark voor welke score je moet halen in de oefentoetsen vanuit de QAE database van ISACA om 'klaar' te zijn voor examen? Zit nu op 74%.

[RovloSQL]

sh4d0wman schreef op vrijdag 5 januari 2024 @ 14:47:
@Scoro coro en @RovloSQL bedankt voor jullie input!
Ik heb diverse ervaringen gelezen over OSWE.
A. Klopt het dat je voornamelijk werkt aan auth bypasses en RCE verkrijgen?
B. Moet je ook nog local privilege escalation vinden?
C. Mag je Metasploit gebruiken als handler voor reverse shells?

Garantie tot de deur natuurlijk maar mijn ervaringen:
A. Het examen bestaat uit twee machines en op beide moet je auth bypass (35) en RCE (15) behalen. Minimale score is 85 dus je kan 1 RCE missen.
B. In mijn ervaring is dat niet nodig, focus ligt op web. Met een reverse shell de flag ophalen is voldoende. Wel scripten natuurlijk, listener mag je los opstarten als je wilt.
C. Ik zie die niet terug in de exam restrictions sectie en heb ik ook niet nodig gehad. Maar in de training is een simpele nc listener voldoende.

Exam Restrictions
You cannot use any of the following on the exam:

• Source code analyzers
• Automatic exploitation tools (e.g. db_autopwn, browser_autopwn, SQLmap, SQLninja etc.)
• Mass vulnerability scanners (e.g. Nessus, NeXpose, OpenVAS, Canvas, Core Impact, SAINT, etc.)
• AI Chatbots (e.g. ChatGPT, YouChat, etc.)
• Features in other tools that utilize either forbidden or restricted exam limitations
• Remote mounting of application source code is not allowed (e.g. using sshfs, sftp etc.)

You may, however, use tools such as Nmap (and its scripting engine), Nikto, Burp Free, DirBuster etc. and payload generator tools such as msfvenom and ysoserial against any of your target systems.

[Orangelights23]

Arend_Akelig schreef op vrijdag 5 januari 2024 @ 14:59:
Wil binnenkort examen doen voor CISM. Iemand een benchmark voor welke score je moet halen in de oefentoetsen vanuit de QAE database van ISACA om 'klaar' te zijn voor examen? Zit nu op 74%.

Ik zat rond de 80% bij beide oefentoetsen een paar jaar geleden, maar ik ken ook anderen die 70% hebben en het examen makkelijk gehaald hebben.

[Stufferdt]

Arend_Akelig schreef op vrijdag 5 januari 2024 @ 14:59:
Wil binnenkort examen doen voor CISM. Iemand een benchmark voor welke score je moet halen in de oefentoetsen vanuit de QAE database van ISACA om 'klaar' te zijn voor examen? Zit nu op 74%.

Kreeg voor CISSP de tip toch wel 90% te hebben bij het oefenen voordat je voorbereid bent. Vind ik vrij veel en ga ik zelf niet halen gezien huidige scores. Maar zou sowieso niet te lang wachten met je examen, nu is de focus en energie er nog. Weet uit ervaring dat die snel minder wordt…

En voel me altijd een enorme digibeet als ik over dit soort pentest/technische certificeringen hoor.

[Liegebeest]

FijneKnul schreef op woensdag 3 januari 2024 @ 16:55:
[...]

Zelfs Google kent dit spreekwoord niet.

Welke? Die "laarskamp" Of "drinking from the firehose", wat wel degelijk een gezegde is?

EDIT: Ah, dat zal me leren om zo vroeg te antwoorden. Drie anderen waren me voor.

[ Voor 13% gewijzigd door Liegebeest op 09-01-2024 11:42 ]

[Liegebeest]

Nou, het gaat er toch van komen!

Één of twee keer per jaar komt hier iemand voorbij die vraagt of we SECO Institute kennen of ervaring hebben. Zie hier voor de search. Over een maandje ga ik daar dan voor het eerst toch iets doen! We gaan een dagje op voor SOC-CMM Assessor.

Deze training wordt dan weer gegeven door de bedenker/maker van SOC-CMM zelf, dus dan zit je dichtbij the horse's mouth. Dan moet het ook niet tegenvallen ook.

[ Voor 38% gewijzigd door Liegebeest op 10-01-2024 15:48 ]

[Liegebeest]

Even een vlugge copy/pasta van m'n LinkedIn:

For all the exam beta-test addicts like me: CompTIA have opened their CV0-004 Cloud+ beta, not half an hour ago. You will find it in your PearsonVue CompTIA portal, by searching for "cloud". At $50, it's a steal!

The draft objectives can be found here -> https://comptiacdn.azuree...exam-objectives-(1-1).pdf