Meerwaarde wo master in IT-audit/infosec

[nubis99]

Hallo iedereen!
Het wordt een lange post met veel context verhaal voor mensen die dat interessant vinden, dus wees gewaarschuwd! ;-)

Platgeslagen TL;DR: Heeft wo-master nou echt meerwaarde in de IT-audit branche? Zijn er hier ervaringsdeskundigen die misschien wat meer inzicht kunnen geven in de grote schommelingen in vacature-eisen voor starters in de IT-audit en/of informatiebeveiliging?

Maar dan nu, de "longread":

Ik heb een tijd terug een topic gemaakt over een Masterkeuze. Nou dat is dus gelukt, ik begin in september met de premaster voor information management in Tilburg.

Maar nu heb ik dus het idee dat het misschien best wel een ego-dingetje is, zo'n wo-master. Niet dat dat geen goeie reden kan zijn, je wordt er denk ik hoe dan ook niet slechter van. Zo heb ik het idee dat onderzoek doen best interessant kan zijn (promoveren misschien enzo) en dat een wo-papiertje op termijn best wat deuren open kan krijgen.

Nu ben ik er in de tussentijd wel achter dat mijn focus echt ligt op het snijvlak van business en IT security gerelateerde zaken (niet zo heel gek gezien ik in mijn stages ook de focus erg op iso27001 en de avg had liggen). Dus wat dat betreft is een master met een business/it insteek denk ik wel een goede keus. Maar dan nu de crux van het verhaal:

Van de ene kant denk ik dat er best goed onderzoek te doen is naar dat snijvlak(management van IT security kan denk ik best nog wel eens goed bekeken worden, lijkt me een leuk promotieonderwerp). Voor dit stuk kan ik me voorstellen dat een master een zeer duidelijke meerwaarde en ingangseis is.

Maar aan de andere kant komt met deze interesse natuurlijk ook snel het idee van de IT-auditor, de security consultant of de information security officer naar boven.

Van wat ik zo kan zien zijn deze rollen erg gevarieerd aan entree-eisen. Zo kom je er soms als starter prima tussen, maar soms vragen ze 5+ jaar ervaring voor een "junior" positie. Zo ook qua opleidingsniveau. Ik zie namelijk dat er bedrijven zijn (vooral big4) die blijkbaar nogal wat gewicht hangen aan dat wo-niveau t.o.v. andere bedrijven waar vergelijkbare functies ook best vaak op hbo-niveau geschaald worden.

Mijn vragen/discussiepunten zijn dus eigenlijk als volgt: Is die wo-master nou echt zo zinvol in de IT audit? Zijn er hier ervaringsdeskundigen die misschien wat meer inzicht kunnen geven in de schommeling aan entree-eisen die mij is opgevallen?
Of heb ik het hier helemaal bij het verkeerde eind, en is IT-audit e.d. eigenlijk sowieso niet echt een goed startpunt?

Natuurlijk zijn algemene input en opmerkingen ook welkom, het idee is dat er iets te leren valt uit dit verhaal ;-)

[PureLOOD]

Ik begin even met een stukje persoonlijke ervaring:

Ik ben zelf afgestudeerd bij een big4 kantoor in de infosec hoek, maar zij deden ook IT-audit werk. Wat je zegt daarover klopt wel redelijk, ze nemen vooral mensen aan met een WO-master, daar had ik destijds geen zin in, dus ben ik ergens anders gaan werken.

Van oud-studiegenoten begrijp ik dat deze eisen wel iets minder streng zijn geworden (wellicht door personeelstekorten?), maar een master heeft nog wel altijd de voorkeur.

Wat wel belangrijk is, is dat je als IT-auditor geen Register Accountant hoeft te zijn, maar dat dit vaak wel door elkaar heen loopt (dus een RE, die een IT-audit uitvoert). Of een IT-audit die onderdeel is van een SOx verklaring o.i.d.

Bij de kleinere adviesbureaus heb je vaak wel pure IT-audits (denk aan ISO27001), waar je dus geen RE voor nodig hebt. Daarnaast heb je ook bijvoorbeeld de CISA certificering, die zich op IT-audit richt. Zoals je zelf aangeeft, kun je bij kleinere bedrijven zeker wel aan de slag met je huidige papieren. Daarnaast zijn veel consultancybureaus ook altijd op zoek naar junioren, dan kun je daar mooi een opleidingstraject doen, op kosten van de baas.

Voor breder infosec werk zou ik zeggen, een master is zeker niet nodig, maar als je echt de audit kant op wil, dan is het goede bagage om mee te nemen (dan ben je ook nog niet klaar na die master trouwens).

[SmurfLink]

Bekijk het eens van de andere kant. Waarom zou je het nu niet doen?

[Woodsy]

Toen ik 10+ jaar geleden bij een Big-4 IT audit praktijk begon waren er zat collega's met alleen een (WO) bachelor. En inmiddels zijn ze nog flexibeler geworden. Na ~1 jaar kun je vervolgens starten met de RE-opleiding. Voordeel is dat deze aan de UVA en TIAS ook geaccrediteerd zijn en dus een M.Sc. titel opleveren.
Persoonlijk denk ik dat wanneer je net begint, zonder WO-master en relevante werkervaring, het lastig is je voet tussen de deur te krijgen bij een interne audit dienst. Er zit namelijk best een verschil tussen een (junior) interne auditor en junior IT-auditor bij een Big-4/rijksoverheid. Vandaar dat je daar vaak 5-10 jaar als vereiste ziet terugkomen. Niet onmogelijk, wel lastiger.

Mogelijke opties (niet uitputtend) zijn Big-4, traineeships en overheid (ADR). Daar zijn best mogelijkheden als starter. En om antwoord te geven op je vraag m.b.t. het startpunt; dat zijn uitstekende rollen om te starten binnen security/audit. Ik ben begonnen als auditor en gebruik die ervaring nu in een meer security-gerelateerde rol.

Je haalt overigens ook een aantal keer promoveren aan. Dat is echt een andere tak van sport. En niet te vergelijken met een WO-master (laat staan de RE-opleiding).

[nubis99]

Woodsy schreef op woensdag 19 juli 2023 @ 10:34:
Toen ik 10+ jaar geleden bij een Big-4 IT audit praktijk begon waren er zat collega's met alleen een (WO) bachelor. En inmiddels zijn ze nog flexibeler geworden. Na ~1 jaar kun je vervolgens starten met de RE-opleiding. Voordeel is dat deze aan de UVA en TIAS ook geaccrediteerd zijn en dus een M.Sc. titel opleveren.
Persoonlijk denk ik dat wanneer je net begint, zonder WO-master en relevante werkervaring, het lastig is je voet tussen de deur te krijgen bij een interne audit dienst. Er zit namelijk best een verschil tussen een (junior) interne auditor en junior IT-auditor bij een Big-4/rijksoverheid. Vandaar dat je daar vaak 5-10 jaar als vereiste ziet terugkomen. Niet onmogelijk, wel lastiger.

Mogelijke opties (niet uitputtend) zijn Big-4, traineeships en overheid (ADR). Daar zijn best mogelijkheden als starter. En om antwoord te geven op je vraag m.b.t. het startpunt; dat zijn uitstekende rollen om te starten binnen security/audit. Ik ben begonnen als auditor en gebruik die ervaring nu in een meer security-gerelateerde rol.

Je haalt overigens ook een aantal keer promoveren aan. Dat is echt een andere tak van sport. En niet te vergelijken met een WO-master (laat staan de RE-opleiding).

Ik ben me ervan bewust dat promoveren een hele andere tak van sport is, de reden dat ik het zo veel aanhaal is dat het me net zo goed interessant lijkt, en dat de eerste stap beide kanten uit op dit moment naar mijn idee nog een beetje hetzelfde is, namelijk die master halen. Vanuit daar wordt het toch echt een keuze tussen de opties.

In ieder geval al erg bedankt voor de input!