QSHE naar IT-Security

[YouR]

Eerst een beetje achtergrond.
Ik heb sinds vorig jaar april het werkende leven ingegaan. Dit deed ik met een HBO Integrale Veiligheidskunde en een Master Psychology: Conflict risk & safety.
Nu ben ik een Jr. QSHE adviseur en houd ik me dagelijks bezig met registraties van incidenten, het analyseren waar deze incidenten vandaan komen en maatregelen af te spreken met teamleiders. Verder schrijf ik RI&E's, toolboxen en ben ik bezig met processchema's updaten. Ik begeleid samen met de Coördinator de audits op het gebied van ISO 9001/14001/45001 & 27001 met daarnaast ook nog VCA.
Verder ben ik nu een AVG cursus aan het afronden en ben ik onderdeel van het interne auditteam.

Nu zoek ik iets meer richting de IT, dit vanwege het werkaanbod, het loon, maar ook omdat ik me liever op 1 gebied specialiseer dan dat ik me op meerdere gebieden moet richten.

De meest logische keus lijkt me om te gaan naar IT-security "advies & beleid", het risicodenken ontwikkel ik nu al en heb al ervaring met AVG vraagstukken en al 2 audits van ISO27001 meegemaakt. Daarvoor mis ik uiteraard technische kennis.

Wat zouden volgens jullie goede certificaten, cursussen zijn om deze switch te maken? Security+ lijkt me een mooie basis, maar hoe verder? En welk voordeel zien jullie met mijn achtergrond?

Sidenote: Ben op het moment bezig met 100daysofpython om te kijken in hoeverre ik hier "feeling" voor heb, maar ik begrijp dat coderen niet per se noodzakelijk is voor de richting waar ik heen wil.

[PureLOOD]

Ik denk niet zo'n hele gekke switch. Het klinkt wel alsof je 0,0 technische achtergrond hebt. Dan kan het wel pittig worden.

Gelukkig zijn er binnen (IT) Security een heleboel verschillende richtingen, waarbij technische kennis meer of minder belangrijk is. Ik zou vooral het Topic: IT Security Certificeringen
eens doornemen. Daarkomt vanalles voorbij.

Voor jou persoonlijk is in de IT risk management hoek misschien niet zo gek, dan zit je te kijken naar CISM, of CRISC. CISSP is ook een goede basis, maar mogelijk nog wel een stap te ver voor waar je nu staat.

[YouR]

Klopt, technische achtergrond is op het moment niet aanwezig, maar wil zeker de tijd en ruimte om hier mee bezig te gaan. Ik heb op de middelbare wel informatica gevolgd met een N&T profiel, maar lijkt me niet noemenswaardig.

Wat mij nu bevalt in mijn werk is dat het gesprek aan ga met mensen uit "de uitvoering" die mij input kunnen leveren, dit naast wet- en regelgeving en dergelijke leggen en op basis daarvan advies te kunnen geven. Dan moet ik wel natuurlijk wel kunnen begrijpen waar ze het over hebben en het totale plaatje qua techniek kunnen snappen.

Wat zouden dan manieren zijn om het fundament op dit technische vlak te creëren?

[Orangelights23]

Ik ken aardig wat QESH mensen die richting de security zijn gegaan. Zeker als het gaat om operationeel beheer van een ISMS, heb je al een groot deel te pakken. Technische kennis is niet een harde eis, AVG is privacy en geen security, maar voor een groot deel is het een logische stap.

Je zou eens kunnen kijken naar ISO27001 lead implementer. En je kunt mij altijd een bericht sturen, heb nog goede contacten met security clubs

[sOid]

Voor certificaten raad ik altijd dit overzicht aan. Mooi gegroepeerd op verschillende (sub)specialisaties binnen de informatiebeveiliging: https://pauljerimy.com/security-certification-roadmap/

Wil je in de auditsector blijven? Dan kan ik je aanraden om je te gaan verdiepen in de Baseline Informatiebeveiliging Overheid (BIO). Da's een afgeleide van de ISO27001/27002 en daar gaat vermoedelijk rond 2025 een auditplicht op komen voor alle overheden. Een beetje hetzelfde verhaal met NIS2. Specifieke kennis over deze gebieden ontbreekt bij veel auditors, en ik denk dus dat jij jezelf hierin kan onderscheiden.

Ik kan je hierbij wel echt aanraden om je in de meer technische dingen te verdiepen. Je schrijft dat je nu met Python bezig bent, maar voor de auditkant van security is dit vrij irrelevant. Daar zijn termen als autorisatiebeheer/RBAC, active directory, netwerken in breedste zin van het woord (poorten, protocollen, zonering, microsegmentatie), ISMS, SIEM/SOC etc belangrijker. Ook goed om te weten hoe iets als een pentest gaat.

De basis van veel van deze dingen kun je trouwens op een leuke, laagdrempelige manier leren via tryhackme. Ook sites als darkreading.com, bleepingcomputer.com en security.nl zijn nuttig om te lezen. Zoek termen op die je niet kent. Daarnaast kan ik je voor een betere beeldvorming (en sappige verhalen ) over dreigingen en spraakmakende cases de podcastserie Darknet Diaries aanraden.

[ Voor 15% gewijzigd door sOid op 03-08-2023 20:56 ]

[sOid]

PureLOOD schreef op donderdag 3 augustus 2023 @ 14:18:
Ik denk niet zo'n hele gekke switch. Het klinkt wel alsof je 0,0 technische achtergrond hebt. Dan kan het wel pittig worden.

Gelukkig zijn er binnen (IT) Security een heleboel verschillende richtingen, waarbij technische kennis meer of minder belangrijk is. Ik zou vooral het Topic: IT Security Certificeringen
eens doornemen. Daarkomt vanalles voorbij.

Voor jou persoonlijk is in de IT risk management hoek misschien niet zo gek, dan zit je te kijken naar CISM, of CRISC. CISSP is ook een goede basis, maar mogelijk nog wel een stap te ver voor waar je nu staat.

Ik heb het even niet scherp, maar heb je voor CISM en CISSP niet een jaar of 5 aantoonbare ervaring in het werkveld nodig?

[bombadil]

Watc dacht je van de RE opleiding (EDP/IT-auditor )?

Wat meer hoog-over maar sluit wel goed aan op jouw audit-ervaringen. En positieve bijdrage aan jouw arbeidsmarktpositie. Kost wel tijd en budget.

https://www.norea.nl/re-worden

[ Voor 4% gewijzigd door bombadil op 03-08-2023 21:18 ]

[PureLOOD]

sOid schreef op donderdag 3 augustus 2023 @ 20:49:
[...]

Ik heb het even niet scherp, maar heb je voor CISM en CISSP niet een jaar of 5 aantoonbare ervaring in het werkveld nodig?

Klopt, maar beide clubs (ISC2 en ISACA) hebben een soort aspirant lidmaatschap. In de tussentijd kun je dan de werkervaring opdoen. ISC2 heeft volgens mij ook een entry level optie tegenwoordig. Maar die is (nog) niet zo bekend bij recruiters e.d.

[sOid]

PureLOOD schreef op vrijdag 4 augustus 2023 @ 10:40:
[...]


Klopt, maar beide clubs (ISC2 en ISACA) hebben een soort aspirant lidmaatschap. In de tussentijd kun je dan de werkervaring opdoen. ISC2 heeft volgens mij ook een entry level optie tegenwoordig. Maar die is (nog) niet zo bekend bij recruiters e.d.

Goed om te weten! Ik heb zelf nog geen 5j werkervaring in het vakgebied en dat heeft me er tot nu toe van weerhouden om voor CISM te gaan. Maar dat kan dan toch nuttig zijn.

[ Voor 4% gewijzigd door sOid op 04-08-2023 12:34 ]

[YouR]

sOid schreef op donderdag 3 augustus 2023 @ 20:43:
Voor certificaten raad ik altijd dit overzicht aan. Mooi gegroepeerd op verschillende (sub)specialisaties binnen de informatiebeveiliging: https://pauljerimy.com/security-certification-roadmap/

Wil je in de auditsector blijven? Dan kan ik je aanraden om je te gaan verdiepen in de Baseline Informatiebeveiliging Overheid (BIO). Da's een afgeleide van de ISO27001/27002 en daar gaat vermoedelijk rond 2025 een auditplicht op komen voor alle overheden. Een beetje hetzelfde verhaal met NIS2. Specifieke kennis over deze gebieden ontbreekt bij veel auditors, en ik denk dus dat jij jezelf hierin kan onderscheiden.

Ik kan je hierbij wel echt aanraden om je in de meer technische dingen te verdiepen. Je schrijft dat je nu met Python bezig bent, maar voor de auditkant van security is dit vrij irrelevant. Daar zijn termen als autorisatiebeheer/RBAC, active directory, netwerken in breedste zin van het woord (poorten, protocollen, zonering, microsegmentatie), ISMS, SIEM/SOC etc belangrijker. Ook goed om te weten hoe iets als een pentest gaat.

De basis van veel van deze dingen kun je trouwens op een leuke, laagdrempelige manier leren via tryhackme. Ook sites als darkreading.com, bleepingcomputer.com en security.nl zijn nuttig om te lezen. Zoek termen op die je niet kent. Daarnaast kan ik je voor een betere beeldvorming (en sappige verhalen ) over dreigingen en spraakmakende cases de podcastserie Darknet Diaries aanraden.

Aah top.
Dat overzicht geeft mooi weer welke certificaten en dergelijke nodig zijn in het gebied waar ik me op wil richten "Security and risk management", wel heel overweldigend die hoeveelheid. Belangrijk om even te kijken welke noodzakelijk zijn.

Bij mijn huidige werkgever is het ISO27001 gedeelte vrij beperkt en ze zullen deze certificaten niet noodzakelijk vinden voor mijn functie. Dit betekent dat het uit eigen budget moet komen en ook wel wat tijd in gaat zitten naast mijn baan, maar stap voor stap moet ik wel komen waar ik wil.

Allen bedankt voor het advies, genoeg dingen om uit te zoeken en over na te denken!