security professionals <-> sommige andere IT experts

Koeien en paarden. Een (goede) security expert kijkt, i.i.g. in Europa, veel
breder naar informatie(beveiliging) dan vanuit alleen een IT-perspectief.
Dus ook naar organisatie, procedures en fysieke maatregelen...

In europa maakt het geen verschil allesinds niet voor mij.
Ben consultant en heb cissp, ccse en ccna en ik verdien niet
meer dan pak weg 2 jaar geleden.
Enke de hele grote bedrijven weten wat een cissp is, en heb
al gesoliciteerd voor jobs als zijnde security officer en
die vragen een bachelor in IT en niet cissp. En het is niet
de ervaring want ik heb 10 jaar in it waarvan 7 in it security.

Gecertificeerde chirurgen ook toch?

idd, de meeste fouten liggen gewoon bij de end user en de
manier waarop er omgesprongen wordt met vertrouwelijke data.

Dat gaat snel veranderen, wat dat betreft loopt europa en
vooral nederland vaak achter. Gewoon nog even doorbijten ;-)

Ik mis CompTIA Security+ en CEH toch niet zo hot?

Zeker wel ... maar zijn wellicht niet van herzelfde hoge
niveau als de genoemde certificeringen.

Misschien is het je matige niveau van schriftelijke vaardigheid.

Security is zonder meer ''HOT''. In Amerika lopen ze voor op dit gebied. Daar
komen ook de meeste producten vandaan met uitvoerig patch
management :) Hier zijn we nog aan het ''stoeien'' met ITIL procedures.
Security certificering is een boeiende en bloeiende markt. Hier kan veel
geld mee worden verdiend. Vanuit verschillende hoeken komen er
organisaties die zich specialiseren op deze groeimarkt en een graadje
willen meepikken van deze grote en groeiende koek. Security in Europa
wordt nog niet serieus genomen en men volgt meestal een ''bottum up
aproach''. Er zijn uitzonderingen bij organisaties die IT serieus nemen. Het
niveau waar security zou moeten liggen ligt in veel organisaties te laag. Het
gevolg hiervan is dat er geen waardering en stimulering is voor de mensen
die dit serieus nemen. Dit is slechts een kwestie van tijd. Security is een
lange termijn visie. Op een gegeven moment gebeurd er iets en breekt dit
door. Geduld en er komen mooie tijden in een uitzonderlijk boeiend
vakgebied.

Opm. vooraf: Security kan gelezen worden als IT Security en Information Security, ff voor het gemak.

Het zal een beetje afhangen wat je als security kennis gaat beschouwen
en of je in de techniek, architectuur (security breed) of security
management zit. CISSP is een algemene security certificering met weinig
diepgang (maar met redelijk aanzien). CCNA is een basis certificering
(product certificering) voor cisco netwerken (en heeft in essentie niet zoveel
met security te maken en heeft een junior karakter). CCSA en CCSE
(Checkpoint) is 'gewoon' een product certificering (CCSE natuurlijk wat
meer op design, diepgang en architectuur) en heeft in essentie ook minder
met security te maken. Natuurlijk zitten er veel security gerelateerde
aspecten in (voordat ik wordt afgeschoten) maar je wordt (of kan worden)
gezien als een netwerk man met veel Checkpoint kennis. Er is o.a. in
Eindhoven een Master opleiding voor security (MSIT), . Certificeringen in
het algemeen openen in eerste instantie deuren en tellen in het totaal
pakket zeker mee voor je loon (bij aanname). Het punt is dat bepaalde
certificeringen duiden op een technische expertise, vaak m.b.t. een product
(PIX, Checkpoint, Windows). Als je verder wilt komen in de security (en in
salaris) dan zul je richting architectuur en security management moeten
gaan. In beide gevallen gaan de persoonlijke competenties veel zwaarder
wegen. Men noemt zichzelf al gauw consultant terwijl er velen zijn die
technisch specialist zijn op een beperkt veld (en dat uit zich vaak ook in de
cv, is ook goed maar heeft beperkingen). CISSP is een leuke om te
hebben, een uitbreiding op het auditing en forensics gebied (CISA en
CCE+CIFI, als voorbeeld) is leuk. Denk ook aan uitbreidingen op BS7799
en kennis van vele andere zaken als SOX, HIPAA, COBIT etc. Daarnaast
moet het abstracte architectuur denken aantoonbaar ontwikkeld zijn. Ik vind
dat je zowiezo 2 goed ontwikkelde specialismen moet hebben, ook als
architect. Deze specialismen moeten meegroeien met de markt en
mogelijk moeten ze gewijzigd worden door de jaren heen.

Die eerst lijkt mij niet hot (zie je minder in vacatures volgens mij), de
tweede (Certified Ethical Hacker als ik het goed heb) heeft steeds meer
waarde, afhangende van de plaats op de cv. Hangt het er bij of dit er
bijvoorbeeld auditing ervaring en certificering bij?

De meest fouten liggen bij de end-user? Hoe moet een end-user weten
dat iets vertrouwelijk is? Is er een systeem voor classificatie van
bijvoorbeeld documenten? Zijn er policies voor?

De fouten liggen niet 'gewoon' bij de end-user, dat zou te gemakkelijk zijn
en afbreuk den aan het onderwerp security in de breedste zin des woords.
De vinger wijzen naar de end-user zal als onacceptabel ervaren worden
door de business.