Wat zegt een certificaat over de persoon die hem heeft gehaald en welke garantie heb je dat deze meneer of mevrouw ook daadwerkelijk geschikt voor de “job” is? Security.NL vroeg het verschillende mensen die van certificeren hun beroep hebben gemaakt.

“Dat weet je niet. Je weet alleen dat de persoon het kennis- en vaardigheidsniveau heeft dat nodig is om het certificeringstraject (examen) te doorlopen,” zegt Joop Verdonk, CPP en werkzaam als managing director voor het Security College. Hij krijgt bijval van Ronald van Erven, MSc. CISSP CISA, een van de auteurs van het International Management Forum (IMF).

“Garanties of een persoon geschikt is en daadwerkelijk de kennis en kunde heeft krijg je niet door een papiertje te behalen. Tegenwoordig zie je dat IT-ers hun security papieren behalen, omdat iedere zichzelf respecterende IT-er iets van beveiliging af dient te weten. Maar is hij daardoor geschikt of heeft de persoon de juiste kennis, kunde of attitude? Die informatie krijg je enkel door referenties en getuigschriften na te gaan.” Iets wat gisteren ook in het verhaal over het Old Boys Network aan het licht kwam.

Kaf en het koren

Om te voorkomen dat teveel kaf zich als koren kan voordoen, zijn veel certificeringen niet voor het leven geldig, maar moet men zich elke twee á 3 jaar hercertificeren, merkt Verdonk op. Dit hercertificeren doet men door punten te verzamelen die men krijgt door met zijn vak bezig te zijn, ofwel instructie / kennisoverdracht, ofwel artikelen schrijven of actief bezig zijn met bestuurswerkzaamheden binnen relevante beroeps- of aanverwante verenigingen. De gecertificeerde zal dus ‘bij blijven’ in zijn vak, wat in ieder geval een kwaliteitsgarantie geeft.

Volgens André Brugman, Manager Systems Engineers bij Cisco, is hercertificering onderdeel van een goed certificeringssysteem, dat volgens hem minimaal de volgende eigenschappen bevat:

- Periodieke, verplichte hercertificering.
- Examens moeten worden afgenomen door een onafhankelijke instantie.
- Het examen moet bestaan uit een theorie-deel en een praktijk-deel.

De netwerkgigant kiest voor haar certificeringen uit een combinatie van theorie en praktijk, zodat mensen die goed kunnen leren, maar geen praktijkervaring hebben, toch door de mand vallen.

Voor de hoogste certificering, Cisco Certified Internetwork Expert (CCIE) Security, wordt naast het theoretisch examen zelfs een aparte lab-test afgenomen. Deze test duurt een dag en de kandidaat moet van de losse componenten een goed werkend netwerk bouwen en configureren. Halverwege het examen zal de examinator op diverse plaatsen het lab ‘saboteren’ zodat ook de throubleshooting-vaardigheden getest kunnen worden. “Deze combinatie van theoretische kennis en bewezen praktijkkennis maakt dat de kans zeer groot is dat een gecertificeerd persoon ook daadwerkelijk geschikt is.”

Transparantie

Collega Frank van Vliet, CTO van Certified Secure, ziet in certificeringen een meetlat voor de kwaliteiten van een persoon. “Door zo'n certificatie weet iemand anders zeker dat zo'n persoon die kwaliteiten bezit, en waar hij dus voor geschikt is. De garantie die je hebt komt mede uit het vertrouwen dat je hebt in het bedrijf of de persoon die de certificatie heeft uitgevoerd, en de openheid van de certificatie.”

Van Vliet vindt vooral openheid zeer belangrijk, omdat het de mogelijkheid geeft zelf een inschatting te maken van de certificatie. “Bijvoorbeeld, een certificatie dat iemand veilig kan programmeren zegt niet zo veel op zich, maar als hier bij staat dat de persoon in staat is te programmeren met meerdere lagen van beveiliging en problemen als SQL injection en Cross Site Scripting kan voorkomen geeft dit een veel beter beeld van zijn kwaliteiten.” Zodoende hoeft er dan niet alleen vertrouwd te worden op de term 'veilig programmeren'.

Naast openheid speelt ook de context een belangrijke rol of iemand alleen aan de hand van een papiertje geschikt is. “Dat hangt sterk samen met het soort certificering en de context waarbinnen een bepaalde certificering gevraagd wordt,” aldus Lodewijk Nolke, Programme Manager bij DNV Academy - Cibit. “Afhankelijk van de specifieke context zal de verhouding tussen die componenten anders zijn. Om de geschiktheid van een gecertificeerde professional te kunnen bepalen, moet je dus eerst een beeld hebben van de waarde van een bepaalde certificering binnen een bepaalde context. Anders ga je appels met peren vergelijken.”

Bij het SANS Institute worden de taken van verschillende banen geanalyseerd, zodat de certificering goed op de praktijk aansluit. “Dit zorgt ervoor dat de certificeringexamens de vaardigheden meten die voor een bepaalde taak nodig zijn, zoals beschreven in de certificering,” zegt Jeff Frisk, Director of GIAC (Global Information Assurance Certification). Ook Frisk benadrukt het belang dat certificeringen zowel theorie als praktijk behandelen.