Ik snap je knoop, de techniek rond security vind je leuk en uitdagend. Tevens zie je dat er eigenlijk geen echte vraag voor dat werk is als dat het enige specialisme is. Nu zit je vaak bij een 1e/2e lijns helpdesk, herstel je schade als gevolg van ...

Een iets andere richting. Heb je gedacht aan het beroep "software tester"? Dit raakt vele aspecten en security aspecten kunnen er mooi een deel van uitmaken. (TMAP ISTQB http://www.istqb.org/certification-path-root/advanced-security-tester/advanced-security-tester-contents.html).
Er zullen best meer beroepen/werkzaamheden zijn, je bent op zoek naar iets waar vraag naar is en wat je leuk vind.

Op korte termijn is je beste move een andere baan vinden waarbij je meer met security kan doen.
Op lange termijn is je beste move een HBO opleiding doen.

Je zou ook kunnen kiezen voor een andere baan :)

Bij oom agent is er een afdeling die nog helemaal in de groei zit waar je dus volop kunt leren en bezig zijn met security.

Als je dat weer zat bent kun je naar het forensisch lab om in beslag genomen digitale devices te ontsleutelen..

Software tester is eerlijk gezegd nog nooit in me opgekomen.
Ik denk omdat ik toch meer naar de network security kant wil dan de software kant.

Een andere baan is een optie, alleen ben ik op het moment bezig met een hypotheek dus dan komt mijn huidige vaste contract goed van pas.
Dus eigenlijk wil ik daar nog even mee wachten..

Wat mij het leukste lijkt, maar echt nog 0 ervaring mee heb, is om bijv, zwakheden in bedrijven netwerken te zoeken en dit op te lossen. Pen-testen, audits e.d.

Ik heb zelf jarenlang 2 internet verbindingen gehad: 1 via het KPN netwerk en 1 via de kabel van Casema/Ziggo. Zo kon ik naar hartelust experimenteren, ik kon op de ene verbinding een netwerk met servers en clients opzetten en die buitenom, dus niet over het LAN maar over het internet, proberen te "hacken". Daar heb ik ontzettend veel van geleerd. Verder, als je zwakheden in een bedrijfsnetwerk wilt ontdekken moet je eerst een berg verstand hebben over hoe een netwerk in elkaar steekt, en dat is niet alleen TCP/IP maar ook en misschien zelfs eerder de tekortkomingen weten van de besturingssystemen die "aan de andere kant" draaien. Slimme zoekopdrachten op het internet kunnen je hierbij helpen.

Indien van baan wisselen geen optie is en je werkgever niet veel aandacht aan security geeft dan lijkt mij het beste om intern je eigen baan te creëren, maak een goed onderbouwde businesscase.

Op gebied van opleiding kan ik je adviseren om de CISSP opleiding te gaan volgen, dit wordt over het algemeen meer gewaardeerd dan Ethical Hacking.

Voor je businesscase, hier een aantal tips:
- vraag aan je werkgever of je een paar scans (zonder impact) mag uitvoeren;
- Maak wat scans van de publieke servers van je werkgever met SSLLabs (https://www.ssllabs.com)
- Resultaten alles lager dan A- is een potentieel beveiligingslek, de type beveiligingslekken worden over het algemeen weergegeven (Poodle, Drown, etc)
- Maak een gratis Qualys Vulnerability Management account aan (https://www.qualys.com/forms/trials/qualysguard/#/vm). Hiermee mag je tot 10 kwetsbaarheden scans doen, doe de scans op de servers die binnen SSLLabs lager dan A- scoren.
- Gebruik de Qualys resultaten voor je business case;
- Check een aantal servers en controleer of alle security updates daadwerkelijk zijn geïnstalleerd (niet alleen MS updates);
- Gebruik de onbrekende security patches voor je businesscase;
- Vraag of er een security beleid is, gezien je achtergrond, vraag vooral naar de technische beleidsstukken. Indien dit niet aanwezig is, gebruik dit dan voor je businesscase;
- Indien de beleidsstukken wel aanwezig zijn, toets dan of het beleid idd wordt nageleefd;
- Download een aantal CISecurity.org benchmarks van servers/netwerkcomponenten die bij jullie intern draaien. Toets of jullie omgeving voldoet aan de benchmarks (instellingen) vanuit CISecurity. Rapporteer eventuele afwijkingen en gebruik die voor je businesscase.

- Gebruik je resultaten en zoek naar concrete voorbeelden van hacks/beveiligingsincidenten die mogelijk zijn i.c.m. de gevonden resultaten/kwetsbaarheden. (het internet staat er vol mee)

Nu het moeilijkste:

Schrijf je businesscase aan het hogere management (maar bespreek hem altijd eerste met je directe leidinggevende!!!)
- Beschrijf de gevonden kwetsbaarheden;
- Beschrijf de beveiligingsincidenten die kunnen optreden n.a.v. de kwetsbaarheden;
- Probeer een hoog over business impact analyse op te stellen, (wat is de impact kosten/imago/reputatie indien er zich een beveiligingsincident voordoet) Niet te moeilijk maken, gewoon uit de duim, zet vooral imago/reputatie hoog indien je bij een ICT dienstverlener werkt.
- Beschrijf dat je een rol van technical security specialist wilt vervullen om de incidenten snel te verhelpen.

Ik wil je graag verder helpen, post eventuele resultaten en/of vragen op dit forum. Als er meer personen op dit forum hulp bieden dan heb je genoeg specialisten bij elkaar.

p.s. security staat niet altijd hoog op de agenda omdat het hogere management vaak niet weet wat de actuele kwetsbaarheden en bedreigingen zijn. Laat staan de eventuele impact op de bedrijfsvoering.

Bedankt voor jullie reacties!
Ik heb nog nooit eerder een businesscase opgesteld maar voor alles een eerste keer!

Ik ben gelijk begonnen met het testen van de server bij ons intern maar deze komen allemaal positief uit de tests.
Gelukkig zijn een aantal servers van klanten wel geschikt dus die ga ik gebruiken voor deze case.

Eerlijk gezegd is dit niet echt wat ik had verwacht, maar het lijk me wel erg interessant om te doen!

Ik laat zsm weten of het lukt!

Goed om te horen.

Let wel op: ssllabs kan alleen checks uitvoeren op servers met een publiek ip adres.

Misschien kun je aan je directe leidinggevende vragen of hij een template/voorbeeld van een interne businesscase heeft. Opzich zijn er voldoende templates op internet te vinden maar mijn ervaring is dat het meestal net wat beter overkomt wanneer je de default huisstijl gebruikt, puur omdat het hogere management hier al ervaring mee heeft.