Karriere als Security Analyst: vom SOC Analyst zum CISO
Jeder Schritt auf der Leiter der Security Operations, vom Junior Security Analyst über Senior Analyst, SOC Team Lead und Security Manager bis zum Head of Security Operations und CISO: was sich im Job ändert, welche Lücke du schließen musst, wie du es im Lebenslauf und im Vorstellungsgespräch zeigst und ein Plan.
Das cvscored-Team
Inhalt
Die Leiter auf einen Blick
| Schritt | Woran du als Nächstes gemessen wirst | Typische Dauer |
|---|---|---|
| Vom Junior Security Analyst zum Security Analyst | Untersuchungen, die du allein abschließt | 1 bis 2 Jahre |
| Vom Security Analyst zum Senior Security Analyst | Schwere Vorfälle, Threat Hunting und neue Erkennungen | 2 bis 3 Jahre |
| Vom Senior Security Analyst zum SOC Team Lead | Die Menschen und die Qualität einer Schicht | 2 bis 3 Jahre |
| Vom SOC Team Lead zum Security Manager | Plan, Budget und Partner des SOC | 3 Jahre oder mehr |
| Vom Security Manager zum Head of Security Operations | Erkennung und Reaktion für eine ganze Firma | Mehrere Jahre |
| Vom Head of Security Operations zum CISO | Sicherheitsstrategie, Risiko und die Geschäftsleitung | Wenn eine Firma danach fragt |
Die Sicherheit hat zwei Wege, die nebeneinander laufen. Diese Seite folgt Erkennung und Reaktion; der Weg des Entwerfens und Bauens der Abwehr, vom Security Engineer zum Security Architect, steht in den Karrierewegen für Security Engineers. Beide führen zum CISO, und viele wechseln früh in ihrer Laufbahn zwischen ihnen.
Betrifft ein Vorfall personenbezogene Daten, arbeiten Analysten eng mit dem Datenschutzbeauftragten zusammen, dessen Weg vom Koordinator bis zum Chief Privacy Officer in den Karrierewegen für Datenschutzbeauftragte steht.
Analysten, die lernen, warum Angriffe gelingen, wechseln manchmal zum Entwurf der Abwehr; die Leiter des Entwurfs, vom Security Architect bis zum Chief Security Architect, steht in den Karrierewegen für Security Architects.
Vom Junior Analyst zum SOC Team Lead
Vom Junior Security Analyst zum Security Analyst
Was sich ändert: Du sortierst Alarme nicht mehr nur; du untersuchst sie bis zum Ende und entscheidest, mit weniger Fragen an erfahrene Kollegen.
Was dir fehlt: sicherer Umgang mit SIEMLogs in einem SIEM durchsuchen und verknüpfen, Erkennungsregeln tunen und einen echten Alarm vom Rauschen unterscheiden. und EDRLesen, was ein Endpoint-Werkzeug auf einem Laptop oder Server gesehen hat, eine Maschine isolieren und Beweise sichern., Spuren in WindowsWindows-Ereignisse, Active Directory und Gruppenrichtlinien: wo die meisten Angriffe im Büro Spuren hinterlassen. und im NetzwerkProtokolle, Ports, DNS, Proxys und Firewalls gut genug kennen, um Netzwerklogs und Datenverkehr zu lesen. und klare Notizen zu VorfällenUnter Zeitdruck eine Notiz zum Vorfall schreiben, die eine Führungskraft versteht und ein Engineer umsetzen kann..
Im Lebenslauf und im Vorstellungsgespräch: die Arten von Alarmen, die du geschlossen hast, eine Untersuchung, die du geleitet hast, und eine Regel, die du mitgetunt hast. Rechne mit einer Triage-Übung live.
Plan (6 bis 12 Monate): Übernimm die Untersuchungen, die niemand will; bitte einen erfahrenen Kollegen, deine Notizen zu prüfen; lerne jedes Quartal eine Logquelle in der Tiefe.
Vom Security Analyst zum Senior Security Analyst
Was sich ändert: Du bearbeitest schwere Vorfälle, machst Threat Hunting, schreibst neue Erkennungen und coachst Junior-Analysten.
Was dir fehlt: Threat IntelligenceBerichte über Angreifer und ihre Methoden nutzen, um zu entscheiden, wonach du suchst und was du blockierst. und Angreifertechniken, einen Vorfall leitenEinen Vorfall vom ersten Alarm bis zum Abschluss führen: eindämmen, informieren, wiederherstellen und dokumentieren., Umgang mit BeweisenBeweise von Festplatten, Arbeitsspeicher und Logs so sichern und untersuchen, dass die Ergebnisse später standhalten. und wiederkehrende Arbeit automatisierenKurze Skripte, um Logs auszuwerten, Schnittstellen von Werkzeugen aufzurufen und wiederkehrende Schritte der Triage zu automatisieren..
Im Lebenslauf und im Vorstellungsgespräch: Vorfälle, die du geleitet hast, Hunts, die etwas gefunden haben, Erkennungen, die du geschrieben hast, und ihre Wirkung. Rechne mit einer Fallstudie zu einem Ausbruch von Ransomware.
Plan (12 bis 24 Monate): Leite einen Vorfall mit Unterstützung von vorn bis hinten; mach jeden Monat einen Hunt; automatisiere einen Schritt der Triage; begleite einen neuen Analysten als Mentor.
Vom Senior Security Analyst zum SOC Team Lead
Was sich ändert: Du leitest eine Schicht oder ein Team: Dienstplan, Qualität, Schulung und Wohlbefinden und die Eskalationen, die es nach oben schickt.
Was dir fehlt: Menschen führenEine Schicht oder ein SOC-Team führen: Dienstplan, Reviews, Schulung und ruhige Entscheidungen bei Vorfällen. im Schichtdienst, die Arbeit anderer fair prüfen, Vertretungen planen und die Alert Fatigue niedrig halten.
Im Lebenslauf und im Vorstellungsgespräch: das Team, das du geleitet hast, wie sich Qualität und Reaktionszeiten verändert haben, und die Menschen, die du geschult hast. Rechne mit Fragen zu einem müden Team und einem übersehenen Vorfall.
Plan (12 Monate): Leite Übergaben und Reviews der Schichten; verantworte die Schulung neuer Analysten; miss die lautesten Alarme und senke sie mit den Engineers.
Security Manager, Head of Security Operations und CISO
Vom SOC Team Lead zum Security Manager
Was sich ändert: Du leitest das SOC oder eine Sicherheitsabteilung: Plan, Budget, Werkzeuge, Partner und Berichte an das Management.
Was dir fehlt: Budgets und Verträge mit Dienstleistern, Kennzahlen für das Management, ISO 27001Die internationale Norm für das Management der Informationssicherheit und die Nachweise, die ein Audit verlangt. und Nachweise für Audits und Risiken in geschäftlichen Begriffen präsentierenVorfälle, Risiken und die Ergebnisse des SOC der Geschäftsleitung in einfachen geschäftlichen Begriffen vorstellen..
Im Lebenslauf und im Vorstellungsgespräch: das SOC, das du geleitet hast, die Werkzeuge, die du eingeführt oder ersetzt hast, und was sich verbessert hat. Rechne mit einer Fallstudie zur Wahl zwischen einem eigenen SOC und dem Einkauf des Dienstes.
Plan (2 bis 3 Jahre): Verantworte den Jahresplan des SOC; leite einen Wechsel der Werkzeuge; berichte dem Management jeden Monat mit wenigen klaren Kennzahlen.
Vom Security Manager zum Head of Security Operations
Was sich ändert: Du stehst für Erkennung und Reaktion in der ganzen Firma ein, oft mit mehreren Teams, externen Partnern und einer Rufbereitschaft rund um die Uhr.
Was dir fehlt: Organisationsdesign, Krisenmanagement mit Leitung und Rechtsabteilung, Übungen auf Ebene der Firma und Meldepflichten in mehreren Ländern.
Im Lebenslauf und im Vorstellungsgespräch: die Größe des Betriebs, schwere Vorfälle, die du auf Ebene der Firma geleitet hast, und die Reife, die du aufgebaut hast. Rechne mit Fragen von der Rechtsabteilung und der Geschäftsleitung.
Plan (mehrere Jahre): Leite eine firmenweite Krisenübung; bau Beziehungen zu Rechtsabteilung, Kommunikation und Versicherern auf; lass Team Leads zu Managern wachsen.
Vom Head of Security Operations zum CISO
Was sich ändert: Du verantwortest Sicherheitsstrategie und Risiko der Firma, vom Betrieb und Engineering bis zur Governance, und du sprichst gegenüber der Geschäftsleitung für die Sicherheit.
Was dir fehlt: Sicherheitsarchitektur und Governance über den Betrieb hinaus, Regulierung, Budgets auf Ebene der Firma und Kommunikation mit der Geschäftsleitung.
Im Lebenslauf und im Vorstellungsgespräch: das Sicherheitsprogramm, das du geleitet hast, die Risiken, die du gesenkt hast, und wie du darüber berichtet hast. Rechne mit einem Gespräch mit der Geschäftsleitung oder dem CEO.
Plan (wenn eine Firma danach fragt): Übernimm Themen der Governance und des Engineering neben dem Betrieb; präsentiere vor dem Risikoausschuss der Geschäftsleitung; bau dir eine Stellvertretung auf.
Zertifikate und Meldepflichten sind hier in einfachen Worten beschrieben. Das ist keine Rechtsberatung; die Regeln für Vorfälle unterscheiden sich nach Land und Branche.
Dein Lebenslauf für den nächsten Schritt
Ein Schritt nach oben in den Security Operations zeigt sich im Lebenslauf als größere Verantwortung: von Alarmen zu Vorfällen, zu einer Schicht, zu Erkennung und Reaktion einer ganzen Firma. Drei Regeln:
- Schreib jeden Titel so, wie die Firma ihn genutzt hat. Die Namen der Tiers unterscheiden sich; füg also eine Zeile dazu, was du wirklich getan hast.
- Schreib in den Wörtern der nächsten Stufe. Anzeigen für Analysten sagen „Triage“, „SIEM“, „EDR“; Senior-Anzeigen sagen „Incident Response“, „Threat Hunting“, „Detection Engineering“; Anzeigen für Manager sagen „SOC-Betrieb“, „Dienstleister“, „Kennzahlen“.
- Ein Ergebnis in jede Zeile. Schnellere Reaktion, weniger False Positives, gestoppte Angriffe, geschulte Menschen.
| Skill | Schwache Zeile | Starke Zeile, mit Beleg |
|---|---|---|
| SOC Team LeadEine Schicht oder ein SOC-Team führen: Dienstplan, Reviews, Schulung und ruhige Entscheidungen bei Vorfällen. | Das SOC-Team geleitet. | Eine Schicht aus sechs Analysten geleitet; die Qualitätsreviews geschlossener Alarme wurden besser, und in dem Jahr hat niemand das Team verlassen. |
| Schwerer VorfallEinen Vorfall vom ersten Alarm bis zum Abschluss führen: eindämmen, informieren, wiederherstellen und dokumentieren. | Verantwortlich für Incident Response. | Die Reaktion auf die Übernahme des Kontos eines Partners über IT, Rechtsabteilung und Kommunikation koordiniert; die Kunden wurden rechtzeitig informiert. |
| Nachweise für AuditsDie internationale Norm für das Management der Informationssicherheit und die Nachweise, die ein Audit verlangt. | Audits unterstützt. | Die Nachweise des SOC für das Audit nach ISO 27001 vorbereitet; die Auditoren hatten keine Feststellung zum Monitoring. |
| Dienstleister | Das externe SOC gesteuert. | Klare Ziele für die Reaktionszeit mit dem Anbieter des Managed SOC vereinbart und jeden Monat geprüft; Eskalationen kamen schneller und vollständig. |
Das Wichtigste
- Die Leiter: Junior Security Analyst, Security Analyst, Senior Analyst, SOC Team Lead, Security Manager, Head of Security Operations, dann CISO.
- Analyst heißt, Untersuchungen abzuschließen; Senior heißt Vorfälle und Threat Hunting; Lead heißt die Menschen einer Schicht.
- Beim CISO trifft der Weg der Security Operations auf den Weg des Security Engineers.
- Die Namen der Tiers unterscheiden sich von Firma zu Firma; beschreib, was du wirklich getan hast.
- Zertifikate sind freiwillig und neutral genannt; diese Seite ist keine Rechtsberatung.
Häufige Fragen
- Was kommt nach dem Senior Security Analyst?
- SOC Team Lead und Security Manager auf diesem Weg oder ein Wechsel Richtung Engineering, den die Seite für Security Engineers beschreibt.
- Wie lange dauert es, Tier eins hinter dir zu lassen?
- Oft ein bis zwei Jahre, schneller für Analysten, die Untersuchungen allein abschließen und klare Notizen schreiben.
- Kann ein Security Analyst CISO werden?
- Ja. Der Weg der Security Operations führt über das Management dorthin; Governance und Architektur sind die Lücke, die du schließen musst.
- Brauche ich für den Aufstieg ein Zertifikat?
- Kein Gesetz verlangt eines. Manche Anzeigen nennen GCIH oder CySA+; die Vorfälle, die du bearbeitet hast, und die Teams, die du geleitet hast, zählen mehr.
- Was sollte mein Lebenslauf für eine Rolle als SOC Team Lead zeigen?
- Die Schicht oder das Team, das du geleitet hast, wie sich Qualität und Reaktion verändert haben, und die Analysten, die du geschult hast.