Vacatures

Omschrijving

Achtergrond, aanleiding en doel van de opdracht

IVOM is in 2022 opgericht als zelfstandig OM-onderdeel en versterkt, vernieuwt en professionaliseert de dienstverlening op het gebied van informatievoorziening binnen het OM en met ketenpartners zoals de Rechtspraak en de Politie. Het Security Operations Center (SOC) van IVOM detecteert en reageert op securityincidenten binnen de IT-omgevingen van het OM. Het SOC is in ontwikkeling: nieuwe logbronnen worden ontsloten, detectie wordt doorontwikkeld (o.a. risk-based alerting) en de inzet van EDR wordt uitgebreid. Ter versterking van het team zoeken wij een SOC-analist die de dagelijkse monitoring en incidentafhandeling mee draagt en actief bijdraagt aan deze doorontwikkeling.

Van SOC naar SecOps

Het SOC groeit door naar een SecOps-team, waarin security operations en security engineering samenkomen. Naast de analistenrol krijgt de kandidaat daarom ook een rol in security engineering: het mee inrichten, beheren en doorontwikkelen van de securitytooling (SIEM en EDR), het aansluiten van logbronnen, het ontwikkelen van detectieregels en het automatiseren van terugkerende werkzaamheden.

Tooling

Het SOC werkt met Splunk Enterprise Security als SIEM en met Tanium voor endpointbeheer en EDR. Ervaring met deze specifieke tooling is geen eis; werkervaring met vergelijkbare SIEM- en EDR/XDR-oplossingen (bijvoorbeeld Microsoft Sentinel en Defender) volstaat. Eerdere werkervaring met of gevolgde trainingen in Splunk en/of Tanium zijn een pré.

Werkwijze

Het SOC draait diensten op werkdagen van 09:00 tot 17:00 uur. De kandidaat werkt minimaal 4 dagen per week op locatie in Utrecht als onderdeel van het SOC-team. De kandidaat valt nu inhoudelijk onder de SOC Lead en in de toekomst onder de nieuwe teamleider SOC.

Piket

De kandidaat neemt deel aan de piketdienst van het SOC. Buiten kantoortijd (op werkdagen tussen 17:00 en 09:00 uur en in het weekend) is de piketdienst bereikbaar voor kritieke securitymeldingen en schaalt deze waar nodig op.

Taken

• Monitoren van securitymeldingen en findings in SIEM tijdens de SOC-diensten.
• Triage, analyse en (initiële) root-cause-analyse van securityincidenten en vastleggen van bevindingen in het casemanagementsysteem.
• Onderzoek op endpoints en opvolgen van EDR-detecties.
• Escaleren naar en ondersteunen van incident response, inclusief afstemming met hosting- en beheerpartijen.
• Proactief threat hunten op basis van actuele dreigingsinformatie (o.a. NCSC-adviezen) en MITRE ATT&CK.
• Adviseren over verbetermaatregelen (zoals hardening en configuratie) naar aanleiding van bevindingen.
• Bijhouden van werkinstructies en playbooks.
• Deelnemen aan de piketdienst van het SOC buiten kantoortijd.

Taken security engineering

• Mee inrichten, beheren en doorontwikkelen van de securitytooling (SIEM en EDR).
• Aansluiten en valideren van nieuwe logbronnen, inclusief normalisatie van de data.
• Ontwikkelen, testen en verbeteren van detectieregels en terugdringen van false positives.
• Automatiseren van terugkerende SOC-werkzaamheden (scripting).

Verantwoordelijkheden

• Tijdige, zorgvuldige en navolgbare afhandeling en vastlegging van securitymeldingen binnen de afgesproken werkwijze van het SOC.
• Signaleren en escaleren van (potentiële) incidenten naar de SOC Lead (en later teamleider SOC) en incident response.
• Rapporteren aan de SOC Lead; in de toekomst aan de nieuwe teamleider SOC.

Over de klant

Het OM is belast met de strafrechtelijke handhaving van de rechtsorde en heeft daartoe het gezag over de opsporing van strafbare feiten. Er wordt daarbij samengewerkt met politie en andere opsporingsdiensten. Het OM kan daarnaast als enige instantie in Nederland bepalen of iemand voor de strafrechter moet verschijnen, en zo ja, voor welk strafbaar feit. Ook kan het OM zelf strafbare feiten afdoen zonder tussenkomst van een rechter door middel van een strafbeschikking.

Het OM heeft een zelfstandige IV‐organisatie genaamd ‘IVOM’, IVOM heeft als doel de kwaliteit van de dienstverlening vanuit IT, en de sturing op de Informatievoorziening (IV), onder één dak te brengen én te verbeteren. Het IVOM bestaat uit de voormalige OM-onderdelen Domein IT (DVOM) en CIO-office (PaG) en valt onder aansturing van de Directeur IV. De directeur IVOM rapporteert rechtstreeks aan het College.

Vanwege wijzigingen in het nieuwe Wetboek van Strafvordering moet het OM haar werkwijze en ICT-systemen vanaf nu daar op voorbereiden. De oude OM-systemen zijn toe aan vervanging en ook de papieren werkwijze is nog niet aangepast aan de digitale wereld en het nieuwe wetboek. Het OM heeft hiertoe in 2020 een strategie en meerjarenplan laten opstellen voor de vernieuwing richting 2027. Voor de periode 2020-2027 zijn hierin zeven thema’s geïdentificeerd die relevant zijn:

• Verbeteren van de informatiepositie van OM medewerkers;
• Meer eenheid van beleid en leiding met behoud van professionele ruimte;
• Doelmatige en betrouwbare uitvoering van OM kerntaken;
• Versterken van de ketensamenwerking;
• Verdergaande digitalisering van alle werkprocessen;
• Verbeteren van de informatievoorziening richting slachtoffers, verdachten en veroordeelde;
• Vergroten van de digitale weerbaarheid van het OM (cyber security).

Het OM programma Emma heeft als doel het moderniseren van het IT-landschap voor strafzaken en tegelijkertijd processen en werkwijzen te verbeteren, zodat invulling wordt gegeven aan de doelstellingen achter de genoemde thema’s, gebruik wordt gemaakt van de mogelijkheden van digitale technologie en het OM in staat wordt gesteld het nieuwe Wetboek van Strafvordering goed uit te kunnen voeren.

Competenties

• Analyseren.
• Creativiteit.
• Netwerken.
• Omgevingsbewustzijn.
• Organisatiesensitiviteit.
• Overtuigingskracht.
• Plannen en organiseren.

Vereiste Kwalificaties

• De kandidaat heeft 'X' aantal jaar kennis van en/of ervaring met Splunk (SPL/Enterprise Security) en/of Tanium, blijkend uit (eerdere) werkervaring of gevolgde trainingen. Certificering hierin is niet vereist.
• De kandidaat heeft EDR/XDR en endpointbeveiliging: (1) implementatie en/of beheer van EDR-oplossingen en (2) onderzoek en opvolging van endpointdetecties.
• De kandidaat heeft aantal afgeronde, relevante securitycertificeringen (vendor-specifiek of vendor-neutraal, bijvoorbeeld Microsoft-, Cisco-, CompTIA-, Splunk-, GIAC- of BTL-certificeringen).
• De kandidaat heeft ervaring met security engineering, aantoonbaar uit het cv: (1) implementeren en/of beheren van securitytooling (bijvoorbeeld SIEM of EDR), (2) aansluiten van logbronnen en/of ontwikkelen van detectieregels, (3) automatisering of scripting (bijvoorbeeld PowerShell, Python, KQL of SPL).
• De kandidaat heeft kennis van aanvalstechnieken en detectiemethodiek, blijkend uit werkervaring of opleiding: (1) MITRE ATT&CK en/of Cyber Kill Chain, (2) threat hunting, (3) malware-analyse.
• De aangeboden kandidaat heeft minimaal 18 maanden werkervaring (opgedaan in de afgelopen 4 jaar) met het monitoren, analyseren en opvolgen van securityincidenten in een SIEM-omgeving (bijvoorbeeld binnen een SOC of MSSP).
• De kandidaat is in het bezit van minimaal één afgerond, relevant securitycertificaat, zoals Microsoft SC-200, Cisco CyberOps Associate, CompTIA Security+ of CySA+, Splunk Core Certified User/Power User, Blue Team Level 1, GIAC (GSEC/GCIH/GCIA) of gelijkwaardig.
• De aangeboden kandidaat beschikt vóór aanvang van de opdracht over een geldige VOG en B-screening.
• De kandidaat heeft 'X' aantal jaar ervaring met de volledige incidentketen, (1) monitoring/detectie, (2) triage, (3) root-cause-analyse en (4) advies over of doorvoeren van verbetermaatregelen. Dit dient uit het cv te blijken.
• De aangeboden kandidaat beschikt over een afgeronde ICT-opleiding op minimaal MBO 4-niveau.
• De aangeboden kandidaat heeft aantoonbare werkervaring met EDR/XDR-oplossingen (bijvoorbeeld Microsoft Defender, CrowdStrike, Tanium of gelijkwaardig).
• De aangeboden kandidaat beheerst de Nederlandse taal vloeiend in woord en geschrift (minimaal niveau C1).
• De aangeboden kandidaat is beschikbaar voor 36 uur per week en werkt minimaal 4 dagen per week op locatie in Utrecht.
• De opdracht is niet geschkt voor een ZZP'er.

Type werk

Detachering