Ben ik te laat om een carrière in cybersecurity te beginnen?

Iemand stelt deze vraag in elk cybersecurity-forum, elke week, zonder uitzondering. Meestal zijn ze 27, of 35, of 45, en overtuigd dat iedereen anders een voorsprong van vijf jaar heeft gekregen. Dat is niet zo. Hier is de werkelijke berekening over timing, plus een echt pad naar binnen.

Waarom het veld niet als een race werkt

Cybersecurity is geen vaste hoeveelheid banen die vol loopt en sluit. Nieuwe aanvalsoppervlakken ontstaan voortdurend: cloud-misconfiguraties, AI model endpoints, IoT firmware, supply chain-afhankelijkheden. Elk ervan heeft mensen nodig om het te verdedigen. Het veld groeit grofweg in stap met hoeveel van de wereld op software draait, en dat getal blijft stijgen, niet dalen. Een SOC-analist die in 2015 werd aangenomen, had te maken met een volledig ander dreigingslandschap dan er in 2024 — ransomware-as-a-service, MFA fatigue attacks, en living-off-the-land-technieken bestonden nauwelijks of zagen er een decennium geleden anders uit. Dus de persoon die "vroeg is begonnen" zit niet op een geaccumuleerde voorsprong die je onhuurbaar maakt. Half van hun vroege kennis is al verouderd.

De vaardighedenkloof is echt, niet marketing

ISC2's werkforcestudies hebben jaren lang een aanhoudend tekort aan gekwalificeerde veiligheidsspecialisten aangetoond, en werkgeversconsultants met wie ik heb gesproken bevestigen dit van de andere kant van tafel: ze krijgen veel cv's maar weinig kandidaten die echt hands-on-vaardigheden kunnen aantonen. Die kloof sluit niet omdat er geen magische pijplijn is van 22-jarigen die sinds hun geboorte niets dan security hebben gestudeerd. Het sluit (langzaam) door carrièrewisselaars — voormalige systeembeheerders, developers, helpdesk-technici, zelfs leraren en veteranen — die zich zes tot twaalf maanden lang intense moeite geven en competent worden.

Wat er op het ingangspunt werkelijk toe doet

Werkgevers voor SOC-analist-, IT-beveiliging- of junior pentest-rollen vragen niet hoe lang je "in cyber" zit. Ze controleren op specifieke, verifieerbare dingen:

• Kun je een packet capture in Wireshark lezen en uitleggen wat er in gebeurt
• Begrijp je hoe TCP/IP, DNS en HTTP werkelijk werken, niet alleen wat de afkortingen betekenen
• Heb je iets gebouwd of stukgemaakt — een home lab, een CTF-writeup, een kwetsbare VM die je hebt geroofd
• Kun je een duidelijk incident report schrijven of een beveiligingsprobleem aan een niet-technisch persoon uitleggen
• Kun je je weg vinden in de Linux-commandoregel zonder voor basiscommando's een spiekbriefje nodig te hebben

Niets daarvan vereist jaren. Het vereist bewuste oefening. Iemand die vier gerichte maanden doorbrengt met het bouwen van een home lab met pfSense, Security Onion en een paar opzettelijk kwetsbare machines (TryHackMe, HackTheBox, VulnHub) zal vaak iemand beter uitvragen die drie jaar in een helpdesk-baan zit zonder iets beveiligingsgerelateerds te doen.

Een realistisch zesmaandenplan als je van nul af aan begint

Maand 1-2: netwerkfundamenten en Linux-basiskennis. Zorg dat je je op je gemak voelt met subnetting, het OSI-model en basiscommando's in bash. Materie van Professor Messer voor Network+ en OverTheWire's Bandit wargame zijn beide gratis en solide uitgangspunten.

Maand 2-4: kies een richting — blue team of aanvalskant — en ga diep in op één platform. TryHackMe's SOC Level 1-pad of het Pre Security-pad werken goed voor blue team; PortSwigger's Web Security Academy is gratis en uitstekend als je de aanvalskant/web-kant op leunt.

Maand 4-6: behaal één certificering die aansluit op je richting (Security+ voor een brede basis, of eJPT als je iets meer hands-on wilt) en bouw twee of drie gedocumenteerde projecten — een home SIEM-setup, een CTF-writeup blog, een klein pentestrapport over een labomgeving. Zet ze op GitHub of een eenvoudige site. Recruiters scannen cv's dertig seconden; een link naar echt werk verandert dat gesprek.

Het enige wat je werkelijk diskwalificeert

Leeftijd diskwalificeert je niet. Een graad zonder CS diskwalificeert je niet. Wat dat doet is inconsistentie — een cursus starten, na twee weken stoppen, zes maanden later opnieuw beginnen met een ander cursus. De mensen die binnenkomen zijn niet degenen met het meeste natuurlijke talent, het zijn degenen die een paar maanden achter elkaar blijven verschijnen. Dat is werkelijk het hele geheim, zo onromantisch als het klinkt.

Als je de volgende stap in kaart wilt hebben, gaan Korra Studio's Breaking In en Certifications-sporen dieper in op welke entry-level rollen je het eerst moet aanviseren en hoe je je eerste certificering moet inplannen.