De route van servicedesk naar SOC is de best beschikbare interne doorstroom die de meeste organisaties nooit inrichten. Twee verdiepingen lager zit een team dat elke dag meldingen beoordeelt, prioriteert, doorvraagt en vastlegt. Dat is triagewerk. De inhoud verschilt, het denkwerk niet, en dat maakt de leerafstand tot een analistenrol korter dan de functietitels suggereren.
Wat die groep aantrekkelijk maakt is meer dan beschikbaarheid. Servicedeskmedewerkers kennen de gebruikers, weten welke afdeling standaard buiten proces werkt en herkennen aan de toon van een melding of iemand iets verzwijgt. Die context krijg je bij een externe aanwerving pas na maanden, als je hem al krijgt. Doorstroom van servicedesk naar SOC begint dus met een voorsprong die je nergens kunt inkopen.
Wat de servicedesk al kan zonder het zo te noemen
Een SOC-analist doet drie dingen: binnenkomende signalen beoordelen, bepalen wat urgent is, en het onderzoek zo vastleggen dat een ander het kan overnemen. Een servicedeskmedewerker doet exact hetzelfde, alleen met storingen in plaats van alerts. Wie de stap van servicedesk naar SOC maakt, verandert dus van onderwerp en niet van vaardigheid.
Ticketdiscipline is daarbij onderschat. Wie jarenlang meldingen heeft geregistreerd volgens een vast stramien, schrijft onderzoeksnotities die bruikbaar blijven. Dat klinkt triviaal tot je een analist meemaakt die na een incident niet kan reconstrueren wat hij zelf drie dagen eerder heeft gedaan. Een servicedeskmedewerker heeft die gewoonte er al in zitten, omdat zijn tickets altijd door iemand anders worden opgepakt. Het NCSC benadrukt bij de incidentresponsfases dat de analyse accuraat moet worden vastgelegd, omdat die informatie later als bewijsmateriaal kan gelden.
Er is nog een reden waarom de servicedesk dichter bij het SOC staat dan het organogram suggereert. Het NCSC noemt het inrichten van een meldpunt als vaste stap in een incidentresponsplan: er moet een plek zijn waar medewerkers snel aan de bel trekken, bij voorkeur 24/7. In vrijwel elke Nederlandse organisatie is die plek de servicedesk. Zij zijn feitelijk al de eerste lijn van je detectie, alleen zonder mandaat, training of doorschakelpad. Dat maakt de route van servicedesk naar SOC eerder een formalisering van bestaand werk dan een sprong naar iets nieuws.
Dat zie je het duidelijkst bij phishing. De meldingen die het snelst binnenkomen, komen via de servicedesk, wat we uitwerkten bij phishing-detectie als teamdiscipline. Wie daar zit beoordeelt nu al dagelijks of iets kwaadaardig is, meestal zonder dat iemand die beoordeling erkent als securitywerk.
Welke signalen wijzen op een geschikte kandidaat
De grootste fout bij doorstroom van servicedesk naar SOC is kijken naar wat iemand al technisch kan. Techniek is precies het deel dat een programma je uit handen neemt. Wat je vooraf wilt zien is de denkstijl, want dat is het deel dat je niet in vijftien weken bijbrengt. Bij doorstroom van servicedesk naar SOC voorspelt die denkstijl het leerresultaat beter dan welke voorkennis ook.
| Wat je zoekt | Waaraan je het herkent op de servicedesk |
| Nieuwsgierigheid naar oorzaak | Zoekt uit waarom een ticket terugkomt, ook als het opgelost is |
| Patroonherkenning | Merkt op dat drie meldingen deze week op elkaar lijken |
| Vasthoudendheid | Probeert eerst zelf te reproduceren voordat hij escaleert |
| Zorgvuldig vastleggen | Schrijft tickets die een collega een week later nog begrijpt |
| Gezond wantrouwen | Vraagt door bij een verzoek dat net iets te dringend klinkt |
Wat deze zes gemeen hebben is dat ze allemaal over houding gaan en geen van alle over kennis. Ze staan niet in een beoordelingsformulier en komen zelden ter sprake in een functioneringsgesprek. Vraag ze daarom expliciet uit bij de teamleider van de servicedesk voordat je servicedesk naar SOC als traject aankondigt. Die weet binnen dertig seconden wie er in aanmerking komt, en dat oordeel is doorgaans betrouwbaarder dan een cv. Toets het daarna wel, want een teamleider noemt soms zijn beste kracht en soms juist degene die hij kwijt wil.
Let ook op wie het werk te makkelijk vindt. Een medewerker die zijn tickets ruim binnen de norm afhandelt en zich verveelt, is een vertrekrisico. Doorstroom van servicedesk naar SOC vangt precies die persoon op voordat hij bij een ander bedrijf aan de slag gaat, een dynamiek die we beschreven bij carrierepad als retentie-instrument.
Het probleem dat niemand vooraf oplost
De servicedesk is meestal het krapst bezette team van de IT-organisatie. Haal je daar je twee scherpste mensen weg, dan verslechtert de dienstverlening meetbaar, en dat merkt de hele organisatie binnen een week. Zonder plan wordt doorstroom van servicedesk naar SOC daarom precies een keer gedaan en daarna nooit meer, omdat de teamleider het de tweede keer tegenhoudt. Dat is geen onwil: hij wordt afgerekend op responstijden waar jij zijn beste mensen uit weghaalt.
Drie maatregelen voorkomen dat. Vervang vooraf, niet achteraf: werf de opvolger op de servicedesk voordat het traject start, zodat er overlap is in plaats van een gat. Een servicedeskvacature vul je in weken, een analistenvacature in maanden, en dat verschil is het hele argument voor servicedesk naar SOC als route.
Maak doorstroom vervolgens beleid in plaats van uitzondering. Als de servicedesk weet dat er elk jaar iemand kan doorgroeien, wordt het een reden om er te komen werken. Behandel je servicedesk naar SOC als incident, dan voelt elk vertrek als verlies. Dit is dezelfde logica als bij opleiding als arbeidsvoorwaarde.
Laat de kandidaat tot slot niet in een keer verdwijnen. Een gefaseerde overgang, waarbij iemand eerst een dag per week met het securityteam meeloopt, houdt de servicedesk draaiend en geeft je vroeg zicht op geschiktheid. Het geeft de kandidaat ook een eerlijk beeld, want securitywerk is minder spectaculair dan de meeste mensen verwachten.
Hoe je de overgang inricht
Fase een duurt ongeveer een maand en kost bijna niets. De kandidaat blijft op de servicedesk en krijgt er een taak bij: securityrelevante meldingen apart labelen en wekelijks doorspreken met iemand van het securityteam. Je toetst hiermee interesse en doorzettingsvermogen, en de organisatie krijgt er meteen betere signalering voor terug. Valt de kandidaat in deze fase af, dan heb je een maand verloren in plaats van een opleidingsbudget.
Fase twee is het opleidingstraject en het punt waarop servicedesk naar SOC een echte investering wordt. Hier gaat de kandidaat er daadwerkelijk uit, en hier moet de vervanging op de servicedesk al rond zijn. De opleiding SOC T1 + T2 Analyst sluit het beste aan, omdat het programma volledig om alertbeoordeling, onderzoek en escalatie draait: hetzelfde werk op een ander soort melding. Voor kandidaten met een bredere ambitie dan het SOC alleen is de opleiding Cyber Security Specialist het alternatief.
Fase drie zijn de eerste negentig dagen in het securityteam. Reken erop dat de eerste weken tegenvallen. De kandidaat is gewend om meldingen af te ronden, en in een SOC blijft veel open staan zonder dat iemand ooit zegt dat het klaar is. Die onzekerheid is de belangrijkste reden waarom interne overstappers in het eerste kwartaal twijfelen. Ons 90-dagen onboardingdraaiboek beschrijft hoe je die periode inricht. Waar de kandidaat precies instapt hangt af van het niveau van je team, een afweging die we behandelden bij tier 1 versus tier 2.
Wat de markt zegt over dit instapniveau
De aanname dat je securitywerk alleen aan ervaren mensen kunt toevertrouwen wordt door de certificerende partijen zelf niet meer gedeeld. ISC2 biedt met Certified in Cybersecurity een instapcertificering waarvoor uitdrukkelijk geen werkervaring vereist is, gericht op mensen die het vakgebied binnenkomen. Dat is een erkenning dat de instroom breder moet dan de klassieke route via een technische opleiding en jaren ervaring.
In het onderzoek van ISC2 naar de beroepsgroep staan werving, retentie en teamopbouw naast het bekende tekort aan mensen. Die combinatie verklaart waarom interne doorstroom zwaarder weegt dan werving: je vult niet alleen een plek, je houdt ook iemand vast die anders was vertrokken.
NIST heeft met SP 800-61 revisie 3 incidentrespons opnieuw ingericht rond de functies van het Cybersecurity Framework, waarbij respons onderdeel wordt van breder risicomanagement. Praktisch betekent dat: respons begint bij de eerste melding, en die komt bij de servicedesk binnen. Een organisatie die servicedesk naar SOC als doorstroomroute inricht, versterkt daarmee ook de kwaliteit van die eerste beoordeling.
De rekensom in het kort
Servicedesk naar SOC kost je een opleidingstraject, tijdelijke dubbele bezetting en een salarisaanpassing. Een externe analist kost je een wervingstraject, een marktconform salaris met schaarstepremie en enkele maanden inwerktijd waarin nog geen productie wordt geleverd. In de kosten van een onbezette vacature rekenden we die tweede route door.
Het verschil zit opnieuw in tijd. Servicedesk naar SOC levert binnen een halfjaar iemand op die de organisatie al kent en er alleen een vak bij heeft geleerd. De omgekeerde route vraagt iemand met het vak, die de organisatie nog jaren moet leren kennen. Wat een junior aanwerving in de praktijk oplevert, beschreven we bij het slim aannemen van een cybersecurityprofessional.
Er zit ook een grens aan. Servicedesk naar SOC vult je eerste lijn en levert geen seniorrol op. Wie een ervaren onderzoeker nodig heeft, moet rekenen op een langer leerpad met meerdere niveaus, en bij het samenstellen van een SOC-team werkten we uit hoe die niveaus zich verhouden.
Waar je maandag mee begint
Bespreek met de teamleider van de servicedesk wie er belangstelling heeft om zich in deze richting te ontwikkelen. Voer met die mensen een kort gesprek, want gedwongen doorstroom van servicedesk naar SOC eindigt in een ongemotiveerde analist en een lege stoel op de servicedesk. Regel de vervanging voordat je het opleidingsbesluit communiceert, omdat die volgorde bepaalt of het team het traject steunt of tegenwerkt.
Leg vast welk niveau de deelnemer na afronding beheerst, welke taken hij dan zelfstandig uitvoert en welke salarisaanpassing daarbij hoort. Op de pagina voor werkgevers staan de in-company mogelijkheden en het volledige opleidingsaanbod staat per niveau geordend. De agenda toont de eerstvolgende startdata, wat je nodig hebt om de vervanging te plannen.
Welke achtergronden buiten de servicedesk nog meer werken, beschreven we bij zij-instroom in cybersecurity, en wie dit structureel wil aanpakken vindt in onze gids over een traineeship opzetten het meerjarige model. Wil je bespreken wie in jouw team in aanmerking komt, plan dan een kennismaking.
