Siber Güvenlik CV'si: SOC Analisti, Sızma Testi ve GRC Örnekleri

Güçlü bir siber güvenlik CV'si, SOC, sızma testi, GRC veya bulut güvenliği gibi uzmanlığınızı belirtir ve bunu araçlar, çerçeveler, sertifikalar ve ölçülmüş sonuçlarla kanıtlar. SOC analisti, sızma testi uzmanı ve GRC uzmanı aynı alanda çalışır, ancak günlük işleri aynı değildir; bu yüzden herkes için tek bir genel CV yazmayın. Sertifikaları üste koyun, bir veya iki sayfada kalın ve müşteri açıklarını asla paylaşmayın. Aşağıda örnekler ve tam bir model bulacaksınız.

Uzmanlığınızla başlayın

Uzmanlığı başlığa yazın ve her maddeyi ona göre düzenleyin. Doğruysa ilandaki unvanı kullanın. Türkiye'deki ilanlar çoğu zaman SOC deneyimi, log analizi, olay müdahalesi ve ISO 27001 bilgisi ister.

• SOC ve mavi takım: alarm değerlendirme, SIEM, EDR, olay müdahalesi, tehdit avcılığı.
• Sızma testi ve kırmızı takım: web, ağ ve bulut testleri, raporlama, öneriler.
• GRC: ISO 27001, KVKK, risk değerlendirmesi, denetim, Bilgi ve İletişim Güvenliği Rehberi.
• Güvenlik mühendisliği ve bulut: IAM, sıkılaştırma, tespit kuralları, Terraform.

Faaliyeti sonuca dönüştürün

Alarm hacmini, yanıt sürelerini, kapatılan denetim bulgularını ve düzeltilen açıkları kullanın. Başarı rehberimiz kalıbı anlatır. Bunlar örnektir. Açıklayabileceğiniz ve paylaşmanıza izin verilen rakamları kullanın.

Önce: SOC'ta güvenlik alarmlarını izledim.

Sonra: Microsoft Sentinel'de 3.000 uç nokta için vardiyada yaklaşık 150 alarmı değerlendirdim, 12 KQL kuralı yazdım, yanlış alarmları üçte bir azalttım.

Önce: Sızma testleri yaptım.

Sonra: Burp Suite ve OWASP Top 10 ile yılda 20 web ve API testi yönettim; raporlarım sayesinde kritik bulguların tamamı 30 günde kapatıldı.

Önce: ISO 27001 çalışmalarına yardım ettim.

Sonra: 400 kişilik bir şirketi ISO 27001:2022 belgelendirmesine hazırladım, risk analizlerini yürüttüm, KVKK veri envanterini güncelledim, büyük bulguları zamanında kapattım.

Araçlar ve çerçeveler

• SIEM ve EDR: Splunk, Microsoft Sentinel, QRadar, Elastic, Wazuh, CrowdStrike.
• Testler: Burp Suite, Nmap, Metasploit, Nessus, Wireshark.
• Bulut ve kod: AWS, Azure, Kubernetes, Python, PowerShell, KQL.
• Çerçeveler: MITRE ATT&CK, NIST CSF, ISO 27001, CIS Controls, OWASP.

Bir aracı yalnızca kullandıysanız yazın ve deneyiminizde de gösterin. Arkasında deneyim olmayan anahtar kelime görüşmede çoğu zaman ortaya çıkar. KVKK'yı da uygulama deneyiminizle, örneğin veri envanteri veya denetimle yazın. ATS anahtar kelimeleri yazımıza bakın.

Sertifikalar: net olun

Tam adı, veren kurumu ve yılı yazın. Başlangıçta CompTIA Security+; teknik işlerde CySA+, GCIH, CEH veya OSCP; GRC ve kıdemli görevlerde CISSP, CISM, CISA veya ISO 27001 Lead Implementer sık görülür. CISSP genellikle yıllar süren deneyim ister; bu deneyim olmadan sınavı geçenler CISSP değil, Associate of ISC2 olur. Sahipmiş gibi göstermek yerine “Security+ hazırlığı, sınav Mart 2027” yazın. Ayrıntılar için CV'de sertifikalar yazımıza bakın.

Alana giriş: değerli laboratuvarlar

Ücretli deneyiminiz yoksa ev laboratuvarınızı, CTF'leri, TryHackMe veya Hack The Box'ı, GitHub araçlarınızı ve yazılarınızı kullanın. Gerçekleri anlatın: “Wazuh ve Sysmon ile ev SOC laboratuvarı kurdum, ATT&CK'e göre 10 tespit kuralı yazdım.” Yalnızca izniniz olan sistemleri test edin, çünkü izinsiz erişim suç olabilir. Destek ve ağ çalışanları yama, erişim yönetimi ve oltalama müdahalesi gibi işlerini gösterebilir. Yazılımdan geliyorsanız yazılım mühendisi CV'si yardımcı olur.

Hassas bilgileri koruyun

Gizli bir testin müşterisini, belirli açıkları, iç sistem adlarını veya olay ayrıntılarını yazmayın. “Finans sektöründe bir müşteri” yeterlidir. Kamu kurumlarıyla çalıştıysanız ne yazabileceğinizi önce sorun. Dikkatli bir CV iyi muhakemeyi gösterir ve bu da başlı başına bir güvenlik becerisidir.

Kısa ve tam bir örnek

Kişi ve rakamlar kurgusaldır, ancak biçimi kullanabilirsiniz.

Zeynep Arslan | SOC Analisti (L2) | İstanbul | Telefon | E-posta | LinkedIn | GitHub. CompTIA Security+ (2023), Microsoft SC-200 (2024).

Profil: 7/24 operasyonlarda 4 yıl deneyimli SOC analisti. Sentinel, Defender, KQL ve MITRE ATT&CK.

Deneyim: SOC Analisti, Kale Güvenlik, 2022 – devam ediyor. 3.000 uç nokta için vardiyada yaklaşık 150 alarm. 12 tespit kuralı, yanlış alarmlarda üçte bir azalma. 2 L1 analiste rehberlik. BT Destek Uzmanı, Marmara Hastanesi, 2020 – 2022. 800 kullanıcı için yama ve oltalama bildirimleri.

Eğitim: Bilgisayar Mühendisliği Lisans, 2020. Beceriler: Python, PowerShell, Azure, KVKK. İngilizce: ileri.

Teknik sorulara hazırlanın

Görüşme çoğu zaman CV'nizden başlar. Splunk yazdıysanız sorgu yazmanız istenebilir, OWASP yazdıysanız belirli bir açık sorulabilir. Bir olay veya test hakkında kısa bir hikâye hazırlayın: ne gördünüz, ne kararlaştırdınız, ne öğrendiniz? Bunu gizli bilgi vermeden anlatın. GitHub hesabınızı da kontrol edin; içinde anahtar, parola veya hassas veri kalmamış olsun. Bir güvenlik uzmanının kendi hesabındaki hata, görüşmede çok olumsuz bir izlenim bırakır, bu yüzden göndermeden önce depolarınızı ve commit geçmişinizi mutlaka tarayın, gerekirse temizleyin.

Sık yapılan hatalar

• Tüm güvenlik işleri için tek bir genel CV.
• Kanıtsız uzun araç listeleri.
• Hazırlandığınız sertifikayı varmış gibi göstermek.
• Müşteri adlarını veya açıkları paylaşmak.
• Kapsam, rapor veya sonuç olmadan “etik hacker” yazmak.

Okuyucunun aradığı rakamlar

Okuyucu sistem sayısına, yanıt süresine ve kapatılan açıklara bakar. Örnek: «200 sunucuyu korudum, kritik açıkları 3 gün içinde kapattım.» Şirketin iç ayrıntılarını paylaşmayın.

Sonuç

Uzmanlığınızı, sertifikaları, araçları, üç sonucu ve GitHub bağlantısını kontrol edin. CV'yi ilanla karşılaştırın ve görüşmede savunamayacağınız her şeyi çıkarın.