- Rollen passer bedst til personer, der kan lide teknisk fejlfinding, loganalyse og struktureret hændelseshåndtering.
- De mest relevante startveje går ofte gennem IT-support, netværk, praktik, junior SOC-roller eller managed security service providers.
- Certificeringer bør vælges efter jobopslag og konkrete kompetencehuller, ikke efter prestige alene.
En sikkerhedsanalytiker er en IT-sikkerhedsrolle, der typisk fokuserer på at opdage, vurdere og reagere på mistænkelig aktivitet i IT-miljøer. I Danmark bruges jobtitler som sikkerhedsanalytiker, SOC-analytiker, cyber security analyst og security operations analyst ofte om beslægtede roller, men indholdet varierer efter virksomhedens størrelse, branche og modenhed.
Det vigtigste skel går mellem operationel sikkerhed og compliancearbejde. En SOC-analytiker sidder tæt på alarmer, logs, endpoints, netværkstrafik og hændelsesrespons, mens en compliance- eller GRC-analytiker arbejder mere med politikker, kontroller, audits, risikovurderinger og dokumentation. Begge funktioner er vigtige, især når NIS2 og GDPR påvirker danske organisationers krav til hændelseshåndtering, databeskyttelse og dokumentation, men de måles på forskellige resultater og kræver forskellige hverdagsfærdigheder.
Hvad laver en sikkerhedsanalytiker i praksis?
En dag i et dansk security operations center begynder ofte med overdragelse fra forrige vagt. Analytikeren gennemgår åbne hændelser, nye alarmer i SIEM-platformen, advarsler fra endpoint detection and response-systemer og eventuelle eskaleringer fra drift, helpdesk eller en ekstern MSSP. I nogle organisationer er der faste vagtplaner, mens mindre virksomheder kan have kontortidsdækning suppleret af en ekstern leverandør.
Arbejdet handler sjældent om dramatiske enkeltstående angreb hele dagen. En stor del af rollen består i at sortere støj fra signaler: en administrator logger ind fra en usædvanlig lokation, et script forsøger at ændre mange filer, en brugerkonto fejler gentagne loginforsøg, eller en mailregel oprettes efter et mistænkeligt login. Analytikeren skal afgøre, om der er tale om normal drift, en fejlkonfiguration, en sårbar proces eller en reel hændelse.
Den praktiske forskel på en god og en svag triage ligger ofte i dokumentationen. En erfaren arbejdsgang beskriver, hvilken alarm der blev undersøgt, hvilke datakilder der blev brugt, hvad der blev afkræftet, hvad der blev bekræftet, hvem der blev kontaktet, og hvilken handling der blev anbefalet. Det gør håndover mellem vagter lettere og hjælper samtidig organisationen med senere dokumentation over for ledelse, revision eller myndighedskrav.
SOC-analytiker eller complianceanalytiker?
Mange karriereskiftere blander sikkerhedsanalytikerrollen sammen med sikkerhedsoverholdelse, fordi begge arbejder med risiko og beskyttelse. I praksis bør valget afhænge af, hvilke opgaver der giver energi. Den operationelle vej passer til personer, der trives med tekniske undersøgelser, prioritering under tidspres og samarbejde med driftsteams. Compliance- og GRC-vejen passer bedre til personer, der vil arbejde med kontroller, leverandørkrav, auditspor, politikker og ledelsesrapportering.
NIS2 gør forskellen tydelig. Direktivet skaber øget fokus på blandt andet risikostyring, hændelseshåndtering og rapportering, men selve arbejdet fordeles ofte på flere funktioner. SOC-teamet undersøger hændelsen og bidrager med tekniske fakta, mens GRC- eller compliancefunktionen hjælper med krav, dokumentation, proces og ledelsesforankring. GDPR fungerer på samme måde: analytikeren kan levere tekniske observationer om adgang, logs og eksponering, men databeskyttelsesvurderinger og juridiske beslutninger ligger typisk hos privacy-, legal- eller complianceansvarlige.
Den, der hælder mod governance, kan med fordel læse op på ISO/IEC 27001 som ledelsessystem og kontrolramme. Den, der hælder mod operationel analyse, bør i stedet prioritere netværksforståelse, Windows- og Linux-logs, identitetssikkerhed, cloud-signaler, SIEM-forespørgsler og incident response-runbooks. En detaljeret sammenligning kan være nyttig, men den vigtigste beslutning er enkel: SOC måles på opdagelse, triage, responstid og kvaliteten af hændelseshåndtering; GRC måles på kontrolmodenhed, dokumentation, revisionsspor og risikostyring.
Dansk kontekst: NIS2, GDPR, CFCS og MSSP-markedet
Danske organisationer arbejder med sikkerhed under påvirkning af både EU-regler og nationale anbefalinger. ENISA er en central europæisk kilde til NIS2-relateret vejledning, Datatilsynet er relevant for GDPR og databeskyttelse, og Center for Cybersikkerhed udgiver trusselsvurderinger og anbefalinger, som mange danske virksomheder bruger i deres risikobillede. En sikkerhedsanalytiker behøver ikke være jurist, men rollen kræver forståelse for, hvorfor hændelser skal dokumenteres præcist, og hvorfor tekniske fund ofte får organisatoriske konsekvenser.
I Danmark spiller MSSP’er en vigtig rolle, fordi mange mindre og mellemstore organisationer ikke har et fuldt internt SOC. Det betyder, at mange juniorprofiler starter hos en leverandør, hvor de ser mange kundemiljøer, mange alarmtyper og mange standardiserede runbooks. Det kan give hurtig læring, men også et højt tempo, hvor evnen til at skrive klart, eskalere korrekt og følge proces er lige så vigtig som teknisk nysgerrighed.
Sprogkrav varierer. Mange tekniske værktøjer, certificeringer og leverandørmaterialer er på engelsk, mens interne rapporter, brugerkommunikation og ledelsesnotater i danske organisationer ofte kræver dansk. Kandidater, der kan forklare en teknisk hændelse roligt på begge sprog, står stærkere end kandidater, der kun kan beskrive værktøjet.
Færdigheder der gør en kandidat jobklar
De mest brugbare juniorfærdigheder er mere jordnære end mange forventer. Netværksforståelse er centralt: DNS, HTTP, TLS, IP-adresser, porte, proxylogs og autentificering dukker op i næsten alle undersøgelser. Dertil kommer operativsystemforståelse, især Windows-hændelseslogs, Active Directory eller Entra ID, almindelige endpoint-alarmer og basale cloud-signaler.
Loganalyse er et særskilt håndværk. En sikkerhedsanalytiker skal kunne stille et godt spørgsmål til data: Hvilken konto gjorde hvad, fra hvilken enhed, hvornår, hvor ofte, og hvad skete der bagefter? KQL i Microsoft Sentinel, SQL-lignende tænkning og simple filtre i andre SIEM-platforme kan derfor gøre en stor forskel i ansøgninger og samtaler.
Basal scripting hjælper også, men målet er ikke nødvendigvis at blive softwareudvikler. PowerShell eller Python kan bruges til at parse logs, sammenligne lister, berige indikatorer eller automatisere gentagne kontroller. I praksis er kommunikation dog lige så vigtig: en analytiker skal kunne skrive en kort hændelsesbeskrivelse, angive usikkerhed, foreslå næste skridt og undgå at skabe unødig alarm.
Et simpelt SOC-runbook-udsnit kan se sådan ud i praksis: bekræft først alarmens datakilde og tidspunkt, identificer berørt bruger eller enhed, kontroller nylige login- og proceshændelser, sammenlign med kendt ændringsarbejde, vurder påvirkning, eskaler hvis der er tegn på kompromittering, og dokumentér beslutningen. Den disciplin er ofte vigtigere end at kende et bestemt værktøj i detaljer.
Følgende KQL-eksempel viser, hvordan en junioranalytiker kan undersøge flere mislykkede loginforsøg efterfulgt af et succesfuldt login. Det er en typisk triageøvelse i Microsoft Sentinel og relaterer sig til færdigheder, der også indgår i Microsoft SC-200.
Example — loginmønster efter gentagne fejl
SigninLogs
| where TimeGenerated > ago(24h)
| summarize FailedLogins = countif(ResultType != 0),
SuccessfulLogins = countif(ResultType == 0),
FirstSeen = min(TimeGenerated),
LastSeen = max(TimeGenerated)
by UserPrincipalName, IPAddress
| where FailedLogins >= 5 and SuccessfulLogins >= 1
| order by FailedLogins desc
Forespørgslen beviser ikke alene, at en konto er kompromitteret. Den hjælper analytikeren med at finde mønstre, der bør undersøges sammen med MFA-hændelser, lokation, enhed, brugerens normale adfærd og eventuelle efterfølgende handlinger i mail, filer eller cloudressourcer.
Veje ind i rollen i Danmark
Der findes ikke én fast vej til den første rolle. Nogle kommer fra datamatiker-, professionsbachelor- eller universitetsuddannelser med sikkerhedsfag. Andre starter i IT-support, netværksdrift, systemadministration eller servicedesk og bygger gradvist sikkerhedsopgaver ovenpå. Praktik, studiejob og graduateforløb kan være særligt værdifulde, fordi arbejdsgivere ofte vil se bevis for praktisk problemløsning frem for kun teoretisk interesse.
En lille portfolio kan være nok til at skille sig ud, hvis den er relevant for danske jobopslag. Det kan være en lab med Windows- og Linux-logs, en kort analyse af phishing-mails, et par KQL-forespørgsler, en dokumenteret undersøgelse af en mistænkelig loginhændelse eller en runbook for håndtering af malwarealarm. Materialet bør ikke indeholde følsomme data eller lånte kundemiljøer; pointen er at vise metode, klarhed og dømmekraft.
Juniorroller hos MSSP’er og SOC Tier 1-stillinger er ofte realistiske indgange, fordi de har standardiserede processer og et tydeligt læringsrum. Det betyder dog ikke, at rollen er passiv. Kandidater skal kunne arbejde struktureret i køer, håndtere gentagelser uden at blive sløve, spørge tidligt ved usikkerhed og skrive overdragelser, som næste vagt kan bruge uden at starte forfra.
Certificeringer: hvad giver mening hvornår?
Certificeringer kan hjælpe, men rækkefølgen betyder meget. En almindelig fejl er at jagte seniorcertificeringer for tidligt og dermed bruge måneder på materiale, der ikke matcher de første jobopslag. For en ny kandidat er CompTIA Security+ SY0-701 ofte mere relevant som bredt fundament, mens Microsoft SC-200 passer til personer, der vil arbejde med security operations, Microsoft Defender, Sentinel og KQL-baserede undersøgelser. CompTIA CySA+ kan også være relevant for analytisk blue team-arbejde.
Senior- og governanceorienterede certificeringer har stadig værdi, men de bør vælges med omtanke. CISSP fra (ISC)² dækker bred sikkerhedsledelse og tekniske domæner og passer bedre, når kandidaten har mere erfaring. CISM fra ISACA peger mod sikkerhedsstyring og ledelse, mens CISA er mere relevant for revision og kontrol. Privacyprofiler, der arbejder tæt på GDPR og databeskyttelse, kan undersøge CIPP/E og CIPM fra IAPP.
En praktisk måde at vælge på er at samle fem til ti danske jobopslag og markere gentagne krav. Hvis opslagene nævner SIEM, Microsoft Sentinel, Defender, KQL, incident response og alarmer, er en operationel certificering mere relevant end en auditcertificering. Hvis opslagene nævner ISO/IEC 27001, risikoregistre, kontroller, leverandørstyring og revision, peger de i retning af GRC. Readynez kan i den sammenhæng bruges som én mulig struktur for kursusbaseret forberedelse, men certificeringen bør stadig vælges ud fra den rolle, kandidaten søger.
Løn, arbejdstid og progression
Løn for sikkerhedsanalytikere i Danmark afhænger af erfaring, branche, geografi, vagtordning og hvor tæt rollen er på drift. Finans, kritisk infrastruktur, større konsulent- og leverandørmiljøer samt organisationer med døgnbemandet SOC kan have andre løn- og tillægsmodeller end mindre interne IT-afdelinger. Da løndata ændrer sig og varierer efter titel, bør kandidater sammenligne aktuelle opslag og lønindikationer fra kilder som Jobindex og Glassdoor DK frem for at stole på generelle tal.
Arbejdstiden er et vigtigt, men ofte overset, karrierevalg. En intern sikkerhedsanalytiker i en moden organisation kan have mere forudsigelig arbejdstid, mens et MSSP- eller SOC-miljø kan indebære skiftehold, weekendvagter eller beredskab. Til gengæld kan leverandørmiljøet give bredere eksponering for værktøjer, brancher og hændelsestyper på kortere tid.
Progressionen går typisk fra junioranalytiker eller Tier 1 mod Tier 2, incident responder, detection engineer, threat hunter, cloud security analyst eller security architect. Andre bevæger sig mod GRC, privacy, audit eller sikkerhedsledelse. Det afgørende er at bruge de første år til at opbygge dokumenterbar dømmekraft: gode undersøgelser, præcis kommunikation og evnen til at forbedre runbooks og detektioner, ikke kun lukke tickets.
Ofte stillede spørgsmål
Skal man kunne programmere for at blive sikkerhedsanalytiker?
Man behøver ikke være udvikler, men basal scripting er en fordel. PowerShell, Python eller SQL-lignende forespørgsler kan bruges til at analysere logs, automatisere gentagne opgaver og forstå, hvad angribere eller legitime scripts gør i et miljø.
Er sikkerhedsanalytiker det samme som complianceanalytiker?
Nej. En sikkerhedsanalytiker i SOC- eller blue team-sammenhæng arbejder primært med alarmer, logs, hændelser og teknisk respons. En complianceanalytiker arbejder mere med politikker, kontroller, risikovurderinger, audits og dokumentation, selv om rollerne ofte samarbejder om NIS2, GDPR og ISO/IEC 27001.
Hvilken certificering bør komme først?
For mange begyndere giver en bred grundcertificering som Security+ mening, mens SC-200 er mere målrettet Microsoft-baserede SOC-miljøer. CISSP, CISM og CISA er typisk stærkere valg senere eller for profiler, der bevæger sig mod ledelse, governance eller audit.
Kan man få job uden en cybersikkerhedsuddannelse?
Ja, men kandidaten skal kunne vise praktisk kunnen. Erfaring fra IT-support, netværk, drift, praktik eller en velbeskrevet lab kan være relevant, hvis den viser logforståelse, sikkerhedstænkning, dokumentation og evnen til at følge en struktureret undersøgelse.
At bygge en realistisk vej ind i sikkerhedsanalyse
En karriere som sikkerhedsanalytiker i Danmark begynder bedst med en ærlig afklaring af rolletypen. Den operationelle SOC-vej kræver nysgerrighed over for tekniske signaler, disciplin i triage og ro under usikkerhed. Compliance- og GRC-vejen kræver stærk procesforståelse, dokumentation og evnen til at omsætte regler til kontroller. Begge veje bidrager til bedre sikkerhed, men de føles meget forskellige i hverdagen.
Det mest effektive næste skridt er at vælge et lille, konkret læringsprojekt og koble det til jobopslag: analyser loginlogs, skriv en runbook, lær grundlæggende KQL, eller dokumentér en phishingundersøgelse. Hvis struktureret undervisning skal supplere den praktiske træning, kan Readynez Unlimited Security Training være et muligt næste skridt for kandidater, der ønsker løbende sikkerhedstræning på tværs af certificeringer.
