Кибербезопасность — это сложно? Как найти свой путь в
3 ноября 2022 г.Это распространенный вопрос, и на него трудно дать правильный ответ. По иронии судьбы, самый простой ответ — просто сказать «да» и остановиться на этом. Хотя это не совсем правильный ответ.
Это не значит, что это легко, потому что это не так, но это просто. Проблема заключается в том, что он также быстро перемещается и имеет большой размер.
Я видел много людей, которые говорят, что кибербезопасность сложна, потому что требуются технические знания, в то время как другие скажут вам, что технические навыки не требуются, и поэтому это легко. Многим трудно даже отделить кибербезопасность от информационной безопасности от безопасности в целом, что еще больше запутывает картину.
В этой статье мы поговорим о:
- Найти свой путь
- Простой режим кибербезопасности: руководство по обману
- Самая сложная часть кибербезопасности: ее определение
- Дополнительные определения: что означает термин «жесткий» в кибербезопасности?
Я отложу эту боль на потом, поэтому мы начнем с того, как начать карьеру в сфере кибербезопасности.
Как найти свой путь в кибербезопасности
Одна из первых задач, которую необходимо преодолеть, – это определить, по какому пути вы хотите пойти или, по крайней мере, к нему стремиться. Кибербезопасность — это не просто тестирование на проникновение (несмотря на то, во что Голливуд хочет заставить людей поверить). В разных организациях указано разное количество путей, обычно от полудюжины до десятков различных вариантов.
Наиболее известны роли красной и синей команд, тестирование на проникновение или мониторинг Центра операций безопасности (SOC). Из-за этого они, как правило, являются наиболее конкурентоспособными для входа, с определенными и хорошо обозначенными путями, которые означают, что большинство ищет роль начального уровня, направляющуюся в этом направлении.
Чтобы получить огромное преимущество, посмотрите за пределы этих двух. Роли управления, рисков и соответствия (GRC) недостаточно обеспечены, имеют меньше технических барьеров для входа и, откровенно говоря, имеют больше перспектив. Есть также роли безопасности приложений для тех, кто больше интересуется разработкой, архитектурными ролями, криминалистикой, эксплуатацией, специализацией в изобилии и — к тому времени, когда я закончил писать это — вероятно, о паре десятков, о которых никто раньше не слышал.
Вы услышите множество людей, говорящих о том, чтобы следовать своей страсти. Я против этого совета — страсти могут быть мимолетными, и в сфере, где многие уже перегружены работой и не имеют достаточных ресурсов, погоня за ними может быстро привести к выгоранию. Вместо этого я предлагаю потворствовать любопытству.
Нет большего преимущества в кибербезопасности, чем желание и способность быстро учиться, и отслеживание тем, которые вас интересуют, — отличный способ сделать это. Вам почти гарантировано придется несколько раз переворачиваться на протяжении карьеры любой продолжительности, и, как говорится, «мы планируем, бог смеется». Не привязывайтесь слишком сильно к планам, научитесь плыть по течению и использовать возможности по мере их появления.
Простой режим кибербезопасности: руководство по обману
Одним из самых больших препятствий является получение роли. У меня есть свидетельства из первых рук о людях, которые отправили сотни заявок и ничего не добились.
Как бы мне не хотелось это говорить, на это есть причина.
<цитата>Большинство должностей в области кибербезопасности не рекламируются.
Те, которые действительно часто имеют смехотворное количество приложений для работы. Таким образом, даже с лучшим резюме вы сталкиваетесь с плохими шансами. Наоборот, самые большие успехи, которые я вижу у людей, — это когда они идут разными путями.
Сеть
Создание сети и общение с людьми чрезвычайно эффективно. Это не просто игра с числами: наличие 50 000 подключений не даст вам большого преимущества по сравнению с теми, кто вам подходит. Посмотрите на людей в тех ролях, в которых вы хотите быть, или на должности, которых можно нанять на эти роли, и спросите (искренне, это важно) их совета. Оставайтесь на связи и сообщайте людям, что вы пытаетесь сделать, и что вы прислушиваетесь к их советам.
:::подсказка Существуют циничные подходы к нетворкингу. Я не рекомендую их. Хотя вы не должны пытаться сделать каждую связь лучшим другом на всю жизнь, поддерживать связь и предлагать помощь за помощью (или пиво/кофе) гораздо лучше, чем постоянно принимать.
:::
Следуя этому совету, вы получите целую сеть людей, которые ищут для вас возможности, знают, что вы развиваете нужные навыки, и могут говорить от вашего имени, когда возникают проблемы. Просто помните, что это работает только в том случае, если отношения, которые вы строите таким образом, подлинны. Неискренность или манипулятивность не будут работать в чью-то пользу надолго, но открыто и уважительно просить о помощи — это правильный путь.
Содержание и представление
Написание постов, статей, блогов или чего-либо еще о вашем путешествии и о том, что вы изучаете, — это еще один способ не только создать свою сеть контактов, но и заявить о себе в областях знаний. Еще лучше подготовить презентацию для получения бонусных баллов на конференции для новичков или для новичков на авторитетной конференции, такой как BeerCon или D.O. CON или локальное мероприятие BSides.
:::подсказка Используйте возможности для презентации всякий раз, когда они появляются. Это отличный опыт и отличный способ создать свой профиль.
:::
Первое выступление на интересующую вас тему помогает привлечь людей, заинтересованных в поиске решений, а это именно тот тип людей, которых вы хотите, чтобы вас заметили. Большинство людей не будут доводить дело до конца, выступая на сцене, хотя новички обеспечат поддержку и наставничество на протяжении всего процесса, поэтому простая презентация действительно может представить вас как эксперта в своей области.
Многие из этих мероприятий проводятся удаленно, но когда они проводятся лично, у вас также есть еще одна возможность создать свою сеть контактов, чтобы использовать новые возможности.
После того, как вы в деле: возможность стучится
После того, как вы найдете эту первую роль, вы услышите, как люди говорят, что вы должны провести в этой роли x или y лет, чтобы доказать, что вы стабильны и лояльны. Мой следующий совет не популярен (у работодателей) и не для всех.
:::предупреждение Не для всех. Нет ничего плохого в том, чтобы оставаться в роли долгое время. Есть работодатели, которые дадут возможность расти и развиваться в должности. Точно так же вы можете быть счастливы в роли и иметь другие приоритеты. Ни в том, ни в другом нет ничего плохого, и следующий совет никоим образом не предполагает, что это так.
:::
Держите глаза открытыми для возможностей. Несмотря на споры о том, что известно как пробел в навыках кибербезопасности, определенно есть спрос на тех, кто уже сумел взломать (сложная часть начинается с того, чтобы начать). Стоит держать ухо востро и смотреть на новые возможности по мере их появления.
:::подсказка Верность роли — это хорошо, но не следует упускать возможности из-за неуместной лояльности. Если нет места для роста, и вы хотите развиваться дальше, в большинстве случаев переезд — это самый простой способ сделать это. Будьте искренними и открытыми и не позволяйте ограниченной роли ограничивать ваш рост.
:::
Вы услышите, как люди возражают против смены работы из принципа, обвиняя любого, кто меняет роли так редко, как каждые несколько лет, в отсутствии приверженности. Мой собственный опыт анекдотичен, но за два десятилетия моей карьеры до того, как я стал независимым, мой средний срок пребывания на должности составлял десять месяцев, и это никогда не поднималось как проблема. Я бы не сказал, что нужно двигаться просто ради движения, но я настоятельно рекомендую не использовать новые возможности из-за страха прослыть нелояльным.
Самая сложная часть кибербезопасности: ее определение
Вы найдете множество определений. Некоторые из них полезны, большинство — нет.
Например, NCSC дает определение, которое начинается словами «Кибербезопасность — это то, как отдельные лица и организации снижают риск кибератак». Это точное определение, просто совершенно бесполезное, потому что оно не объясняет эту «кибернетическую» часть.
Итак, начнем с его разборки. Если вы находитесь в США, вы, вероятно, видите кибербезопасность больше, чем кибербезопасность, которая является просто региональной вариацией. Что такое безопасность? Лучшее и самое простое определение, которое мне удалось найти, — это защита активов от угроз (на самом деле и активы, и угрозы — это, в конечном счете, люди, даже в киберпространстве, а иногда и одни и те же люди). Отлично, мы на полпути, мы определили дисциплину, с которой работаем.
Что такое кибер? Что ж, опять же существует множество определений, но большинство из них сводятся к тому, что это домен, состоящий из взаимозависимых сетей, технологических инфраструктур и данных, которые в них живут. Более того, теперь у нас есть домен, с которым мы работаем.
Это означает, что кибербезопасность применяет дисциплину безопасности в киберпространстве.
Вот почему люди так путаются в том, что такое кибербезопасность, и ее путают с информационной безопасностью и другой безопасностью. Все они применяют одни и те же фундаментальные принципы безопасности, одну и ту же дисциплину, только в разных областях.
Существует множество других областей безопасности — мы можем говорить о продовольственной безопасности, биобезопасности, финансовой, экономической и многих других, но пока сосредоточимся на них. На диаграмме показаны физическая, информационная, кибербезопасность и их взаимосвязь. Вы быстро поймете, почему…
…границы и определения очень легко размываются.
Я бы включил сюда информационные технологии, но для этого нужны дополнительные измерения, которые я не могу представить в 2D-формате. ИТ, вычислительная техника, технология или любой другой термин, который мы хотим использовать, включает в себя кибербезопасность так же, как и информация, в то время как информационная безопасность пересекается, но не содержит ее.
Дополнительные определения: что означает слово «жесткий» в кибербезопасности?
Есть проблема, когда мы начинаем разбрасывать слово жестко, оно снова возвращается к определениям (извините, я знаю, что это превращается в словарь, но это важно, чтобы понять вопрос). Когда мы говорим, что что-то сложно, мы часто имеем в виду, что это расстраивает. Несмотря на то, что взлом кибербезопасности может быть (часто) неприятным, это не то же самое, что это сложно само по себе.
Лучшее описание состоит в том, что кибербезопасность является сложной задачей. Этому можно научиться, его можно улучшить, оно требует определенного образа мышления, способностей к исследованию и быстрому обучению, а также ряда других навыков в зависимости от того, какую область вы изучаете. Могут быть области, в которых вы преуспеваете, могут быть области, в которых вы испытываете затруднения, и их обнаружение определит вашу дальнейшую карьеру.
Еще лучше сказать, что достичь безопасного состояния сложно. Здесь задействовано множество движущихся частей, и чем крупнее организация или среда, тем сложнее она становится. Применяемые принципы просты, но их нужно тщательно применять везде, ничего не упуская, к огромному разнообразию технологий и систем, каждая из которых является движущейся мишенью. n n Кроме того, у вас будут ограниченные ресурсы, и вам нужно будет постоянно переводить информацию между различными сферами бизнеса, чтобы они понимали не только свою потребность в безопасности, но и то, что это значит.
Это может звучать так, будто я предостерегаю вас от карьеры в области кибербезопасности или безопасности в целом. Я абсолютно нет - есть несколько областей, где вы можете оказать такое огромное положительное (или отрицательное) влияние, даже если оно может быть невидимым. Это может быть разочаровывающим и утомительным; это также может быть невероятно полезным.
Если вы ищете карьеру в сфере безопасности, то я всегда рад попробовать и помочь. Подключайтесь и общайтесь в Twitter или LinkedIn.
Оригинал