Gli annunci di lavoro descrivono una carenza disperata. I candidati junior raccontano di aver inviato duecento candidature senza risposta. Entrambe le cose sono vere, e la spiegazione conta.
La carenza ha una forma precisa
La domanda è reale. Il Bureau of Labor Statistics statunitense prevede che l'occupazione degli analisti della sicurezza informatica cresca del 28,5% tra il 2024 e il 2034, pari a 52.100 posti in più, contro una crescita del 3,1% per tutte le professioni. L'adozione di nuove tecnologie, inclusa l'intelligenza artificiale, allarga contemporaneamente la superficie di attacco e gli obblighi normativi.
Ma la domanda non è distribuita in modo uniforme tra i livelli di esperienza, ed è questa la parte che si perde per strada.
Ciò che le organizzazioni vogliono: qualcuno che ha gestito incidenti reali, sa prendere una decisione alle due di notte, capisce i sistemi che sta difendendo, e non ignorerà un'intrusione vera né fermerà la produzione per un falso positivo.
Ciò che abbonda: persone con certificazioni, home lab, esperienza di capture-the-flag ed entusiasmo, che non sono mai state responsabili di un ambiente di produzione.
Quasi nessuno assume per il potenziale, e quasi tutti si lamentano che le persone esperte scarseggiano.
Quei due fatti sono lo stesso fatto. La pipeline è bloccata al primo passo, ed è bloccata perché i ruoli che una volta creavano esperienza in sicurezza sono stati eliminati o esternalizzati.
La conseguenza pratica per un datore di lavoro è che la via più rapida verso un team di sicurezza esperto è la progressione interna da ruoli tecnici, non il reclutamento esterno su un mercato dove tutti competono per lo stesso piccolo gruppo di persone.
Cosa copre la direzione
L'ambito: reti, attacchi e difesa, identità, sicurezza cloud, gestione degli incidenti, forensics e governance.
Quattro aree.
Fondamenti. Reti, sistemi operativi, identità e crittografia, al livello necessario per ragionare su cosa può fare davvero un attaccante.
Difesa e rilevamento. Hardening, monitoraggio, detection engineering e risposta.
Comprensione offensiva. Come funzionano gli attacchi, così le difese affrontano il metodo invece della categoria.
Governance e rischio. Framework, normativa, rischio di terze parti e il lavoro di prendere decisioni di sicurezza dentro un'organizzazione che ha altre priorità.
Perché le certificazioni non l'hanno risolta
Sono stati spesi soldi considerevoli in certificazioni e la carenza sul lato esperto persiste. Vale la pena dirlo senza ostilità, perché le certificazioni fanno qualcosa di reale, e non è ciò che manca.
Una certificazione dimostra che qualcuno conosce un corpo definito di materiale. È genuinamente utile. Filtra per impegno e conoscenza di base, e diverse sono rispettate a buon diritto.
Ciò che non dimostra è il giudizio in condizioni di incertezza, che è quanto richiedono i ruoli scarsi.
Decidere cosa conta. Uno scanner restituisce quattrocento segnalazioni. Sapere quali tre sono davvero sfruttabili in questo ambiente è esperienza, non conoscenza.
Lavorare con informazioni incomplete. Un alert scatta a mezzanotte. Potrebbe star succedendo qualcosa. La scelta è fare escalation e disturbare il business, o aspettare e rischiare che l'intrusione si diffonda, e a volte entrambe le opzioni sono sbagliate.
Capire l'ambiente specifico. Quali sistemi contano, come appare la normalità qui, dove sono le dipendenze non documentate. Non si può certificare, perché è locale.
Costruire l'argomentazione. Gran parte del lavoro di sicurezza consiste nel convincere persone con altre priorità ad accettare attrito. È una competenza di comunicazione e organizzazione.
L'implicazione non è che la certificazione sia inutile. È che certificazione più nessuna responsabilità operativa non produce ciò di cui il mercato è a corto, e le organizzazioni che finanziano la prima senza fornire la seconda stanno comprando metà di qualcosa.
Dove si colloca nel dominio
Cybersecurity è la quinta di otto direzioni nel dominio IA, dati e computing di Astra Trainer, ed è dove atterra gran parte della domanda creata dalle altre direzioni. Adottare l'intelligenza artificiale, spostarsi verso l'infrastruttura cloud e collegare più sistemi ampliano tutti ciò che va difeso.
Si basa su sistemi IT e reti di computer e su informatica, perché il giudizio di sicurezza richiede sapere come funziona davvero la cosa, e si collega al cloud computing e DevOps, da cui proviene gran parte dell'esposizione moderna. Puoi vedere qui le otto direzioni.
La maggior parte delle violazioni non è sofisticata
Il marketing della sicurezza enfatizza minacce persistenti avanzate e tecniche inedite. I report sugli incidenti raccontano una storia diversa, e quella differenza dovrebbe orientare dove vanno i soldi della formazione.
Le vie d'ingresso ricorrenti sono ordinarie. Credenziali rubate, indovinate, riutilizzate da un'altra violazione o ottenute con phishing. Sistemi privi di patch per vulnerabilità divulgate e corrette mesi o anni prima. Servizi esposti su internet che non avrebbero dovuto esserlo, incluse interfacce di storage e gestione lasciate aperte per un errore di configurazione. Permessi eccessivi che trasformano un piccolo punto d'appoggio in uno grande. Accesso di terze parti attraverso un fornitore con controlli più deboli.
Quattro implicazioni dirette.
Le basi sono il lavoro. Inventario degli asset, patching, autenticazione a più fattori, privilegio minimo, backup e ripristino, logging. Poco affascinante, difficile da sostenere nel tempo, e responsabile della maggior parte della riduzione del rischio disponibile.
Non puoi proteggere ciò che non sai di avere. L'inventario degli asset è il controllo meno interessante e quello la cui assenza spiega gran parte del resto.
L'identità è ormai il perimetro. Una volta che il lavoro avviene attraverso servizi cloud ed endpoint remoti, il confine di rete smette di essere il punto di controllo e le credenziali diventano il bersaglio.
Il rilevamento conta più della sola prevenzione. Assumere che ci sia stata una compromissione e costruire la capacità di accorgersene in fretta è una postura migliore che assumere che il perimetro regga.
I ruoli davvero difficili da coprire
Essere specifici qui aiuta le organizzazioni a indirizzare la formazione verso i divari reali.
Detection engineer. Persone che scrivono e calibrano le regole che decidono cosa viene notato. Richiede di conoscere sia la tecnica degli attaccanti sia l'ambiente specifico, e ce ne sono pochissime.
Incident responder con esperienza reale di incidenti, distinta dalle esercitazioni a tavolino.
Ingegneri di sicurezza cloud. La sicurezza cloud differisce abbastanza dalla sicurezza dell'infrastruttura tradizionale che il trasferimento non è automatico, e la domanda ha superato l'offerta di molto.
Ingegneri di sicurezza applicativa che sanno davvero leggere codice, un gruppo molto più piccolo del numero di persone con quel titolo.
Specialisti di sicurezza per tecnologia operativa e industriale, dove la pratica di sicurezza informatica tradizionale spesso peggiora le cose se applicata senza capire il processo.
Architetti di sicurezza capaci di progettare, non solo di valutare.
Il tratto comune è che ciascuno richiede profondità in qualcosa di diverso dalla sicurezza. È questo il dato che dovrebbe guidare la strategia di reclutamento.
I ruoli, nominati
Analisti di sicurezza, nei centri operativi.
Detection engineer.
Incident responder e analisti forensi.
Penetration tester e operatori red team.
Ingegneri di sicurezza applicativa.
Ingegneri di sicurezza cloud e infrastrutturale.
Specialisti di identity and access management.
Professionisti di governance, rischio e compliance.
Analisti di threat intelligence.
Chi può essere formato per questo
Amministratori di sistema. La conversione più solida disponibile. Sanno come funzionano i sistemi, come appare la normalità, e dove sono le dipendenze non documentate. La conoscenza di sicurezza aggiunta a quella base produce in fretta un difensore utile.
Ingegneri di rete. Verso sicurezza di rete e rilevamento, già in possesso della visione del traffico.
Sviluppatori software. Verso la sicurezza applicativa, dove la capacità di leggere codice è la parte scarsa e non si acquisisce da un corso.
Ingegneri cloud e di piattaforma. Verso la sicurezza cloud, uno dei divari più difficili da colmare dall'esterno.
Personale di service desk e supporto. Verso le security operations, con conoscenza del comportamento degli utenti e istinto nella gestione degli incidenti.
Ingegneri di controllo industriale e automazione. Verso la sicurezza della tecnologia operativa, dove la comprensione del processo è ciò che manca al personale di sicurezza generalista.
Auditor e professionisti del rischio. Verso governance e compliance, dove la metodologia si trasferisce già.
Personale militare e delle forze dell'ordine con background pertinente, in particolare verso investigazione e risposta.
Confini legali e obblighi regolamentati. L'accesso non autorizzato ai sistemi informatici è un reato penale nella maggior parte delle giurisdizioni, e i test di sicurezza richiedono un'autorizzazione scritta esplicita che ne definisca l'ambito. Notifica delle violazioni, segnalazione degli incidenti e obblighi di sicurezza specifici del settore sono stabiliti per legge, variano da giurisdizione a giurisdizione e comportano sanzioni. La gestione delle prove forensi ha requisiti che ne condizionano l'ammissibilità. Astra Trainer costruisce capacità difensiva e analitica e consapevolezza di dove si applicano questi obblighi. Non autorizza test su alcun sistema, non è consulenza legale e non conferisce alcuna certificazione o status professionale.
Cosa portare a casa
La domanda è reale, con una crescita prevista del 28,5% fino al 2034, ed è concentrata sul lato esperto.
I candidati junior abbondano e sono bloccati, il che rende questo un problema di progressione più che di offerta.
Le certificazioni dimostrano conoscenza, non giudizio, ed è per questo che i budget in certificazioni non hanno colmato il divario.
La maggior parte delle violazioni usa metodi ordinari contro debolezze note, quindi le basi applicate con disciplina offrono la maggior parte della riduzione del rischio disponibile.
E ogni ruolo di sicurezza davvero difficile da coprire richiede prima profondità in qualcos'altro. Le persone in grado di coprirli sono già nei tuoi team di infrastruttura, rete e sviluppo.
Esiste davvero una carenza di talenti in cybersecurity?
Sul lato esperto, sì. Il BLS prevede una crescita del 28,5% per gli analisti della sicurezza informatica fino al 2034. A livello junior, i candidati abbondano e spesso non riescono a ottenere un primo ruolo, quindi la pipeline è bloccata al primo passo più che a corto di persone.
Perché le certificazioni non l'hanno risolta?
Perché la certificazione dimostra conoscenza di un corpo definito di materiale, mentre i ruoli scarsi richiedono giudizio in condizioni di incertezza: decidere quali segnalazioni contano, agire con informazioni incomplete, capire un ambiente specifico e convincere persone con altre priorità.
Cosa causa la maggior parte delle violazioni?
Credenziali rubate, indovinate, riutilizzate o ottenute con phishing; sistemi senza patch per vulnerabilità note da tempo; servizi esposti involontariamente su internet; permessi eccessivi; e accesso attraverso terze parti con controlli più deboli.
Quali ruoli di sicurezza sono più difficili da coprire?
Detection engineer, incident responder esperti, ingegneri di sicurezza cloud, ingegneri di sicurezza applicativa capaci di leggere codice, specialisti di sicurezza della tecnologia operativa, e architetti che progettano invece di limitarsi a valutare.
Chi si converte meglio verso la sicurezza?
Prima gli amministratori di sistema, poi gli ingegneri di rete verso il rilevamento, gli sviluppatori verso la sicurezza applicativa, gli ingegneri cloud verso la sicurezza cloud, il personale di supporto verso le security operations e gli ingegneri di controllo verso la sicurezza industriale.