Ogłoszenia o pracę opisują rozpaczliwy niedobór. Kandydaci na juniora opisują wysłanie dwustu aplikacji bez odpowiedzi. Obie rzeczy są prawdziwe, i wyjaśnienie ma znaczenie.
Niedobór ma konkretny kształt
Popyt jest realny. Amerykańskie Bureau of Labor Statistics prognozuje wzrost zatrudnienia analityków bezpieczeństwa informacji o 28,5 procent między 2024 a 2034 rokiem – to 52 100 nowych etatów, wobec 3,1 procent wzrostu we wszystkich zawodach. Adopcja nowych technologii, w tym sztucznej inteligencji, jednocześnie powiększa powierzchnię ataku i obowiązki regulacyjne.
Ale popyt nie rozkłada się równomiernie na poziomy doświadczenia, i to jest część, która ginie w dyskusji.
Czego chcą organizacje: kogoś, kto obsłużył prawdziwe incydenty, potrafi podjąć decyzję o drugiej w nocy, rozumie systemy, które broni, i nie zignoruje prawdziwej intruzji ani nie zatrzyma produkcji z powodu fałszywego alarmu.
Czego jest pod dostatkiem: ludzi z certyfikatami, domowymi laboratoriami, doświadczeniem capture-the-flag i entuzjazmem, którzy nigdy nie byli odpowiedzialni za środowisko produkcyjne.
Niemal nikt nie zatrudnia pod kątem potencjału, a niemal wszyscy narzekają, że brakuje doświadczonych ludzi.
To te same dwa fakty. Lejek jest zablokowany na pierwszym kroku, i jest zablokowany, bo stanowiska, które kiedyś budowały doświadczenie w bezpieczeństwie, zostały zlikwidowane albo oddane na zewnątrz.
Praktyczna konsekwencja dla pracodawcy jest taka, że najszybsza droga do doświadczonego zespołu bezpieczeństwa to wewnętrzny awans z ról technicznych, nie rekrutacja zewnętrzna na rynek, na którym wszyscy walczą o tę samą małą grupę.
Co obejmuje ten kierunek
Zakres: sieci, ataki i obrona, tożsamość, bezpieczeństwo chmury, reagowanie na incydenty, informatyka śledcza i governance.
Cztery obszary.
Podstawy. Sieci, systemy operacyjne, tożsamość i kryptografia, na poziomie pozwalającym rozumować, co atakujący faktycznie może zrobić.
Obrona i wykrywanie. Utwardzanie, monitorowanie, inżynieria detekcji i reagowanie.
Rozumienie strony ofensywnej. Jak działają ataki, żeby obrona adresowała metodę, nie kategorię.
Governance i ryzyko. Frameworki, regulacje, ryzyko stron trzecich i praca nad decyzjami bezpieczeństwa wewnątrz organizacji, która ma inne priorytety.
Dlaczego certyfikaty tego nie naprawiły
Wydano sporo pieniędzy na certyfikację, a niedobór doświadczonych ludzi trwa. Warto nazwać powód bez wrogości, bo certyfikaty robią coś realnego, tylko nie to, czego brakuje.
Certyfikat pokazuje, że ktoś zna zdefiniowany zakres materiału. To naprawdę przydatne. Filtruje pod kątem wysiłku i wiedzy bazowej, a kilka z nich cieszy się szacunkiem nie bez powodu.
Czego nie pokazuje, to osądu w warunkach niepewności, czyli tego, czego wymagają rzadkie role.
Decydowanie, co ma znaczenie. Skaner zwraca czterysta wyników. Wiedza, które trzy są faktycznie możliwe do wykorzystania w tym środowisku, to doświadczenie, nie wiedza.
Praca z niepełną informacją. O północy odpala się alert. Coś może się dziać. Wybór to eskalować i zakłócić biznes albo poczekać i zaryzykować rozprzestrzenienie się intruzji, i czasem obie opcje są błędne.
Rozumienie konkretnego środowiska. Które systemy mają znaczenie, jak wygląda tu normalność, gdzie są nieudokumentowane zależności. Tego nie da się certyfikować, bo jest lokalne.
Przekonywanie innych. Większość pracy w bezpieczeństwie polega na przekonywaniu ludzi z innymi priorytetami, żeby zaakceptowali tarcie. To kompetencja komunikacyjna i organizacyjna.
To nie oznacza, że certyfikacja jest bezwartościowa. Oznacza, że certyfikacja bez żadnej odpowiedzialności operacyjnej nie daje tego, czego brakuje na rynku, a organizacje finansujące to pierwsze, nie zapewniając drugiego, kupują połowę czegoś.
Gdzie to się mieści w domenie
Cyberbezpieczeństwo to piąty z ośmiu kierunków w domenie AI, danych i informatyki Astra Trainer, i to tu ląduje duża część popytu tworzonego przez pozostałe kierunki. Adopcja sztucznej inteligencji, przejście do infrastruktury chmurowej i łączenie coraz większej liczby systemów – wszystko to powiększa to, co trzeba bronić.
Opiera się na systemach IT i sieciach komputerowych oraz na informatyce, bo osąd bezpieczeństwa wymaga wiedzy, jak dana rzecz faktycznie działa, i łączy się z cloud computingiem i DevOps, skąd pochodzi duża część współczesnej ekspozycji na ryzyko. Zobacz osiem kierunków tutaj.
Większość włamań nie jest wyrafinowana
Marketing bezpieczeństwa podkreśla zaawansowane, długotrwałe zagrożenia i nowatorskie techniki. Raporty o incydentach czytają się inaczej, a ta różnica powinna kształtować, dokąd trafiają pieniądze na szkolenia.
Powtarzające się drogi wejścia są niewyszukane. Skradzione, odgadnięte, użyte ponownie z innego wycieku albo wyłudzone przez phishing dane uwierzytelniające. Systemy bez łatek na luki ujawnione i naprawione miesiące lub lata wcześniej. Usługi wystawione do internetu, które nigdy nie miały tam być, w tym interfejsy magazynowe i zarządzające otwarte przez błąd konfiguracji. Nadmierne uprawnienia, które pozwalają, żeby drobne wejście stało się poważnym. Dostęp stron trzecich przez dostawcę ze słabszymi zabezpieczeniami.
Cztery wnioski, które wynikają z tego wprost.
Podstawy to jest ta praca. Inwentaryzacja zasobów, łatanie, uwierzytelnianie wieloskładnikowe, zasada najmniejszych uprawnień, kopie zapasowe i odzyskiwanie, logowanie. Mało efektowne, trudne do utrzymania i odpowiedzialne za większość dostępnej redukcji ryzyka.
Nie da się chronić tego, o czym się nie wie. Inwentaryzacja zasobów to najmniej interesująca kontrola i ta, której brak tłumaczy większość reszty.
Tożsamość to teraz perymetr. Gdy praca odbywa się w usługach chmurowych i na zdalnych punktach końcowych, granica sieci przestaje być punktem kontroli, a celem stają się dane uwierzytelniające.
Wykrywanie ma większe znaczenie niż sama prewencja. Założenie, że doszło do kompromitacji, i zbudowanie zdolności szybkiego jej zauważenia to lepsza postawa niż zakładanie, że perymetr się utrzyma.
Role, które naprawdę trudno obsadzić
Konkretność pomaga organizacjom celować szkoleniami w prawdziwe luki.
Inżynierowie detekcji. Ludzie piszący i strojący reguły decydujące, co zostanie zauważone. Wymaga to znajomości techniki atakującego i konkretnego środowiska naraz, i jest ich bardzo niewielu.
Osoby reagujące na incydenty z prawdziwym doświadczeniem incydentów, w odróżnieniu od ćwiczeń sztabowych.
Inżynierowie bezpieczeństwa chmury. Bezpieczeństwo chmury różni się na tyle od tradycyjnego bezpieczeństwa infrastruktury, że przeniesienie kompetencji nie jest automatyczne, a popyt mocno wyprzedził podaż.
Inżynierowie bezpieczeństwa aplikacji, którzy faktycznie potrafią czytać kod – grupa dużo mniejsza niż liczba osób z takim tytułem.
Specjaliści od bezpieczeństwa OT i przemysłowego, gdzie praktyka bezpieczeństwa IT zastosowana bez zrozumienia procesu często pogarsza sytuację.
Architekci bezpieczeństwa, którzy potrafią projektować, a nie tylko oceniać.
Wspólną cechą jest to, że każda z tych ról wymaga głębi w czymś innym niż samo bezpieczeństwo. To właśnie powinno decydować o strategii rekrutacji.
Role, nazwane wprost
Analitycy bezpieczeństwa, w centrach operacji.
Inżynierowie detekcji.
Osoby reagujące na incydenty i analitycy śledczy.
Pentesterzy i operatorzy red team.
Inżynierowie bezpieczeństwa aplikacji.
Inżynierowie bezpieczeństwa chmury i infrastruktury.
Specjaliści od tożsamości i zarządzania dostępem.
Specjaliści governance, ryzyka i zgodności.
Analitycy wywiadu zagrożeń.
Kogo można w to przeszkolić
Administratorzy systemów. Najsilniejsze dostępne przekwalifikowanie. Wiedzą, jak działają systemy, jak wygląda normalność i gdzie są nieudokumentowane zależności. Wiedza o bezpieczeństwie dodana do tego fundamentu szybko daje użytecznego obrońcę.
Inżynierowie sieci. W stronę bezpieczeństwa sieciowego i detekcji, mając już obraz ruchu.
Deweloperzy oprogramowania. W stronę bezpieczeństwa aplikacji, gdzie umiejętność czytania kodu jest tą rzadką częścią i nie da się jej zdobyć na kursie.
Inżynierowie chmury i platform. W stronę bezpieczeństwa chmury – jednej z najtrudniejszych luk do obsadzenia z zewnątrz.
Personel service desk i wsparcia. W stronę operacji bezpieczeństwa, mając wiedzę o zachowaniach użytkowników i instynkt obsługi incydentów.
Inżynierowie automatyki i sterowania przemysłowego. W stronę bezpieczeństwa OT, gdzie rozumienie procesu to coś, czego brakuje ogólnym specjalistom od bezpieczeństwa.
Audytorzy i specjaliści od ryzyka. W stronę governance i zgodności, gdzie metodologia już się przenosi.
Personel wojskowy i organów ścigania z odpowiednim doświadczeniem, szczególnie w stronę śledztw i reagowania.
Granice prawne i obowiązki regulowane. Nieautoryzowany dostęp do systemów komputerowych jest przestępstwem w większości jurysdykcji, a testy bezpieczeństwa wymagają wyraźnej pisemnej autoryzacji definiującej zakres. Zgłaszanie naruszeń, raportowanie incydentów i obowiązki bezpieczeństwa specyficzne dla sektora są określone przez prawo, różnią się między jurysdykcjami i wiążą się z karami. Obsługa dowodów śledczych ma wymagania wpływające na ich dopuszczalność. Astra Trainer buduje kompetencje obronne i analityczne oraz świadomość, gdzie te obowiązki mają zastosowanie. Nie autoryzuje testowania żadnego systemu, nie jest poradą prawną i nie nadaje żadnego profesjonalnego certyfikatu ani statusu.
Co z tego wynieść
Popyt jest realny, prognozowany wzrost to 28,5 procent do 2034 roku, i koncentruje się na doświadczonym końcu.
Kandydatów na juniora jest mnóstwo i są zablokowani, co czyni z tego problem awansu, nie podaży.
Certyfikaty pokazują wiedzę, nie osąd, i dlatego budżety na certyfikację nie zamknęły luki.
Większość włamań wykorzystuje niewyszukane metody przeciwko znanym słabościom, więc zdyscyplinowane podstawy dają większość dostępnej redukcji ryzyka.
A każda naprawdę trudna do obsadzenia rola w bezpieczeństwie wymaga najpierw głębi w czymś innym. Ludzie, którzy mogą je obsadzić, już są w twoich zespołach infrastruktury, sieci i developmentu.
Czy naprawdę brakuje kadr w cyberbezpieczeństwie?
Na doświadczonym końcu – tak. BLS prognozuje wzrost o 28,5 procent do 2034 roku dla analityków bezpieczeństwa informacji. Na poziomie juniorskim kandydatów jest mnóstwo i często nie mogą dostać pierwszej pracy, więc lejek jest zablokowany na pierwszym kroku, nie brakuje ludzi.
Dlaczego certyfikaty tego nie rozwiązały?
Bo certyfikat pokazuje znajomość zdefiniowanego zakresu materiału, podczas gdy rzadkie role wymagają osądu w warunkach niepewności: decydowania, które wyniki mają znaczenie, działania na niepełnej informacji, rozumienia konkretnego środowiska i przekonywania ludzi z innymi priorytetami.
Co powoduje większość włamań?
Skradzione, odgadnięte, powtórnie użyte lub wyłudzone dane uwierzytelniające; systemy bez łatek na dawno ujawnione luki; usługi przypadkowo wystawione do internetu; nadmierne uprawnienia; oraz dostęp przez strony trzecie ze słabszymi zabezpieczeniami.
Które role w bezpieczeństwie są najtrudniejsze do obsadzenia?
Inżynierowie detekcji, doświadczone osoby reagujące na incydenty, inżynierowie bezpieczeństwa chmury, inżynierowie bezpieczeństwa aplikacji potrafiący czytać kod, specjaliści bezpieczeństwa OT oraz architekci projektujący, a nie tylko oceniający.
Kto najlepiej przekwalifikowuje się w bezpieczeństwo?
Najpierw administratorzy systemów, potem inżynierowie sieci w stronę detekcji, deweloperzy w stronę bezpieczeństwa aplikacji, inżynierowie chmury w stronę bezpieczeństwa chmury, personel wsparcia w stronę operacji bezpieczeństwa i inżynierowie sterowania w stronę bezpieczeństwa przemysłowego.