Detaylara dikkat, yaratıcılık ve azim, iyi bir beyaz şapka korsanının temel özellikleridir. Bu pozisyonlar yoğun talep görmektedir.
TechRepublic'ten Karen Roby, Offensive Security CEO'su Ning Wang ile siber güvenlik uzmanı olmak için gerekenler hakkında konuştu. Aşağıdaki, konuşmalarının düzenlenmiş bir dökümüdür.
Karen Roby: Ning, hadi siber güvenlik durumuyla başlayalım; şirketleri güvende tutmak için gerekli olan bu rolleri dolduracak profesyonellerin sayısı açısından neredeyiz?
GÖRMEK: Güvenlik olayı yanıt politikası (TechRepublic Premium)
Ning Wang: Bence çok kötü bir durumdayız. Hangi kaynağa bakarsanız bakın, siber güvenlik için onu dolduracak nitelikli insanlardan çok daha fazla iş fırsatı var. Ve Offensive Security'den önce başka güvenlik şirketlerinde çalıştım ve ilk elden biliyorum, bu insanları işe almanın gerçekten zor olduğunu. Karşı karşıya olduğumuz gerçek bu ve bunu ele almaya çalışan birçok şirket, kuruluşlar ve hükümetler var ve ilerleme göreceğimizi düşünüyorum, ancak bu bir gecede olmayacak. Ve bence sorun düzelmeden önce daha da kötüleşecek.
Karen Roby: Talihsiz gerçek, Ning ve biliyorum ki sen uzun zamandır teknoloji dünyasındasın ve pek çok farklı türde insanla çalıştın ve bence ilginç olan şey bu, sahip olmak zorunda olmaman. Siber güvenlikte başarılı olmak için bir teknik altyapı. Peki, ne tür bir insan arıyorsunuz? İnsanların alana girebilmeleri ve başarılı olabilmeleri için ne tür bir kişiye ve becerilere ihtiyacı var?
Ning Wang: Bu gerçekten iyi bir soru. Güvenliğe girmek için çok fazla teknolojik altyapıya sahip olmanız gerektiğini düşünebilirsiniz. Ve yine, durumun böyle olmadığını ilk elden biliyorum. Harika bir siber güvenlik uzmanı olmak için ne gerekir? Ve gözlemlerime, insanlarla çalışmama ve insanlarla etkileşim kurmalarıma göre, yaratıcı bir zihne, meraklı bir zihne ihtiyaçları var, bir şeyleri merak etmeniz gerekiyor. Geçmek için sabra sahip olmalısınız. Kolay kolay vazgeçemezsin. Biz buna daha çok dene diyoruz, ama buna sahip olmalısın. Detaylara dikkat etmelisiniz çünkü çok fazla senaryo ve kod okuyorsunuz; onları yazıyoruz. Bu nedenle, ayrıntılara dikkat etmezseniz, çok daha uzun sürer ve bu sizin tutkunuz olmalıdır. Bunu sadece iş için yapamazsınız ne yazık ki. Bir oyun kitabını takip edip sonra bunu yapabileceğinizi düşünemezsiniz.
Bunlar, bir kişinin temel becerilerinden veya özelliklerinden bazılarıdır. Ve tüm bunlara sahip olsanız bile, kısayol yok. Siber güvenlikteki tüm harika insanlara bakarsanız, diğer tüm alanlarda olduğu gibi, 10.000 saat kuralı burada da geçerlidir, tamam. Çok çalışmak zorundasınız ve bunda gerçekten iyi olmak için bunu yapmanız gerekiyor. Ve örneğin, şirketimizde biliyoruz, felsefe okuyan biri var. Herhangi bir BT geçmişi yok, karate öğretti ve ardından siber güvenlikle ilgilenmeye başladı. Ve bu onun başladığı arka plan ve bugün çok iyi ve hala OffSec'te çalışıyor. Ve şirketteki en iyi güvenlik uzmanlarımızdan biri olan başka bir çalışanımız var. Uzun yıllar posta odasında çalıştı ve dedi ki, bunu hayatımın geri kalanında yapmak istemiyorum ve yapmak istediğim şeyin ne olduğunu bulmak istiyorum ve sonra siber güvenlik hakkında bir şeyler duydum ve yoluna istikrarlı bir şekilde gitti ve her seferinde bir şey gidiyor ve şimdi o tam bir uzman.
GÖRMEK: Parolalar nasıl yönetilir: En iyi uygulamalar ve güvenlik ipuçları (ücretsiz PDF) (Teknik Cumhuriyeti)
Tüm BT geçmişine ihtiyacınız olduğundan değil, ihtiyacınız olan şey, meraklı bir zihne sahip olmanızdır. Saatleri koymaya istekli olmalısın, sebat etmelisin, detaylara dikkat etmelisin. Ve zamanla öğrenirsiniz, bilgeliği, örüntü tanımayı geliştirirsiniz ve bu şekilde siber güvenlikte gerçekten iyi olursunuz.
Karen Roby: Evet. Bu 10.000 saat kuralından kaçamazsın, etrafta dolaşmanın hiçbir yolu yok, Ning. Biliyorsunuz, işletmelere ve sistemlerine çok fazla zarar verebilecek suçlulardan, bilgisayar korsanlarından her zaman bir adım önde olmaya çalışıyoruz. Peki, şirketler ne yapar? Yani, bu pozisyonları doldurmak için can atıyorlar. Bu yeteneği elde etmek için diğer şirketlerle rekabet ediyorlar.
Ning Wang: Bence bu başka bir talihsiz gerçek. Bir organizasyonun veya bir hükümetin güvenlik duruşunu, güvenlik sorununu düzeltecek gümüş bir kurşun olduğuna inanmıyorum. Güvenlik, bunda iyi olmak için gerçekten sistemlerinize ve ağlarınıza erişimi olan herkesi gerektirir. Kuruluşunuzda erişimi olan herkesle genel eğitim ve farkındalık yaratmakla başlamanız gerekir. Ve sonra bir şekilde şanslı olduğunu düşünmek, asla vurulmayacaksın. Bence bu bir temenni, herkesin başına gelebilir. Yani genel bir farkındalık ve eğitim ama bunu yapabilmek için en tepeden başlamam gerektiğini düşünüyorum. Bu, yönetim kurulu üyelerinin, CEO'ların bilmesi gerektiği anlamına gelir: bugün, güvenlik yapmak artık hoş bir şey değil ya da sonradan düşünüldüğünde, bugün iş yapmak için gereken şey bu olmalı. Bu nedenle, odak, öncelik ve kaynakları ve yatırımı vermeleri gerekir.
Ve oradan, işi yapan herkes, asıl işi güvenlik olmayabilir, geliştirici, sistem yöneticisi, ağ mühendisleri olsun, ama hepsinin güvenlikte bir eli var. Aslında, işi yapan herkes, bu güvenlik zihniyeti bilincine nasıl sahip olacaklarını düşünmek zorundalar. Ve sonra, kötü adamlar bundan faydalanmadan önce zayıflığınızı yakalamaya çalışabilmeniz için, hücum tarafının olması için proaktif hackleme yapan, denetleyen, denetleyen güvenlik uzmanlarına ihtiyacınız var. Her zaman söylerim, bir şirket veya bir hükümet veya kuruluş, güvenliğiniz kuruluşunuzun en zayıf halkası kadar iyidir. Bunu bilmelisin, bunun farkında olmalısın. Ve sonra seksi olmayan tüm bu şeyleri yapmak zorundasın, ama bunlar gerekli. Kullandığınız tüm sistemlerin, işletim sisteminin veya tüm araçların yamalanmasıdır; özellikle kritik sistemleriniz olmak üzere bunları zamanında yamaladığınızdan emin olmalısınız.
Diğer bir şey ise, bence birçok sistem eski ve gerçekten daha iyi olmak için güvenlik düşünülmeden tasarlandı. Kötü adamların bir şekilde içeri gireceğini varsaymalısın, ama bunu nasıl zorlaştırırsın? Bu nedenle, girseler bile, verilere ulaşmak için hassas bölgenize kolayca giremezler. Bu, güvenliği göz önünde bulunduran bir tasarım gerektirir. Ve böylece, savunma tarafında, hücum tarafında, bilen, izleyen güvenlik görevlilerinin hepsini, proaktif bir şekilde, farkındalığa sahip olan ve insanlar işi ve güvenliği sağlamak için kontrol ediyorlar. bunun bir parçası, güvenlik duruşunu iyileştirmek için.
Karen Roby: Buraya kadar, Ning. Sanırım en başta söylediğinize geri döneceğim, ne yazık ki işler düzelmeden önce daha da kötüye gidecek.
Ning Wang: Bence durum böyle. Siber suçluları düşünürseniz, inanılmaz yaratıcı olduklarını düşünüyorum. Güvenlik bir insan sorunudur, bir sistem sorunu değildir. İnsanlar sistemi böyle yapıyor, süreçleri takip ediyor ya da takip etmiyor ve siber suçluların bundan faydalandığı ve istemediğimiz şeylere erişim sağladığı yer burası. Bu yüzden bence devam etmemiz ve farkındalığı, özellikle üst düzey liderlik seviyesini artırmamız gerekiyor. Ve sonra hayır, bir gecede olmayacak ve elimizden gelenin en iyisini yapmamız gerektiğini bilmeyecek, ama elimizden gelenin en iyisini yapsak bile, istemediğimiz şeyler yine de olabilir. Bu yüzden, içeri girmeleri durumunda sisteminizin en hassas alanına ve ardından ağınıza girememeleri için riski nasıl azaltacağımızı düşünmeliyiz.