O PM i Diogelwch: Beth Sy'n Trosglwyddo Mewn Gwirionedd

Mae rheolwyr prosiectau sy'n meddwl am symud i seiber-diogelwch yn aml yn tybio eu bod yn dechrau o'r dim. Nid ydynt. Mae'r sgiliau meddal a wnaethoch chi'n dda ar redeg prosiectau — rheoli rhanddeiliaid, tracio risg, cydlynu digwyddiadau — yn mapio'n uniongyrchol ar waith diogelwch. Yr hyn sydd ar goll yw'r sylfaen dechnegol, ac mae'n bosibl cau'r bwlch hwn mewn 12-18 mis os ydych chi'n benderfynol yn ei gylch.

Beth sy'n trosglwyddo mewn gwirionedd

Os ydych chi wedi rhedeg prosiect gyda chofrestr risg, rydych chi eisoes yn deall rhesymeg craidd asesiad risg diogelwch: nodi'r ased, amcangyfrif tebygolrwydd ac effaith, penderfynu ar driniaeth (derbyn, lliniaru, trosglwyddo, osgoi). Mae timau diogelwch yn defnyddio'r union fframwaith, dim ond ei gymhwyso i systemau yn lle canlyniadau. Mae NIST's Risk Management Framework ac ISO 27005 yn fersiynau ffurfiannol o'r hyn y mae rheolwr prosiectau sertifiedig PMP eisoes yn ei wneud ar synnwyr naturiol.

Mae rheoli digwyddiadau yn orgyffwrdd arall. Rhedeg ystafell ryfel yn ystod colli cynhyrchu yw'n debyg yn strwythurol i redeg un yn ystod digwyddiad ransomware: mae rhywun angen bod yn berchen ar gyfathrebu, mae rhywun angen tracio'r llinell amser, mae rhywun angen gwneud galwadau dan bwysau heb wybodaeth lawn. Mae timau diogelwch yn galw hyn yn orchymyn digwyddiad; fe allech chi ei adnabod fel rheoli argyfwng gyda geirfa gwahanol.

Mae goruchwyliaeth gwerthwyr a chytundebau hefyd yn trosglwyddo'n dda. Rheoli risg trydydd parti — porweddyd gwerthwyr SaaS, adolygu adroddiadau SOC 2, trafod clausulau diogelwch i mewn i gytundebau — yw niche tyfu yn y rolau GRC (llywodraethiant, risg, ac ymgymhorthdal), ac mae'n gwobrwyo rhywun sydd eisoes yn gwybod sut i ddarllen cytundeb a rheoli perthynas gwerthwr.

Y bwlch technegol na allwch ei hepgor

Dyma lle mae'r rhan fwyaf o drosglwyddiad PM-i-diogelwch yn aros: ni allwch reoli SOC, adolygu adroddiad pen test, neu osod trefn ar gynllun adferio agosatrwydd heb ddeall beth sydd tanu ei. Mae angen gwybodaeth weithredol arnoch chi o rwydweithio (TCP/IP, DNS, sut mae wal dân yn hidlo traffig mewn gwirionedd), llinell orchymyn Linux sylfaenol, a sut mae'r OWASP Top 10 agosatrwydd yn gweithio yn ymarfer, nid dim ond fel pwyntiau bwled ar slid.

Nid yw hyn yn golygu bod yn dreial treiddiol. Mae'n golygu bod yn gallu darllen allbwn sgan Nessus neu Qualys a deall pam mae clytai ar goll ar bort 445 yn bwysig, neu pam bod enghraifft Redis heb ddilysiad yn agored i'r rhyngrwyd yw tân pump-larwm. Treuliwch amser gyda labordai cartref: cylchdroi ychydig VMs mewn VirtualBox, gosod pfSense fel wal dân, rhedeg Wireshark yn erbyn eich traffig eich hun. Mae cysyniadau'n glynnu'n gyflymach pan ydych chi wedi torri rhywbeth eich hun.

Sertifiedigaethau sy'n gwneud synnwyr ar y llwybr hwn

Ceisiwch roi'r gorau i neidio'n syth i OSCP neu unrhyw beth trwm-diogelwch-sarhaus — mae hynny'n lwybr gwahanol. Ar gyfer cefndir PM, y dilyniant sy'n tueddu i weithio yw:

1. CompTIA Security+ — eich geirfa a chysyniadau sylfaenol ar draws rhwydweithio, bygythiadau, a rheoliadau.
2. CISM neu CRISC (ISACA) — mae'r rhain yn ymwneud â llywodraethiant a risg, sy'n chwarae i'ch cryfderau presennol ac yn aml yn fwy perthnasol i rolau rheolwr rhaglen diogelwch GRC nag ardaloedd sertifiedigaeth dechnegol.
3. CISSP — yn y pen draw, unwaith y bydd gennych rywfaint o alluoedd ymarfer; mae'n cymhwyso pum mlynedd o brofiad perthnasol ar gyfer sertifiedigaeth lawn beth bynnag, felly mae'n nod llwybr canol, nid pwynt cychwynnol.

Osgowch gasglu sertifiedigaethau fel dirprwy ar gyfer profiad. Mae rheolwr prynu ar gyfer swydd Rheolwr Rhaglen Diogelwch eisiau gweld eich bod chi'n gallu siarad yn ddeallus am broses triage rhybuddion SIEM, nid bod gennych chi bedwar acronym ar ôl eich enw.

Lle y glanwch chi mewn gwirionedd yn gyntaf

Yr mynedfa realistig fel arfer nid yw