از مدیریت پروژه تا امنیت: چه چیزهایی واقعاً منتقل می‌شوند

مدیران پروژه‌ای که فکر می‌کنند به امنیت سایبری بروند اغلب فرض می‌کنند که از صفر شروع می‌کنند. اینطور نیست. مهارت‌های نرم که شما را در اجرای پروژه‌ها خوب کرده‌اند — مدیریت ذی‌نفعان، ردیابی ریسک، هماهنگی حوادث — مستقیماً به کار امنیتی منتقل می‌شوند. آنچه کم است بنیادی فنی است، و اگر ۱۲ تا ۱۸ ماه به طور هدفمند کار کنید می‌توانید این شکاف را ببندید.

آنچه واقعاً منتقل می‌شود

اگر پروژه‌ای را با ثبت ریسک اجرا کرده‌اید، شما قبلاً منطق اساسی ارزیابی ریسک امنیتی را درک می‌کنید: دارایی را شناسایی کنید، احتمال و تاثیر را برآورد کنید، تصمیمی برای درمان بگیرید (پذیرش، کاهش، انتقال، اجتناب). تیم‌های امنیت از همان چارچوب دقیق استفاده می‌کنند، فقط برای سیستم‌ها به جای محصولات اعمال می‌شود. Risk Management Framework نیست و ISO 27005 نسخه‌های رسمی آنچه است که مدیر پروژه‌ای با گواهینامه PMP قبلاً به طور شهودی انجام می‌دهد.

مدیریت حوادث تداخل دیگری است. اجرای اتاق جنگی در حین قطع تولید از لحاظ ساختاری شبیه به اجرای آن در حین رویداد ransomware است: کسی باید مسئول ارتباطات باشد، کسی باید خط زمانی را ردیابی کند، کسی باید تحت فشار و بدون اطلاعات کامل تصمیم بگیرد. تیم‌های امنیت این را incident command می‌نامند؛ شما ممکن است آن را مدیریت بحران با واژگان متفاوت بشناسید.

نظارت بر فروشنده و قرارداد نیز خوب منتقل می‌شود. مدیریت ریسک شخص ثالث — بررسی فروشندگان SaaS، بررسی گزارش‌های SOC 2، مذاکره شروط امنیتی در قرارداد‌ها — یک حوزه رو به رشد در نقش‌های GRC (حکمرانی، ریسک و انطباق) است، و از کسی که قبلاً می‌داند چگونه قرارداد بخواند و رابطه فروشنده را مدیریت کند، ارزش می‌بخشد.

شکاف فنی که نمی‌توانید از آن صرف نظر کنید

اینجاست که اکثر انتقال‌های PM به امنیت متوقف می‌شوند: شما نمی‌توانید SOC را مدیریت کنید، گزارش اختبار نفوذی را بررسی کنید، یا نقشه حذف آسیب‌پذیری را تعریف کنید بدون اینکه بفهمید چه چیزی در زیرش است. شما باید دانش کاری از شبکه‌سازی (TCP/IP، DNS، نحوه فیلتر کردن ترافیک توسط firewall)، خط فرمان Linux پایه و نحوه عملکرد آسیب‌پذیری‌های OWASP Top 10 در عمل، نه فقط به عنوان نقاط گلوله در اسلاید داشته باشید.

این بدان معنی نیست که به penetration tester تبدیل شوید. این بدان معنی است که بتوانید خروجی اسکن Nessus یا Qualys را بخوانید و بفهمید چرا patch گمشده‌ای در port 445 مهم است، یا چرا نمونه Redis بدون احراز هویت در معرض اینترنت یک حریق پنج‌سطحی است. با home lab کار کنید: چند ماشین مجازی در VirtualBox راه‌اندازی کنید، pfSense را به عنوان firewall نصب کنید، Wireshark را بر علیه ترافیک خود اجرا کنید. مفاهیم زمانی سریع‌تر ثابت می‌شوند که شما خودتان چیزی را شکسته‌اید.

گواهینامه‌هایی که برای این مسیر معنی دارند

از پریدن مستقیم به OSCP یا هر چیز دیگری سنگین بر امنیت تهاجمی صرف نظر کنید — این مسیر متفاوتی است. برای زمینه PM، ترتیبی که معمولاً کار می‌کند این است:

1. CompTIA Security+ — واژگان و مفاهیم بنیادی را در شبکه‌سازی، تهدیدها و کنترل‌ها فراهم می‌کند.
2. CISM یا CRISC (ISACA) — این‌ها به حکمرانی و ریسک کج می‌شوند، که به نقاط قوت موجود شما تعلق دارد و اغلب برای نقش‌های مدیر برنامه امنیتی یا GRC نسبت به گواهینامه‌های فنی مرتبط‌تر است.
3. CISSP — در نهایت، زمانی که مقدار مواجهه عملی داشته باشید؛ به هرحال پنج سال تجربه مرتبط برای گواهینامه کامل لازم است، بنابراین این یک هدف میان‌مسیر است، نقطه شروع نیست.

از جمع‌آوری گواهینامه‌ها به عنوان جانشین تجربه صرف نظر کنید. مدیر استخدام برای نقش مدیر برنامه امنیتی می‌خواهد ببیند که شما می‌توانید درباره فرآیند triage هشدار SIEM به طور هوشمندانه صحبت کنید، نه اینکه چهار مخفف بعد از نام خود داشته باشید.

جایی که واقعاً اول فرود خواهید آمد

نقطه ورود واقع‌گرایانه معمولاً نیست