Non è troppo tardi per iniziare una carriera in cybersecurity?

Qualcuno lo chiede in ogni forum di cybersecurity, ogni settimana, senza eccezioni. Di solito hanno 27, 35 o 45 anni, e sono convinti che tutti gli altri abbiano avuto cinque anni di vantaggio. Non è vero. Ecco la matematica reale sui tempi, più un percorso concreto.

Perché il settore non funziona come una gara

La cybersecurity non è un numero fisso di lavori che si riempie e si chiude. Nuove superfici di attacco vengono create costantemente: misconfigurazioni nel cloud, endpoint di modelli AI, firmware IoT, dipendenze della supply chain. Ognuna ha bisogno di persone per difenderla. Il settore si espande più o meno al passo con quanta parte del mondo funziona con il software, e quel numero continua a salire, non a scendere. Un analista SOC assunto nel 2015 affrontava un set di minacce completamente diverso da uno assunto nel 2024 — ransomware-as-a-service, MFA fatigue attacks e living-off-the-land techniques non esistevano o avevano un aspetto diverso dieci anni fa. Quindi la persona che "ha iniziato presto" non sta seduta su un vantaggio accumulato che ti rende inassumibile. Metà della loro conoscenza iniziale è già obsoleta.

Il skills gap è reale, non marketing

Gli studi della forza lavoro dell'ISC2 hanno mostrato una carenza persistente di professionisti della sicurezza qualificati per anni, e i hiring manager con cui ho parlato lo confermano dall'altro lato della tavola: ricevono molti CV ma pochi candidati che riescono realmente a dimostrare competenze pratiche. Quel gap non si sta chiudendo perché non esiste una pipeline magica di 22enni che hanno studiato solo sicurezza fin dalla nascita. Si sta chiudendo (lentamente) attraverso career changer — ex sysadmin, sviluppatori, tecnici help desk, persino insegnanti e veterani militari — che dedicano uno sforzo focalizzato per 6-12 mesi e diventano competenti.

Cosa conta davvero al punto di ingresso

I hiring manager per ruoli di analista SOC, IT security o junior pentest non chiedono da quanto tempo sei "in cyber". Controllano cose specifiche e verificabili:

• Riesci a leggere una packet capture in Wireshark e spiegare cosa sta succedendo
• Capisci come funzionano TCP/IP, DNS e HTTP, non solo cosa significano gli acronimi
• Hai costruito o rotto qualcosa — un home lab, una CTF writeup, una VM vulnerabile che hai compromesso
• Sai scrivere un incident report chiaro o spiegare una vulnerabilità a una persona non tecnica
• Conosci la linea di comando Linux senza avere bisogno di un cheat sheet per le cose di base

Niente di tutto questo richiede anni. Richiede pratica deliberata. Qualcuno che spende quattro mesi focalizzati costruendo un home lab con pfSense, Security Onion e un paio di macchine intenzionalmente vulnerabili (TryHackMe, HackTheBox, VulnHub) spesso supera al colloquio qualcuno che ha lavorato in help desk per tre anni senza fare nulla di correlato alla security.

Un piano realistico di sei mesi se parti da zero

Mese 1-2: fondamenti di networking e nozioni di base di Linux. Familiarizza con subnetting, il modello OSI e bash elementare. Il materiale Network+ del Professor Messer e il wargame Bandit di OverTheWire sono entrambi gratuiti e solidi come punti di partenza.

Mese 2-4: scegli una strada — blue team o offensive — e approfondisci una piattaforma. Il percorso SOC Level 1 di TryHackMe o il percorso Pre Security funzionano bene per il blue team; l'Accademia Web Security Academy di PortSwigger è gratuita e eccellente se stai virando verso l'offensive/web.

Mese 4-6: ottieni una certificazione che corrisponda alla tua strada (Security+ per una base ampia, o eJPT se vuoi qualcosa di più pratico) e costruisci due o tre progetti documentati — una configurazione SIEM domestica, un blog con writeup CTF, un piccolo rapporto di pentest su un ambiente lab. Mettili su GitHub o un sito semplice. I recruiter scorrono i CV per trenta secondi; un link a un lavoro reale cambia quella conversazione.

L'unica cosa che ti disqualifica davvero

L'età non ti disqualifica. Una laurea non in CS non ti disqualifica. Quello che lo fa è l'incoerenza — iniziare un corso, smettere dopo due settimane, ricominciare sei mesi dopo con un corso diverso. Le persone che sfondano non sono quelle con il talento naturale più alto, sono quelle che hanno continuato a presentarsi per un paio di mesi di fila. Questo è genuinamente tutto il segreto, senza fronzoli come suona.

Se vuoi il prossimo passo tracciato, i track Breaking In e Certifications di Korra Studio entrano più a fondo in quali ruoli entry-level scegliere per primi e come sequenziare la tua prima certificazione.