Un tester QA può passare alla cybersecurity?

I tester QA pensano già come attaccanti più di quanto realizzino. Rompere il software, trovare edge case, scrivere precise repro step e tracciare i difetti fino alla root cause sono gli stessi istinti di cui i team di sicurezza hanno bisogno. Il passaggio da QA a sicurezza è meno un salto rispetto a, diciamo, passare dalla contabilità, ma hai comunque bisogno di colmare specifici gap.

Cosa si trasferisce già

Se hai trascorso tempo in QA, hai già:

• Competenze di test case design che si mappano direttamente sulla scrittura di security test plan e abuse case
• Familiarità con SDLC e CI/CD che ti aiuta a capire dove inserire security check (SAST, DAST, dependency scanning)
• Disciplina di bug tracking in tool come Jira, che è praticamente identica ai flussi di vulnerability management
• Abitudini di regression testing che si traducono bene nella verifica di fix per vulnerabilità segnalate
• Esperienza di testing API e UI usando Postman, Selenium o Cypress, che si sovrappone pesantemente al modo in cui i tester AppSec ricercano injection, broken auth e logic flaw

Se hai fatto testing esplorativo o negativo (inviare deliberatamente input malformato, testare boundary condition, provare a rompere la logica di validazione), stai già facendo una forma grezza di security testing senza l'etichetta.

I gap che devi colmare

Il testing QA in genere assume che l'applicazione debba funzionare in un certo modo e tu stai controllando la correttezza funzionale. Il security testing assume che un avversario stia attivamente cercando di sovvertire quella logica. Devi sviluppare:

• Fondamenti HTTP a un livello più profondo — status code, header, cookie, CORS, e come le sessioni funzionano effettivamente sotto il cofano
• OWASP Top 10 a memoria: SQL injection, XSS, SSRF, broken access control, insecure deserialization
• Networking di base: TCP/IP, DNS, TLS handshake, come un proxy come Burp Suite intercetta e manipola il traffico
• Scripting, idealmente Python o Bash, così puoi automatizzare il testing ripetitivo e scrivere piccoli PoC di exploit
• Comfort con la command line Linux poiché la maggior parte dei tool di sicurezza assume che non tu abbia paura di un terminale

Un percorso di studio concreto

Initia con PortSwigger's Web Security Academy — è gratuito e ti guida attraverso ogni categoria OWASP con lab pratici usando Burp Suite. Affiancare questo con TryHackMe's