จากอุตสาหกรรมโรงแรมไปยังความปลอดภัยทางไซเบอร์: เส้นทางจริง

พนักงานอุตสาหกรรมโรงแรมมักถูกปฏิเสธว่า "ไม่ใช่ทางเทคนิค" มากกว่าเกือบคนอื่นใดในการสนทนาเปลี่ยนแปลงอาชีพ นั่นเป็นข้อผิดพลาดของนายจ้าง และข้อผิดพลาดที่คุณสามารถใช้เป็นประโยชน์ได้ เพราะทักษะที่ช่วยให้คุณผ่านพ้นกะการทำงาน หลายชั่วโมงที่เคาน์เตอร์ด้านหน้า หรือบริการค่ำที่วุ่นวาย นั้นเชื่อมโยงไปยังงานรักษาความปลอดภัยโดยตรงมากกว่าที่ผู้คนคิด

เหตุใดการเปลี่ยนแปลงนี้จึงเกิดขึ้นมากกว่าที่ผู้คนคิด

อุตสาหกรรมโรงแรมฝึกฝนให้ผู้คนคงความสงบเมื่อเกิดอุบัติเหตุที่ใช้งานจริง อ่านผู้คนอย่างรวดเร็ว ปฏิบัติตามขั้นตอนภายใต้ความกดดัน และจัดการข้อมูลที่เป็นความลับ (ข้อมูลแขก บัตรเครดิต ระบบเข้าถึงห้องพัก) ทุกวัน เจ้าหน้าที่เคาน์เตอร์โรงแรมได้รับมอบหมายความรับผิดชอบที่เกี่ยวข้องกับ PCI-DSS แล้ว โดยไม่รู้ถึงตัวย่อ ศูนย์การปฏิบัติการด้านรักษาความปลอดภัยต้องการคนที่ไม่ตื่นกลัวเมื่อสิ่งสามสิ่งแตกหักในเวลาเดียวกัน — นั่นคือทักษะการนำ shift ไม่ใช่ทักษะวิทยาการคอมพิวเตอร์

ช่องว่างไม่ได้อยู่ที่ความสามารถ มันอยู่ที่คำศัพท์และเครื่องมือ คุณรู้วิธีการบรรเทาความเครียดของแขกที่โกรธแล้วเวลา 11 โมงเย็น คุณแค่ยังไม่ได้เรียนรู้การอ่าน firewall log หรือการเขียน Python script ที่ parse ได้

สิ่งที่ควรศึกษาจริงๆ ตามลำดับ

อย่าเริ่มด้วยใบรับรอง เริ่มต้นด้วยพื้นฐาน เพราะใบรับรองโดยไม่มีความรู้พื้นฐานจะพังลงในการสัมภาษณ์

1. Networking basics — subnetting, TCP/IP, DNS, HTTP ใช้วิดีโอ Network+ ฟรีของ Professor Messer หรือคอร์ส Cisco NetAcad ความเข้าใจว่าเกิดอะไรขึ้นเมื่อคุณพิมพ์ URL ลงในเบราว์เซอร์นั้นสำคัญก่อนอื่น
2. Linux command line — ใช้เวลาจริงๆ ในเทอร์มินัล TryHackMe's "Linux Fundamentals" rooms และ OverTheWire's Bandit wargame ต่างก็ฟรีและ hands-on
3. One scripting language — Python เป็นตัวเลือกมาตรฐาน ทำให้สิ่งน่าเบื่อจากงานปัจจุบันของคุณเป็นอัตโนมัติเพื่อปฏิบัติ: parse CSV ของตารางเวลา shift เขียน script ที่เปลี่ยนชื่อไฟล์เป็นกลุ่ม
4. Security concepts — CIA triad, common attack types พื้นฐานของการรับรองความถูกต้อง และการเข้ารหัส Google's Foundations of Cybersecurity course (ส่วนหนึ่งของโปรแกรมใบรับรอง) เป็นจุดเริ่มต้นที่สมเหตุสมผลและมีโครงสร้าง

หลังจากพื้นฐานนี้เท่านั้น ใบรับรองเช่น CompTIA Security+ จึงเป็นประโยชน์ มันกลายเป็นวิธีการทำให้เป็นทางการของความรู้ที่คุณมีอยู่แล้ว แทนที่จะเป็นการแทนที่

บทบาทไหนที่เป็นจริงสำหรับงานแรก

พุ่งเป้าไปที่จุดเข้าที่ให้คุณค่าในการรับรู้รูปแบบ และระเบียบวินัยกระบวนการมากกว่าความลึกทางเทคนิคในวันแรก:

• SOC analyst (Tier 1) — ตรวจสอบการแจ้งเตือน การจัดสรรอุบัติเหตุ การขยายพูน ขั้นตอนหนักซึ่งนำความสามารถด้านอุตสาหกรรมโรงแรมมาใช้โดยตรง
• IT help desk — ไม่ใช่ความปลอดภัยที่แน่นอน แต่เป็นก้าวสำคัญที่ถูกต้องและใช้บ่อย ที่สร้างประสบการณ์การแก้ปัญหาและการอ้างอิงภายใน
• GRC (governance, risk, compliance) coordinator — ถ้าประสบการณ์โรงแรมของคุณรวมถึงการตรวจสอบ PCI compliance หรือการจัดการผู้ขาย นี่ใกล้เคียงมากกว่าที่ดูเหมือน
• Physical security / access control roles at larger orgs — บริษัทบางแห่งเชื่อมโยงผู้คนจากบทบาท facilities หรือ front-of-house เข้าสู่ระบบ badge และการทับซ้อนของความปลอดภัยทางกายภาพและดิจิทัล

SOC analyst เป็นจุดลงจอดที่พบบ่อยที่สุดสำหรับผู้เปลี่ยนแปลงอาชีพ เพราะทีม SOC ขาดคนเรื่อยๆ และให้คุณค่าในความพร้อมใช้งานของงาน shift — สิ่งที่พนักงานโรงแรมมีอยู่แล้วในเรซูเมของพวกเขา

วิธีการนำเสนอเรซูเมของคุณโดยไม่โกหกเกี่ยวกับประสบการณ์

อย่าประดิษฐ์ประสบการณ์ทางเทคนิคที่คุณไม่มี แทนที่จะเป็นเช่นนั้น แปลสิ่งที่คุณทำจริงเป็นภาษาที่ผู้จัดการสรรหารู้:

• "Handled guest disputes and escalations" กลายเป็น "managed incident escalation under time pressure with defined SLAs"
• "Trained new front desk staff on PMS software" กลายเป็น "trained team members on proprietary software systems and standard operating procedures"
• "Verified guest ID and payment information" กลายเป็น "performed identity verification and handled sensitive payment data in compliance with PCI standards"

นี่ไม่ใช่ความสูบสิ่น — มันเป็นคำอธิบายที่ถูกต้องโดยใช้คำศัพท์อุตสาหกรรม จับคู่กับ home lab (การตั้งค่า $0 โดยใช้ VirtualBox, Kali Linux และ vulnerable VM เช่น Metasploitable) และเขียนขั้นตอน TryHackMe หรือ HackTheBox สองสามรายการบน GitHub และคุณมีสิ่งที่เป็นรูปธรรมที่จะชี้ให้เห็นในการสัมภาษณ์

ไทม์ไลน์ที่เป็นจริง

คาดว่าจะใช้เวลา 6 ถึง 12 เดือนศึกษาอย่างสม่ำเสมอก่อนที่คุณจะสามารถแข่งขันสำหรับบทบาท entry-level ได้ โดยสมมติว่าคุณกำลังศึกษาแบบ part-time รอบงานเต็มเวลา นั่นไม่ใช่เรื่องท้อแท้ — มันเป็นตัวเลขที่สำคัญ ผู้คนที่รีบเร่งตรงไปยังการสอบ Security+ โดยไม่มีเวลา lab มักจะผ่านการทดสอบแล้วประสบปัญหาในการสัมภาษณ์เมื่อถูกถามว่า reverse shell คืออะไร

ถ้าคุณมาจากอุตสาหกรรมโรงแรม คุณรู้อยู่แล้วว่าจะทำงานหนักตามตารางเวลาที่ไม่มีใครต้องการ นำระเบียบวินัยเดียวกันไปใช้กับแผนการเรียน และช่องว่างทางเทคนิคปิดลงเร็วกว่าที่คุณคาด

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับสถานที่ที่จะเริ่มต้น ดูที่ Korra Studio's Breaking In และ Certifications segments — ทั้งสองสร้างโดยตรงจากพื้นฐานที่กล่าวถึงที่นี่