จากผู้จัดการโปรเจกต์ไปยังความมั่นคงปลอดภัย: สิ่งที่ย้ายจริง

ผู้จัดการโปรเจกต์ที่คิดเกี่ยวกับการย้ายไปยังความมั่นคงปลอดภัยไซเบอร์มักสมมติว่าพวกเขากำลังเริ่มต้นใหม่ พวกเขาไม่เป็นเช่นนั้น ทักษะอ่อนที่ทำให้คุณเก่งในการจัดการโปรเจกต์ — การจัดการผู้เสนอแนว การติดตามความเสี่ยง การประสานงานเหตุการณ์ — แม็พโดยตรงไปยังงานด้านความมั่นคงปลอดภัย สิ่งที่ขาดหายไปคือพื้นฐานทางเทคนิค และช่องว่างนั้นปิดได้ในระยะเวลา 12-18 เดือนหากคุณตั้งใจจริง

สิ่งที่ย้ายจริง

ถ้าคุณได้จัดการโปรเจกต์ที่มีทะเบียนความเสี่ยง คุณก็เข้าใจตรรกะหลักของการประเมินความเสี่ยงด้านความมั่นคงปลอดภัยแล้ว: ระบุทรัพย์สิน ประมาณโอกาสและผลกระทบ ตัดสินใจเกี่ยวกับการรักษา (ยอมรับ บรรเทา โอนย้าย หลีกเลี่ยง) ทีมความมั่นคงปลอดภัยใช้กรอบเดียวกันนี้ เพียงแต่นำไปใช้กับระบบแทนงานส่งมอบ NIST's Risk Management Framework และ ISO 27005 เป็นเวอร์ชันที่เป็นทางการของสิ่งที่ผู้จัดการโปรเจกต์ที่ได้รับการรับรองจาก PMP ทำได้โดยสัญชาตญาณแล้ว

การจัดการเหตุการณ์เป็นการทับซ้อนอีกประเภท การจัดการห้องสงครามในระหว่างการหยุดการทำงานในการผลิต มีโครงสร้างคล้ายกับการจัดการระหว่างเหตุการณ์ ransomware: มีคนต้องเป็นเจ้าของการสื่อสาร มีคนต้องติดตามเวลา มีคนต้องตัดสินใจภายใต้ความกดดันโดยไม่มีข้อมูลครบถ้วน ทีมความมั่นคงปลอดภัยเรียกสิ่งนี้ว่า incident command; คุณอาจรู้จักมันว่าการจัดการวิกฤตด้วยคำศัพท์ที่แตกต่างกัน

การตรวจสอบผู้ขายและสัญญายังคงอยู่ได้ดี การจัดการความเสี่ยงบุคคลที่สาม — การตรวจสอบผู้ขาย SaaS การตรวจสอบรายงาน SOC 2 การเจรจาข้อความหลักเกี่ยวกับความมั่นคงปลอดภัยลงในสัญญา — เป็นช่องว่างที่เติบโตขึ้นภายใน GRC (governance, risk, and compliance) และมันให้รางวัลแก่คนที่รู้วิธีอ่านสัญญาและจัดการความสัมพันธ์ของผู้ขายแล้ว

ช่องว่างทางเทคนิคที่คุณไม่สามารถข้ามได้

นี่คือที่ที่การเปลี่ยนแปลงจาก PM ไปยังความมั่นคงปลอดภัยหยุดชะงักลง: คุณไม่สามารถจัดการ SOC ตรวจสอบรายงาน pen test หรือขอบเขตแผนการแก้ไขช่องโหว่โดยไม่เข้าใจสิ่งที่อยู่เบื้องล่าง คุณต้องมีความรู้เกี่ยวกับเครือข่าย (TCP/IP, DNS, วิธีการที่ไฟร์วอลล์กรองการจราจรจริง ๆ) บรรทัดคำสั่ง Linux พื้นฐาน และวิธีการที่ช่องโหว่ OWASP Top 10 ทำงานในทางปฏิบัติ ไม่ใช่แค่เป็นหัวข้อบนสไลด์

นี่ไม่ได้หมายความว่าการกลายเป็น penetration tester มันหมายความว่าสามารถอ่านผลลัพธ์การสแกน Nessus หรือ Qualys และเข้าใจว่าทำไมการแก้ไขที่ขาดหายไปบนพอร์ต 445 ถึงสำคัญ หรือทำไม Redis instance ที่ไม่มีการรับรองความถูกต้องและเปิดให้เข้าถึงอินเทอร์เน็ตจึงเป็นปัญหาระดับห้า ใช้เวลากับ home lab: สร้าง VM สองสามตัวใน VirtualBox ติดตั้ง pfSense เป็นไฟร์วอลล์ เรียกใช้ Wireshark กับการจราจรของคุณเอง แนวคิดติดอยู่เร็วกว่าเมื่อคุณทำให้บางอย่างแตกต่างไปด้วยตัวคุณเอง

ใบรับรองที่สมเหตุสมผลสำหรับเส้นทางนี้

ข้ามการกระโดดตรงไป OSCP หรือสิ่งใด ๆ ที่หนัก offensive-security — นั่นคือแทร็กอื่น สำหรับพื้นหลัง PM ลำดับที่มักจะใช้ได้คือ:

1. CompTIA Security+ — ให้คุณศัพท์และแนวคิดพื้นฐานในการจัดเครือข่าย คุกคาม และการควบคุม
2. CISM หรือ CRISC (ISACA) — สิ่งเหล่านี้เอียงไปทางการกำกับดูแลและความเสี่ยง ซึ่งเล่นตามจุดแข็งที่มีอยู่ของคุณและมักจะเกี่ยวข้องมากกว่าบทบาทผู้จัดการโปรแกรมความมั่นคงปลอดภัยหรือ GRC ใบรับรองทางเทคนิค
3. CISSP — ในที่สุด เมื่อคุณมีการสัมผัสด้วยตัวจริง; มันต้องการประสบการณ์ที่เกี่ยวข้องห้าปีสำหรับการรับรองเต็มรูปแบบอยู่แล้ว ดังนั้นมันจึงเป็นเป้าหมายเส้นทางกลาง ไม่ใช่จุดเริ่มต้น

หลีกเลี่ยงการเก็บใบรับรองเป็นตัวแทนของประสบการณ์ ผู้จัดการการจ้างงานสำหรับบทบาท Security Program Manager ต้องการเห็นว่าคุณสามารถพูดอย่างชาญฉลาดเกี่ยวกับกระบวนการ SIEM alert triage ไม่ใช่ว่าคุณมีตัวย่อสี่ตัวหลังชื่อของคุณ

ที่ที่คุณจะจอดจริง ๆ ก่อน

จุดเข้าที่สมจริงโดยปกติไม่ใช่