Turizm Sektöründen Siber Güvenliğe: Gerçek Bir Yol

Turizm sektörü çalışanları, kariyer değişikliği konuşmalarında neredeyse başka kimse kadar sık "teknik olmayan" olarak göz ardı edilir. Bu, işverenlerin yaptığı bir hatadır ve siz bunu avantajınıza çevirebilirsiniz, çünkü sizi bir resepsiyonda çift vardiyada veya kaotik bir akşam yemeğinde tutacak beceriler, insanların varsaydığından çok daha doğrudan güvenlik işine uygulanır.

Bu geçiş neden insanların düşündüğünden daha sık gerçekleşir

Turizm sektörü, insanları aktif bir olay sırasında sakin kalmaya, hızlı bir şekilde insanları tanımaya, baskı altında prosedürleri takip etmeye ve günlük olarak gizli bilgileri (misafir verileri, ödeme kartları, oda erişim sistemleri) yönetmeye eğitir. Bir otel resepsiyon görevlisi, zaten kısaltmasını bilmeden PCI-DSS benzeri sorumlulukları yönetiyordur. Güvenlik operasyon merkezleri, aynı anda üç şey bozulduğunda panik yapmayan insanlara ihtiyaç duyarlar — bu bir vardiya şefinin becerisi, bilgisayar bilimleri becerisi değildir.

Boşluk yetenek değildir. Boşluk kelime bilgisi ve araçlandır. Saat 11'de sinirli bir misafiri sakinleştirmeyi zaten biliyorsunuz; henüz bir güvenlik duvarı günlüğünü okumayı veya onu ayrıştıran bir Python betiği yazmayı öğrenmediniz.

Gerçekten ne çalışmalı, sırasıyla

Sertifikalardan başlamayın. Temelden başlayın, çünkü temeli olmayan sertifikalar mülakatlarda çöker.

1. Ağ temelleri — subnetting, TCP/IP, DNS, HTTP. Professor Messer'in ücretsiz Network+ videolerini veya Cisco NetAcad kurslarını kullanın. Bir tarayıcıya URL yazarken ne olduğunu açıklayabilmeniz gerekir, yoksa başka hiçbir şey anlam kazanmaz.
2. Linux komut satırı — terminal'de gerçek saatler harcayın. TryHackMe'nin "Linux Fundamentals" odaları ve OverTheWire'ın Bandit wargame'i ücretsiz ve uygulamaya dayalıdır.
3. Bir betik oluşturma dili — Python standart seçimdir. Mevcut işinizde sıkıcı bir şeyi otomatikleştirin: vardiya planlamasının bir CSV'sini ayrıştırın, dosyaları toplu olarak yeniden adlandıran bir betik yazın.
4. Güvenlik kavramları — CIA triad, yaygın saldırı türleri, kimlik doğrulama ve şifrelemenin temelleri. Google'ın Foundations of Cybersecurity kursu (sertifika programlarının bir parçası) makul, yapılandırılmış bir başlangıç noktasıdır.

Yalnızca bu temel alındıktan sonra CompTIA Security+ gibi bir sertifika anlam kazanır. Bu, sahip olduğunuz bilginin yerine konmasından ziyade biçimlendirilmesi olur.

Hangi roller gerçekçi ilk işler

Desen tanıma ve proses disiplinini ilk günde derin teknik derinlikten daha fazla değerlendiren giriş noktalarını hedefleyin:

• SOC analisti (Tier 1) — uyarıları izleme, olayları sınıflandırma, yükseltme. Prosedür takibinde ağır, bu da turizm deneyimine doğrudan uygulanır.
• BT yardım masası — güvenlik değilse de, sorun giderme deneyimi ve iç referanslar oluşturan ortak ve meşru bir adımdır.
• GRC (yönetişim, risk, uyum) koordinatörü — turizm geçmişiniz denetim, PCI uyumluluğu veya satıcı yönetimi maruziyetini içeriyorsa, bu göründüğünden daha yakındır.
• Fiziksel güvenlik / erişim kontrolü rolleri daha büyük kuruluşlarda — bazı şirketler insanları tesisler veya ön hizmet rollerinden rozet sistemlerine ve fiziksel-dijital güvenlik örtüşmesine taşırlar.

SOC analisti, kariyer değiştirenler için en yaygın iniş noktasıdır, çünkü SOC ekipleri kronik olarak yetersiz donanmıştır ve vardiya çalışması mevcudiyetini değerlendirir — turizm çalışanlarının zaten özgeçmişlerinde olduğu bir şey.

Özgeçmişinizi deneyim konusunda yalan söylemeden nasıl sunacağınız

Sahip olmadığınız teknik deneyimi icat etmeyin. Bunun yerine, gerçekten yaptığınız şeyi işe alım müdürünün tanıyacağı dile çevirin:

• "Misafir anlaşmazlıklarını ve yükseltmeleri ele aldı" "zamana bağlı baskı altında tanımlı SLA'larla olay yükseltmesini yönetilir" olur
• "Yeni resepsiyon görevlilerini PMS yazılımında eğitti" "ekip üyelerini tescilli yazılım sistemleri ve standart işletim prosedürleri konusunda eğitti" olur
• "Misafir kimliğini ve ödeme bilgilerini doğruladı" "kimlik doğrulama gerçekleştirdi ve PCI standartlarına uygun olarak hassas ödeme verileriyle başa çıktı" olur

Bu döndürme değildir — endüstri sözcüğü kullanarak doğru açıklamadır. Bunu bir ev laboratuvarıyla (VirtualBox, Kali Linux ve Metasploitable gibi savunmasız bir VM kullanarak $0 kurulumu) ve GitHub'da birkaç TryHackMe veya HackTheBox yazısıyla eşleştirin; bir mülakatta işaret edebileceğiniz somut bir şeyiniz vardır.

Gerçekçi zaman çizelgesi

Tam zamanlı bir iş etrafında yarı zamanlı çalışıyorsanız, bir giriş seviyesi role rekabet etmek için altı ila on iki ay düzenli çalışma bekleyin. Bu cesaretlendirici değildir — sadece dürüst sayıdır. Laboratuvar zamanı olmadan doğrudan Security+ sınavına koşan insanlar testi geçerler ve ardından mülakatlarda ters bir kabuğun gerçekte ne yaptığını açıklamak sorulduğunda sıkıntı yaşarlar.

Turizm sektöründen geliyorsanız, kimsenin istemediği bir programa göre nasıl sıkı çalışacağınızı zaten biliyorsunuz. Bu aynı disiplini bir çalışma planına uygulayın ve teknik boşluk beklenenden daha hızlı kapanır.

Nereden başlamanız hakkında daha fazla bilgi için Korra Studio'nun Breaking In ve Certifications bölümlerine göz atın — her ikisi de burada ele alınan temellerin üzerine doğrudan inşa edilir.