Від PM до безпеки: що насправді перевозиться

Менеджери проектів, які думають про перехід у кіберзахист, часто припускають, що починають з нуля. Вони не починають. М'які навички, які робили вас успішним у керуванні проектами — управління зацікавленими сторонами, відстеження ризиків, координація інцидентів — напряму переносяться на роботу в безпеці. Чого не вистачає, так це технічного фундаменту, і цю прогалину можна закрити за 12–18 місяців, якщо ви будете діяти свідомо.

Що насправді перевозиться

Якщо ви керували проектом із реєстром ризиків, ви вже розумієте базову логіку оцінки ризику безпеки: визначити актив, оцінити вірогідність та вплив, прийняти рішення щодо обробки (прийняти, зменшити, передати, уникнути). Команди безпеки використовують той же самий каркас, просто застосований до систем замість результатів. NIST Risk Management Framework та ISO 27005 — це формалізовані версії того, що менеджер проектів із сертифікатом PMP вже робить інтуїтивно.

Управління інцидентами — це ще один перетин. Проведення "war room" під час вилучення з ладу виробництва структурно схоже на його проведення під час події з програмою-вимагачем: хтось має керувати комунікаціями, хтось має вести хронологію, хтось має приймати рішення під тиском без повної інформації. Команди безпеки називають це командуванням інцидентом; ви можете розпізнати це як управління кризою з іншою лексикою.

Нагляд за постачальниками та контрактами також добре переноситься. Управління ризиками третьої сторони — перевірка постачальників SaaS, рецензування звітів SOC 2, переговори про пункти безпеки в контрактах — це зростаючий напрямок у ролях GRC (управління, ризик та відповідність), і він винагороджує того, хто вже знає, як прочитати контракт і керувати відносинами з постачальником.

Технічна прогалина, яку ви не можете пропустити

Ось де більшість переходів від PM до безпеки застопориються: ви не можете керувати SOC, рецензувати звіт тесту пенетрації або визначати обсяг плану усунення вразливостей без розуміння того, що під цим лежить. Вам потрібні практичні знання мережевих комунікацій (TCP/IP, DNS, як брандмауер насправді фільтрує трафік), базові команди Linux командного рядка та як вразливості OWASP Top 10 працюють у практиці, а не просто як маркери на слайді.

Це не означає стати тестером пенетрації. Це означає мати можливість прочитати вихід сканування Nessus або Qualys та розуміти, чому відсутня заплата на порту 445 важлива, або чому видкритий для інтернету неавтентифікований Redis — це надзвичайна ситуація. Проведіть час з домашньою лабораторією: запустіть кілька ВМ у VirtualBox, установіть pfSense як брандмауер, запустіть Wireshark проти вашого власного трафіку. Поняття закріплюються швидше, коли ви щось поламали самі.

Сертифікати, які мають сенс для цього шляху

Пропустіть безпосередній стрибок до OSCP або чого-небудь важкого з наступальної безпеки — це інший маршрут. Для базу PM послідовність, яка зазвичай працює, така:

1. CompTIA Security+ — дає вам лексику та фундаментальні поняття мережевих комунікацій, загроз та контролів.
2. CISM або CRISC (ISACA) — ці мають нахил до управління та ризику, що гра́є на ваші наявні сильні сторони й часто більш доречне до ролей GRC або менеджера програми безпеки, ніж технічні сертифікати.
3. CISSP — з часом, коли у вас буде якась практична експозиція; йому потрібно п'ять років відповідного досвіду для повної сертифікації все одно, тож це середньостроковий напрямок, а не стартова точка.

Уникайте зібрання сертифікатів як заміну досвіду. Менеджер із найму на роль Security Program Manager хоче бачити, що ви можете кваліфіковано говорити про процес тріажу сигналів SIEM, а не те, що у вас є чотири абревіатури після вашого імені.

Де ви насправді посадитеся першим

Реалістичною точкою входу зазвичай не є