Tôi có bắt đầu sự nghiệp Cybersecurity quá muộn không?

Ai đó hỏi điều này trong mỗi diễn đàn cybersecurity, mỗi tuần, không có ngoại lệ. Thường họ 27, hoặc 35, hoặc 45, và tin chắc rằng tất cả những người khác đều có khởi đầu sớm năm năm. Họ không. Dưới đây là toán học thực tế về thời gian, cộng với một con đường thực sự bước vào.

Tại sao lĩnh vực này không hoạt động như một cuộc đua

Cybersecurity không phải là một tập hợp công việc cố định mà đầy và đóng lại. Các bề mặt tấn công mới được tạo liên tục: cấu hình sai cloud, các điểm cuối mô hình AI, firmware IoT, phụ thuộc chuỗi cung ứng. Mỗi cái cần người bảo vệ nó. Lĩnh vực mở rộng khoảng tương ứng với lượng thế giới chạy trên phần mềm, và con số đó vẫn tiếp tục tăng, không giảm. Một nhà phân tích SOC được thuê vào năm 2015 đối phó với một tập hợp mối đe dọa hoàn toàn khác so với một nhà phân tích được thuê vào năm 2024 — ransomware-as-a-service, MFA fatigue attacks, và living-off-the-land techniques hầu như không tồn tại hoặc trông khác một thập kỷ trước. Vì vậy, người "bắt đầu sớm" không ngồi trên một số lợi thế tích tụ nào khiến bạn không thể được thuê. Một nửa kiến thức sớm của họ đã lỗi thời.

Khoảng trống kỹ năng là thực tế, không phải bản sao tiếp thị

Các nghiên cứu lực lượng lao động của ISC2 đã cho thấy tình trạng thiếu hụt bền vững các chuyên gia bảo mật có đủ tiêu chuẩn trong nhiều năm liên tiếp, và các nhà quản lý tuyển dụng tôi đã nói chuyện với xác nhận nó từ phía khác của bàn: họ nhận được rất nhiều hồ sơ nhưng ít ứng viên có thể thực sự chứng minh kỹ năng thực tế. Khoảng trống đó không đóng lại vì không có đường ống kỳ diệu của những người 22 tuổi đã nghiên cứu không có gì ngoài bảo mật kể từ lúc mới sinh. Nó đang đóng lại (chậm) thông qua những người thay đổi sự nghiệp — những cựu quản trị viên hệ thống, nhà phát triển, nhân viên hỗ trợ, thậm chí cả giáo viên và cựu quân nhân — những người nỗ lực tập trung trong 6-12 tháng và trở nên có năng lực.

Những gì thực sự quan trọng ở điểm vào cửa

Các nhà quản lý tuyển dụng cho các vai trò nhà phân tích SOC, an ninh CNTT, hoặc junior pentest không hỏi bạn đã ở "trong cyber" bao lâu. Họ kiểm tra những thứ cụ thể, có thể xác minh:

• Bạn có thể đọc gói nắm bắt trong Wireshark và giải thích chuyện gì đang xảy ra trong nó không
• Bạn có hiểu TCP/IP, DNS, và HTTP thực sự hoạt động như thế nào, không chỉ viết tắt là gì
• Bạn đã xây dựng hoặc phá vỡ cái gì — một home lab, một bài viết CTF, một VM dễ bị tổn thương mà bạn root
• Bạn có thể viết một báo cáo sự cố rõ ràng hoặc giải thích một lỗ hổng cho người không kỹ thuật không
• Bạn có biết đường dẫn xung quanh dòng lệnh Linux mà không cần bảng cheat sheet cho những thứ cơ bản không

Không có cái nào yêu cầu nhiều năm. Nó yêu cầu thực hành có mục đích. Ai đó dành bốn tháng tập trung xây dựng một home lab với pfSense, Security Onion, và một vài máy dễ bị tấn công cố ý (TryHackMe, HackTheBox, VulnHub) thường sẽ tỏ ra tốt hơn trong phỏng vấn so với ai đó đã ở công việc help desk trong ba năm không làm điều gì liên quan đến bảo mật.

Một kế hoạch sáu tháng thực tế nếu bạn bắt đầu từ con số không

Tháng 1-2: nền tảng mạng và cơ bản Linux. Làm quen với subnetting, mô hình OSI, và bash cơ bản. Tài liệu Network+ của Professor Messer và wargame Bandit của OverTheWire đều miễn phí và là những điểm khởi đầu vững chắc.

Tháng 2-4: chọn một làn — blue team hoặc offensive — và đi sâu vào một nền tảng. Đường dẫn SOC Level 1 hoặc đường dẫn Pre Security của TryHackMe hoạt động tốt cho blue team; Web Security Academy của PortSwigger miễn phí và xuất sắc nếu bạn nghiêng về offensive/web.

Tháng 4-6: lấy một chứng chỉ phù hợp với làn của bạn (Security+ cho một nền tảng rộng, hoặc eJPT nếu bạn muốn cái gì đó thực tế hơn) và xây dựng hai hoặc ba dự án được ghi chép — một thiết lập SIEM ở nhà, một blog bài viết CTF, một báo cáo pentest nhỏ trên môi trường lab. Đặt chúng trên GitHub hoặc một trang web đơn giản. Các nhà tuyển dụng lướt qua hồ sơ trong ba mươi giây; một liên kết đến công việc thực tế thay đổi cuộc trò chuyện đó.

Một điều duy nhất thực sự làm cho bạn mất hội đủ tiêu chuẩn

Tuổi tác không làm cho bạn mất hội đủ tiêu chuẩn. Một bằng cấp không phải CS không làm cho bạn mất hội đủ tiêu chuẩn. Cái làm là không nhất quán — bắt đầu một khóa học, dừng lại sau hai tuần, khởi động lại sáu tháng sau với một khóa học khác. Những người phá vỡ không phải những người có tài năng tự nhiên nhất, họ là những người tiếp tục xuất hiện trong một vài tháng liên tiếp. Đó thực sự là bí mật toàn bộ, tẻ nhạt như nó nghe có vẻ.

Nếu bạn muốn bước tiếp theo được lập bản đồ, các bài viết Breaking In và Certifications của Korra Studio đi sâu hơn vào các vai trò cấp nhập cảnh nào để nhắm mục tiêu đầu tiên và cách sắp xếp chứng chỉ đầu tiên của bạn.