Từ PM sang Bảo mật: Những gì thực sự chuyển giao

Những người quản lý dự án đang xem xét chuyển sang bảo mật mạng thường giả định rằng họ đang bắt đầu từ con số không. Họ không phải. Những kỹ năng mềm đã giúp bạn tốt trong việc quản lý dự án — quản lý các bên liên quan, theo dõi rủi ro, phối hợp sự cố — ánh xạ trực tiếp vào công việc bảo mật. Những gì thiếu là nền tảng kỹ thuật, và khoảng cách này có thể được lấp đầy trong 12-18 tháng nếu bạn thực hiện có mục đích.

Những gì thực sự chuyển giao

Nếu bạn đã chạy một dự án với bảng tính rủi ro, bạn đã hiểu rõ logic cơ bản của một đánh giá rủi ro bảo mật: xác định tài sản, ước tính xác suất và tác động, quyết định cách xử lý (chấp nhận, giảm nhẹ, chuyển giao, tránh). Các đội bảo mật sử dụng chính xác cùng một khung, chỉ áp dụng cho các hệ thống thay vì các sản phẩm giao hàng. NIST's Risk Management Framework và ISO 27005 là các phiên bản chính thức hóa của những gì một người quản lý dự án được chứng nhận PMP đã làm một cách trực giác.

Quản lý sự cố là một tính chất chồng lấp khác. Chạy một phòng chiến tranh trong một mất điện sản xuất cơ bản tương tự như chạy một trong các sự kiện ransomware: ai đó cần sở hữu các giao tiếp, ai đó cần theo dõi dòng thời gian, ai đó cần đưa ra quyết định dưới áp lực mà không có đầy đủ thông tin. Các đội bảo mật gọi đây là lệnh sự cố; bạn có thể nhận ra nó như là quản lý危機với một từ vựng khác.

Giám sát nhà cung cấp và hợp đồng cũng chuyển giao tốt. Quản lý rủi ro của bên thứ ba — kiểm chứng các nhà cung cấp SaaS, xem xét các báo cáo SOC 2, thương thuyết các điều khoản bảo mật vào hợp đồng — là một thị trường phát triển trong các vai trò GRC (quản trị, rủi ro và tuân thủ), và nó thưởng cho một ai đó đã biết cách đọc hợp đồng và quản lý mối quan hệ với nhà cung cấp.

Khoảng cách kỹ thuật mà bạn không thể bỏ qua

Đây là nơi hầu hết các quá trình chuyển từ PM sang bảo mật bị dừng lại: bạn không thể quản lý một SOC, xem xét báo cáo kiểm tra xâm nhập, hoặc xác định phạm vi kế hoạch khắc phục lỗ hổng mà không hiểu những gì bên dưới nó. Bạn cần có kiến thức làm việc về mạng (TCP/IP, DNS, cách một bức tường lửa thực sự lọc lưu lượng truy cập), dòng lệnh Linux cơ bản, và cách các lỗ hổng OWASP Top 10 hoạt động trong thực tế, không chỉ là các điểm đạn trên một trang trình bày.

Điều này không có nghĩa là trở thành một lỗi kiểm tra xâm nhập. Nó có nghĩa là có khả năng đọc đầu ra quét Nessus hoặc Qualys và hiểu tại sao một bản vá bị thiếu trên cổng 445 lại quan trọng, hoặc tại sao một phiên bản Redis không được xác thực được tiếp xúc với internet là một đám cháy năm báo động. Dành thời gian với một phòng thí nghiệm tại nhà: khởi động một vài máy ảo trong VirtualBox, cài đặt pfSense làm tường lửa, chạy Wireshark đối với lưu lượng truy cập của chính bạn. Các khái niệm dính nhanh hơn khi bạn đã phá hỏng điều gì đó của chính mình.

Chứng chỉ có ý nghĩa cho con đường này

Bỏ qua nhảy thẳng đến OSCP hoặc bất cứ điều gì nặng về bảo mật tấn công — đó là một đường khác. Đối với một nền tảng PM, trình tự mà thường hoạt động là:

1. CompTIA Security+ — cho bạn từ vựng và các khái niệm nền tảng trong mạng, mối đe dọa và các biện pháp kiểm soát.
2. CISM hoặc CRISC (ISACA) — những cái này nghiêng về quản trị và rủi ro, điều này phát huy ưu điểm hiện tại của bạn và thường liên quan hơn đến các vai trò quản lý chương trình GRC hoặc bảo mật so với chứng chỉ kỹ thuật.
3. CISSP — cuối cùng, sau khi bạn có một số tiếp xúc thực tế; nó yêu cầu năm năm kinh nghiệm liên quan để chứng nhận đầy đủ dù sao, vì vậy nó là một mục tiêu giữa con đường, không phải là điểm bắt đầu.

Tránh sưu tập chứng chỉ như một sự thay thế cho kinh nghiệm. Một người quản lý tuyển dụng cho vai trò Quản lý chương trình bảo mật muốn thấy rằng bạn có thể nói một cách thông minh về một quy trình phân loại cảnh báo SIEM, không phải là bạn có bốn từ viết tắt theo tên của bạn.

Nơi bạn sẽ thực sự đạt đến đầu tiên

Điểm vào thực tế thường không phải là