Η κυβερνοασφάλεια ως επάγγελμα

Η κυβερνοασφάλεια είναι μέρος των αρμοδιοτήτων πολλών επαγγελμάτων και έχει προκύψει και ως επάγγελμα από μόνη της. Ας δούμε καλύτερα μερικές πιθανές επιλογές καριέρας.

Τα επαγγέλματα κυβερνοασφάλειας σήμερα έχουν πολλές μορφές και ρόλους που συνδυάζουν στοιχεία όπως την ιδιωτικότητα, την ανάπτυξη, τη φυσική ασφάλεια και τον έλεγχο.

Εταιρικά επαγγέλματα

Στο παρελθόν, οι οργανισμοί υψηλής ασφάλειας (όπως άμυνας ή πληροφοριών), καθώς και οι φορείς επεξεργασίας συναλλαγών υψηλής αξίας (ο τομέας οικονομικών υπηρεσιών, τα χρηματιστήρια και οι φορείς επεξεργασίας πληρωμών καρτών) ήταν οι πρώτοι που εστίασαν στην ασφάλεια των συστημάτων τους. Αυτό σημαίνει ότι αυτοί οι τομείς εστίασαν σε εσωτερικούς ελέγχους στην εταιρεία τους για τη διαφύλαξη των πληροφοριών τους.

Τη δεκαετία του 1960, η αυξανόμενη εμπορική χρήση των υπολογιστών (όπως οι κεντρικοί υπολογιστές της IBM) δημιούργησαν μια ανάγκη για ελέγχους και παρακολούθηση της τεχνολογίας πληροφοριών. Αυτό οδήγησε σε ένα επάγγελμα που εστίαζε στην εποπτεία και στον έλεγχο, το οποίο υπάρχει ακόμα ως μέρος της καθημερινής εργασίας σε πολλούς ρόλους στους σύγχρονους οργανισμούς.

Παραδοσιακά, η εταιρική ασφάλεια (που αποτελείται από φύλακες, πυροσβεστικές ασκήσεις και κλειδαριές) θεωρούσε την κυβερνοασφάλεια ως ένα μικρό μέρος του τομέα της και αυτό όχι πάντα. Τότε, η ασφάλεια πληροφορικής θεωρούνταν ότι συνδέεται αποκλειστικά με τις εσωτερικές υπηρεσίες πληροφορικής: τους σταθμούς εργασίας, τους κεντρικούς υπολογιστές και τα δίκτυα.

Σταδιακά, τα φυσικά συστήματα ασφάλειας συνδέθηκαν στο δίκτυο και τα φυσικά στοιχεία ελέγχου ασφάλειας (για παράδειγμα οι πόρτες και οι κλειδαριές) δεν μπορούσαν να προστατεύσουν τις πληροφορίες από την εξωτερική πρόσβαση μέσω του διαδικτύου.

Σήμερα, οι ηγέτες της εταιρικής ασφάλειας δίνουν σημασία στην ασφάλεια των πληροφοριών καθώς οι ψηφιακές διαδικασίες αποτελούν πολύ πιο σημαντικό μέρος των δραστηριοτήτων μιας εταιρίας. Επίσης, η πληροφορική έχει μετατραπεί σε ασφάλεια πληροφοριών. Αυτό σημαίνει τη διασφάλιση των πληροφοριών ανεξάρτητα από το αν βρίσκεται σε έντυπη ή σε ψηφιακή μορφή.

Η ασφάλεια πληροφορικής και η ασφάλεια πληροφοριών (αργότερα ονομάστηκε κυβερνοασφάλεια) θεωρούνταν αρχικά ως διαφορετικά επαγγέλματα. Όμως, με την ψηφιακή σύγκλιση, αυτά τα επαγγέλματα άρχισαν να αλλάζουν και να συγχωνεύονται. Ωστόσο, εξακολουθούν να υπάρχουν και οι δύο αυτοί παραδοσιακοί ρόλοι (υπεύθυνοι εταιρικής ασφάλειας και υπεύθυνοι ασφάλειας πληροφορικής).

Αν και μερικοί τίτλοι (όπως ο ΥΠΔ), χρησιμοποιούνται ευρέως, οι ρόλοι διαφέρουν σε κάθε οργανισμό και βιομηχανία. Επίσης, ο κάθε ρόλος ή μερικές από τις εργασίες του μπορούν να ανατεθούν σε εξωτερικούς συμβούλους, όπως μια εταιρεία επαγγελματικών υπηρεσιών, και αυτό έχει δημιουργήσει τον σημαντικά μεγάλο κλάδο της συμβουλευτικής για την κυβερνοασφάλεια.

Κοινοί ρόλοι κυβερνοασφάλειας στους οργανισμούς

Υπεύθυνος ασφάλειας πληροφοριακών συστημάτων (CISO)

Συνήθως οι CISO είναι υπεύθυνοι για την ανάπτυξη της κουλτούρας και των διεργασιών ασφάλειας και καθοδηγούν τις εργασίες και λειτουργίες ασφάλειας πληροφοριών. Οι CISO λειτουργούν ως διερμηνείς ανάμεσα στην επιχείρηση, την ηγεσία, τους προμηθευτές, τις αρχές και τους επαγγελματίες τεχνικούς της κυβερνοασφάλειας.

Υπεύθυνος ή επαγγελματίας ασφάλειας πληροφοριών/κυβερνοασφάλειας/πληροφορικής

Αυτοί οι επαγγελματίες φροντίζουν τις καθημερινές διεργασίες ασφάλειας, υποστηρίζουν έργα που σχετίζονται με την ασφάλεια και συντονίζουν συμβάντα ασφάλειας. Επίσης προετοιμάζουν κατευθυντήριες οδηγίες εκπαίδευσης και πολιτικές για το προσωπικό. Μετατρέπουν πολιτικές και αρχές σε πραγματοποιήσιμες εργασίες εντός του οργανισμού.

Υπεύθυνος ή επαγγελματίας ασφάλειας

Οι υπεύθυνοι ασφάλειας παρέχουν πιο παραδοσιακές υπηρεσίες ασφάλειας, όπως ο έλεγχος της φυσικής πρόσβασης, που και αυτές ψηφιοποιούνται όλο και περισσότερο. Οι υπεύθυνοι ασφάλειας παρέχουν απτή ασφάλεια στο προσωπικό ενώ διασφαλίζουν την κυβερνοασφάλεια της ίδιας της υπηρεσίας.

Ελεγκτής πληροφοριακών συστημάτων

Οι επαγγελματίες ελεγκτές δοκιμάζουν τα στοιχεία ελέγχου ασφάλειας (φυσικά και ψηφιακά) και παρέχουν προτάσεις για τη βελτίωσή τους. Μερικές φορές χρησιμοποιούν ειδικά εργαλεία όπως σαρωτές για να ελέγξουν τις πραγματικές διαμορφώσεις. Οι ελεγκτές παρέχουν ανεξάρτητες και αντικειμενικές απόψεις ώστε να βοηθήσουν τους άλλους να αναπτύξουν πρακτικές.

Σύμβουλοι

Οι σύμβουλοι λαμβάνουν μέρος επίσης στις προσλήψεις, την καθοδήγηση, το mentoring και γενικά υποστηρίζουν αυτούς τους ρόλους. Οι σύμβουλοι συχνά έχουν υπόβαθρο από μια από τις παραπάνω θέσεις.

Από χόμπι σε καριέρα στο ηθικό hacking

Όπως μάθαμε στο κεφάλαιο 1, οι hacker μπορούν να ανήκουν σε διαφορετικές ομάδες ή hats. Σε αντίθεση με τα πρώιμα χρόνια του επαγγέλματος, οι white hat hacker και άλλοι ηθικοί ερασιτέχνες της κυβερνοασφάλειας μπορούν τώρα να μετατρέψουν το πάθος τους σε επάγγελμα.

Σε έναν εταιρικό ρόλο, οι ημέρες είναι πολυάσχολες, συνήθως γεμάτες με συναντήσεις με συναδέλφους και εσωτερικούς ή εξωτερικούς πελάτες. Αυτό αφήνει λίγο χρόνο για την εξερεύνηση ή τη δοκιμή δημιουργικών ιδεών (hack) εκτός αν προσφέρουν άμεση αξία. Πολύ λίγοι οργανισμοί έχουν την οικονομική δυνατότητα να προσλάβουν ερευνητές πλήρους απασχόλησης, εκτός αν είναι ινστιτούτα έρευνας με κρατική επιχορήγηση.

Όμως, καθώς η αγορά κυβερνοασφάλειας έχει μεγαλώσει και οι ευκαιρίες εργασίας είναι παγκόσμιες, έχει εμφανιστεί ως επιλογή η πλήρης απομακρυσμένη εργασία και έρευνα όπου ερασιτέχνες/ερευνητές υψηλής εξειδίκευσης, οι αποκαλούμενοι «ηθικοί hacker», μπορούν να αμείβονται για την εργασία τους.

Bug bounties (επικηρύξεις των bug)

Οι πλατφόρμες crowdsourcing όπως οι HackerOne, YesWeHack, και Intigriti παρέχουν στους hacker μια μέθοδο να βγάλουν χρήματα από τα «hack» τους ή να ασχοληθούν με το «κυνήγι των bug». Όλοι μπορούν να συμμετέχουν σε αυτές τις πλατφόρμες, λίγο πολύ ανώνυμα και να αναζητήσουν οργανισμούς που διαθέτουν τα επονομαζόμενα προγράμματα «bug bounty». Μέσω αυτών των προγραμμάτων, οι οργανισμοί μπορούν να προσφέρουν το προϊόν, την υπηρεσία, την εφαρμογή ή μέρος του κώδικά τους για έλεγχο. Αν κάποιος από τους hacker στην πλατφόρμα εντοπίσει μια ευπάθεια στο λογισμικό, λαμβάνει μια αμοιβή, ανάλογα με την ποιότητα και τη σοβαρότητα του ευρήματος.

Στην καλύτερη περίπτωση, αυτή η επιλογή καριέρας θεωρήθηκε ως ιδανική για μελλοντική εργασία. Μπορείτε να εργαστείτε από παντού, όποτε θέλετε και να κερδίζετε καλά χρήματα. Όμως, έχει υπάρξει και κάποια κριτική. Πρώτα απ’ όλα, πολύ λίγοι ηθικοί hacker κερδίζουν καλά χρήματα για μεγάλη χρονική περίοδο. Οι εταιρείες μπορεί να νομίζουν λανθασμένα ότι μπορούν να αντικαταστήσουν τις συστηματικές δοκιμές με ευκαιριακά και πολλές φορές τυχαία αποτελέσματα από τα bug bounty.

Επίσης, σύμφωνα με ορισμένες έρευνες, οι πλατφόρμες bug bounty χρησιμοποιούν συμφωνίες τήρησης του απορρήτου για να εξαγοράσουν τη σιωπή των ατόμων που αναζητούν ευπάθειες με την πιθανότητα μιας αμοιβής. Αυτό επιτρέπει σε μερικές εταιρείες να φιμώνουν τους bug bounty hacker σχετικά με τις πιο σοβαρές ευπάθειες, χωρίς να τις επιδιορθώνουν. Αυτό αφήνει, επίσης τους χρήστες του εν λόγω λογισμικού ευάλωτους σε πιθανή παραβίαση.

Όπως και με άλλες επιχειρηματικές πλατφόρμες, υπάρχει επίσης κριτική σχετικά με πιθανή παραβίαση των εργατικών νόμων, που σε πολλές χώρες θα εξανάγκαζε τους εργοδότες να φροντίζουν τους εργαζομένους τους. Ως bug bounty hacker, ουσιαστικά είστε ελεύθερος επαγγελματίας και είναι δύσκολο να εξασφαλίσετε τα εργασιακά σας δικαιώματα μέσω της πλατφόρμας.

Θέσεις εργασίας επιθετικής και αμυντικής ασφάλειας

Στις εργασίες επιθετικής και αμυντικής ασφάλειας, η «κόκκινη ομάδα» αναφέρεται στην επιτεθέμενη ομάδα στις δοκιμές ελέγχου και η «μπλε ομάδα» αναφέρεται στην αμυνόμενη ομάδα.

Ο έλεγχος διείσδυσης (εν συντομία «pentesting») είναι μια μορφή επιθετικής και ερευνητικής δοκιμής ενός συστήματος, μιας εφαρμογής, μιας υπηρεσίας, ενός διακομιστή, ενός δικτύου, μιας συσκευής ή ακόμα και ενός οχήματος (όπως ενός αεροπλάνου ή ενός αυτοκινήτου). Η κόκκινη ομάδα στοχεύει μεγαλύτερες οντότητες, όπως μια εταιρεία στο σύνολό της.

Σε αντίθεση με τα bug bounty, αυτή η μορφή δοκιμής έχει έναν στόχο, ένα αντικείμενο, έναν πελάτη, κριτήρια επιτυχίας και μια σχετιζόμενη αμοιβή. Μερικοί οργανισμοί μπορεί να διαθέτουν «pentesters» στην εργοδοσία τους, όμως συνήθως τέτοιες εξειδικευμένες εργασίες ανατίθενται σε εταιρείες που ειδικεύονται σε αυτόν τον τομέα. Η διαφορά ανάμεσα στο ευκαιριακό hacking και το pentesting είναι πως οι pentesters παρέχουν διασφάλιση και είναι συστηματικοί στην προσέγγισή τους, προσπαθώντας να καλύψουν τις περισσότερες μεθόδους πιθανής επίθεσης.

Παραδείγματα ρόλων των κόκκινων / μπλε ομάδων

Κόκκινη: Τεχνικός pentester

Οι pentester χρησιμοποιούν επιθετικά, εμπορικά διαθέσιμα αλλά και δικά τους εργαλεία επίθεσης για να δοκιμάσουν τον στόχο ή να συλλέξουν πληροφορίες από τον στόχο. Πιο συχνά αναγνωρίζουν αδυναμίες διαμόρφωσης από ό,τι καινούριες ευπάθειες λογισμικού. Σκέφτονται σαν black hat hacker αλλά χρησιμοποιούν το hacking για καλό σκοπό. Οι pentester δημιουργούν προτάσεις για άλλους επαγγελματίες τεχνικούς της κυβερνοασφάλειας για τον τρόπο επιδιόρθωσης των αδυναμιών που εντοπίζουν.

Κόκκινη: Μέλος κόκκινης ομάδας

Τα μέλη της κόκκινης ομάδας είναι δοκιμαστές με μια ευρεία σειρά δεξιοτήτων, από συμβατικό pentesting μέχρι την παράκαμψη των φυσικών στοιχείων ελέγχου και τη χρήση μεθόδων κοινωνικής μηχανικής. Αυτοί οι επαγγελματίες εργάζονται σε μια ομάδα που διαθέτει ένα ποικιλόμορφο σετ δεξιοτήτων. Τα μέλη της κόκκινης ομάδας δοκιμάζουν με δημιουργικό τρόπο συνδυασμούς άμυνας για να εντοπίσουν νέες αδυναμίες.

Μπλε: Αρχιτέκτονας πληροφορικής/κυβερνοασφάλειας

Οι αρχιτέκτονες ασφάλειας σχεδιάζουν και εφαρμόζουν δομές για τις υπηρεσίες πληροφορικής με παρόμοιο τρόπο με τους αρχιτέκτονες στη βιομηχανία κατασκευών. Οι αρχιτέκτονες ασφάλειας

σχεδιάζουν μια δομή για τα δίκτυα, τις σχετιζόμενες με την ασφάλεια υπηρεσίες, ακόμα και ποιες υπηρεσίες ανατίθενται σε εξωτερικό προμηθευτή αν δεν παρέχονται εσωτερικά.

Οι αρχιτέκτονες ασφάλειας λαμβάνουν υπόψη τους πώς κάθε χρήστης και λογαριασμός συσκευής αναγνωρίζεται ή εξουσιοδοτείται (IAM), καθώς και τον τρόπο που καταγράφονται τα διαφορετικά περιστατικά. Ένας αρχιτέκτονας ασφάλειας μπορεί να εστιάζει σε έναν συγκεκριμένο τομέα (όπως ΙΑΜ, υπηρεσίες δικτύου ή cloud) ή να εξετάζει την αρχιτεκτονική ολόκληρης της επιχείρησης.

Μπλε: Επαγγελματίας / αναλυτής SOC

Το επιχειρησιακό κέντρο ασφάλειας (SOC) είναι μια λειτουργία όπου ένας οργανισμός παρακολουθεί κεντρικά τις περισσότερες καταγραφές και τα περιστατικά στο περιβάλλον πληροφορικής του. Το SOC διαθέτει τα ειδικά εργαλεία και τις υπηρεσίες τα οποία συλλέγουν και συσχετίζουν μια τεράστια ποσότητα καταχωρήσεων σε αρχεία καταγραφής ή περιστατικών που πυροδοτούνται από καθορισμένους κανόνες.

Ο αναλυτής SOC είναι υπεύθυνος για τη δημιουργία και ανάπτυξη ενός συνόλου κανόνων χρησιμοποιώντας τα παραπάνω εργαλεία για τον εντοπισμό ύποπτων περιστατικών και ξεκινά τη διαδικασία έρευνας αν αυτό χρειαστεί. Αυτά τα «άτομα άμεσης επέμβασης» (που ονομάζονται Επίπεδο 1) συχνά λειτουργούν 24/7/365. Οι αναλυτές SOC μπορούν να κλιμακώσουν τις πιο δύσκολες έρευνες στο Επίπεδο 2 που μπορεί να διαθέτει πιο έμπειρους επαγγελματίες στην ψηφιακή εγκληματολογία: την τέχνη εντοπισμού ηλεκτρονικών στοιχείων μιας πιθανής παραβίασης της ασφάλειας.

Η ασφάλεια στην ανάπτυξη

Η ανάπτυξη της κυβερνοασφάλειας δεν είναι μόνο για τους ειδικούς επαγγελματίες κυβερνοασφάλειας, αλλά για όλους στην πληροφορική. Από τεχνικής άποψης, τα πάντα λειτουργούν βάσει κώδικα. Ο κώδικας είναι ένα σύνολο οδηγιών που μπορεί να διαβαστεί από ανθρώπους και έχει συνταχθεί (αναπτυχθεί) και κατόπιν μεταγλωττιστεί σε ένα αντικείμενο που μπορεί να εκτελεστεί από μηχανή. Αυτό το εκτελέσιμο αρχείο κατόπιν δοκιμάζεται από τον προγραμματιστή. Μετά τη δοκιμή, το εκτελέσιμο αρχείο μεταφέρεται σε ένα λειτουργικό περιβάλλον (OPS) όπου αλληλεπιδρά με άλλα προγράμματα, διακομιστές και υπηρεσίες.

Όλες αυτές οι φάσεις μπορεί να δημιουργούν αδυναμίες ασφάλειας λόγω σχεδιασμού ή λόγω σφάλματος. Για αυτό είναι σημαντικό να διασφαλιστεί η ασφάλεια του ίδιου του κώδικα, των μερών και των αλληλεπιδράσεων από την αρχή της διαδικασίας. Σε αντίθεση με το pentesting (το οποίο εστιάζει στον εντοπισμό αδυναμιών μετά την παραγωγή του κώδικα), ένας αυξανόμενος αριθμός των πιο αποτελεσματικών δραστηριοτήτων ασφάλειας εκτελούνται πριν ή κατά τη διάρκεια της ανάπτυξης. .

Παραδείγματα ρόλων ασφάλειας στην ανάπτυξη

Προγραμματιστής ασφάλειας

Οι προγραμματιστές ασφάλειας εστιάζουν στις εργασίες που είναι σημαντικές για την κυβερνοασφάλεια, όπως είναι η αναγνώριση και η εξουσιοδότηση των υπηρεσιών.

Προασπιστής ασφάλειας (σε ένα έργο ανάπτυξης)

Οι προασπιστές ασφάλειας είναι συνήθως έμπειροι προγραμματιστές οι οποίοι εστιάζουν σε ασφαλείς πρακτικές κωδικοποίησης. Είναι μέντορες και καθοδηγητές για άλλους προγραμματιστές και άλλα μέλη της ομάδας έργου. Διασφαλίζουν ότι η δοκιμή ασφάλειας και οι άλλες δραστηριότητες που σχετίζονται με την ασφάλεια (για παράδειγμα οι επανεξετάσεις του κώδικα) πραγματοποιούνται σύμφωνα με το πρόγραμμα.

Κυβερνοασφάλεια: η καριέρα του μέλλοντος

Τώρα, περισσότερο από ποτέ, η ζήτηση για επαγγελματίες κυβερνοασφάλειας έχει αυξηθεί δραματικά σε όλες τις βιομηχανίες. Ο ψηφιακός μετασχηματισμός της καθημερινής μας ζωής και εργασίας προωθεί την ανάγκη για αυτές τις δεξιότητες σε όλους τους τομείς και τα πεδία. Η κύρια ανησυχία για τις κυβερνήσεις, τις επιχειρήσεις και τους πολίτες είναι ότι η εξάπλωση της ψηφιοποίησης και οι αναδυόμενες τεχνολογίες ξεπερνούν τη δυνατότητά μας να εκπαιδεύσουμε τους εξειδικευμένους επαγγελματίες κυβερνοασφάλειας που απαιτούνται για να παρέχουν ασφάλεια στον διαδικτυακό μας κόσμο.

Στην ετήσια έρευνά του για το 2020, ο (ISC)², ένας διεθνής μη κερδοσκοπικός οργανισμός μελών κυβερνοασφάλειας, εκτίμησε ότι η Ευρώπη έχει ένα κενό 168.000 θέσεων εργασίας οι οποίες είναι αδύνατο να καλυφθούν από εξειδικευμένους επαγγελματίες κυβερνοασφάλειας. Σε παγκόσμιο επίπεδο, αυτός ο αριθμός είναι μεγαλύτερος από 3 εκατομμύρια. Αν και αυτή η ζήτηση για εργαζόμενους μειώθηκε το 2020 εξαιτίας της γενικής οικονομικής πτώσης που προκλήθηκε από τη νόσο Covid19, παρέμεινε σε υψηλά επίπεδα και αναμένεται να αυξηθεί γρήγορα.

Παρόλο που πάνω από 500 πανεπιστήμια και ακαδημαϊκά ινστιτούτα σε ολόκληρη την Ευρώπη προσφέρουν πιστοποιήσεις και πτυχία για τους επαγγελματίες κυβερνοασφάλειας, η αυξανόμενη ζήτηση υπερβαίνει κατά πολύ την προσφορά. Μια λύση που θα βοηθήσει να κλείσει αυτό το κενό είναι οι εργοδότες και οι εργαζόμενοι να βρουν τρόπους να εκπαιδευτούν εκ νέου κατά την εργασία ή με τη συνεχιζόμενη κατάρτιση. Με την ολοκλήρωση αυτού του μαθήματος, έχετε δώσει στον εαυτό σας μια καλή αρχή για αυτή τη σταδιοδρομία. Για περισσότερες πληροφορίες σχετικά με το πού μπορείτε να αποκτήσετε δεξιότητες στην κυβερνοασφάλεια, επισκεφτείτε τον δικτυακό τόπο του Digital SkillUp.