Il Security architect è la mente così come il Security administrator è il braccio oppure, per creare un altro paragone, il primo è letteralmente l’architetto, il secondo è il capocantiere.
Il compito focale del Security architect è quello di sviluppare e implementare i sistemi di sicurezza di un’organizzazione, monitorandone anche l’efficacia. Se, fino a qui, sembra una professione che si svolge comodamente seduti alla scrivania, occorre tenere conto di tutte le variabili che la cyber security porta con sé e del fattore tempo, sempre più cruciale per chiunque si occupi di sicurezza.
Vediamo quali sono le hard e le soft skill che il Security architect deve possedere per esercitare il proprio dovere nel migliore dei modi e con quali altre figure professionali è chiamato a dialogare.
Indice degli argomenti
Introduzione alla professione del Security architect
Sulle spalle del Security architect grava la responsabilità della pianificazione, della progettazione e dell’implementazione della cyber security di un’organizzazione. Parallelamente, è suo compito anche lo sviluppo delle regole e dei requisiti che circoscrivono i perimetri della sicurezza, garantendo la piena aderenza alle esigenze di business dell’azienda per la quale lavora.
Una professione che necessita di una preparazione tecnologica variegata e profonda ma che, allo stesso tempo, è basata anche sulle capacità di interloquire con diverse figure interne ed esterne all’organizzazione e, non da ultimo, si fonda anche su capacità critico-analitiche.
Chi è il Security architect: definizione e ruolo
In realtà non esiste un solo ruolo per il Security architect tant’è che, soprattutto nelle organizzazioni più grandi, possono esistere diverse declinazioni riconducibili alla medesima professione. Può esserci, per esempio, un Security architect che si occupa prettamente dell’hardware e dei protocolli di rete, un altro dedito esclusivamente allo sviluppo di software o, ancora, un Security architect che implementa regole, standard e policy da applicare anche a software di terze parti. Tutti tasselli dell’infrastruttura aziendale che lavorano in concerto per la sicurezza, la resilienza e la valutazione dei rischi.
Il suo ruolo, in sintesi, è legato alla progettazione, all’implementazione e, in modo collaborativo, alla manutenzione dei sistemi di sicurezza di un’organizzazione, inclusa la riservatezza, l’integrità e disponibilità dei dati.
Campo d’azione: dove lavora un Security architect
È una figura del Security Operation Center (SoC), sia questo di un’azienda privata oppure pubblica. Poiché qualsiasi azienda necessita di un’infrastruttura di sicurezza, il Security architect può lavorare in qualsiasi settore economico: industria, media, commercio, intrattenimento e anche in seno a enti e organizzazioni nazionali o sovranazionali.
L’importanza del Security architect
Per sottolineare quanto la figura del Security architect sia cruciale, vale la pena fare un tuffo in quella che può essere – a grandi linee almeno – una job description pertinente.
Tra i compiti che è chiamato a svolgere, oltre a quelli strettamente legati allo sviluppo di un’infrastruttura resiliente, vanno citati:
- L’identificazione dei punti deboli negli assetti aziendali esistenti (in collaborazione con altre figure professionali come, per esempio, il Vulnerability assessor)
- La conoscenza approfondita e costantemente aggiornata delle tecniche a cui fanno ricorso gli hacker
- La capacità di anticipare le minacce,in suo soccorso accorrono le tecnologie di sicurezza predittiva
- La redazione di piani di sicurezza che guardino anche al futuro
- Il monitoraggio dell’efficacia delle misure messe in atto e l’assunzione di decisioni ponderate.
Tutte attività e funzioni che svolge in collaborazione con altri membri del SoC (Security Operation Center) e delle quali informa il management e i quadri direttivi.
Va da sé che si prospettano due scenari di diversa difficoltà: un conto, per un Security architect, è creare un’infrastruttura ex-novo, un conto è dovere subentrare in un’infrastruttura già avviata. Flessibilità e capacità di adattamento sono due delle soft skill che gli competono.
Competenze richieste per diventare Security architect
Le competenze sono molte e devono essere costantemente aggiornate. Le principali sono afferenti:
- Ai protocolli di rete
- Alle procedure di autenticazione e alla gestione delle identità
- Alla comunicazione
- Alla risposta agli incidenti
- Alla gestione del rischio
Il funzionamento e le logiche dei sistemi operativi sono ovviamente parte integrante del bagaglio del Security architect. Poiché è deputato alla protezione dalle minacce e alla sicurezza dei dati e quindi alla continuità del business, deve essere dotato di capacità di analisi di alto profilo. Essere in grado di lavorare in gruppo e coordinare le attività è un’altra delle doti essenziali che devono appartenergli.
Capacità matematiche e logiche
Cyber security e matematica (e quindi logica) sono parenti. Le tecniche di analisi sono essenziali sia per creare e monitorare sistemi in grado di rispondere alle minacce, sia per la logica che anima le potenzialità di difesa predittiva.
Gli argomenti che il Security architect deve padroneggiare sono la teoria dei numeri e l’algebra lineare (entrambe essenziali per la crittografia), la matematica discreta e la statistica.
Familiarità con le tecnologie informatiche e i linguaggi di programmazione
Proteggere un’infrastruttura IT è impossibile senza conoscere a fondo le tecnologie in uso all’azienda. Tuttavia, c’è un sempiterno dibattito sulla capacità di programmazione di chi lavora in un SoC.
A chi sostiene che programmazione e cyber security possono viaggiare su due binari diversi giova ricordare che, a prescindere dal ruolo ricoperto, chi lavora nell’IT deve avere per lo meno rudimenti di programmazione, perché salvifica. Lo sanno i sistemisti che conoscono il Perl così come chi elabora dati ha certamente apprezzato l’aiuto che può trarre da R oppure da Python.
Nel caso del Security architect, soprattutto se è deputato alla sicurezza software, la familiarità con i linguaggi di programmazione è imprescindibile e, a monte, la capacità di scrivere codice in diversi linguaggi è anche connessa alla capacità di lavorare con gli algoritmi.
Capacità di risolvere problemi e di pensare in modo analitico
Sono soft skill che rappresentano, insieme a una curiosità implacabile, l’anima della professione del Security architect. Non solo: sia il problem solving sia il pensiero analitico devono essere proattivi, servono entrambi ad anticipare l’insorgere di problemi, ancorché utili quando questi si sono già verificati.
Gli schemi di tipo “what if” sono particolarmente utili nelle fasi di test delle soluzioni messe in atto dal Security architect e la capacità di configurare diversi tipi di scenari per mettere sul banco di prova le soluzioni stesse ha molto a che fare tanto con la proattività quanto con la curiosità di capire, anticipare e di valutare diverse ipotesi prima di rilasciare un sistema di sicurezza.
Strumenti e tecniche che un Security architect dovrebbe conoscere
Argomento vasto anche perché coinvolge la collaborazione di altre figure professionali del SoC. Per esempio, come detto sopra, il Security architect ha anche il compito di scovare vulnerabilità nell’infrastruttura in uso all’azienda e, benché sia una funzione tipica del Security assessor, occorre che ne abbia nozioni tanto solide da permettergli di sovraintendere alle attività di individuazione di lacune e falle.
Tra le tecniche che il Security architect deve conoscere con diversi gradi di profondità compaiono:
- Vulnerability assessment
- Crittografia
- Analisi e statistica
- Virus analysis
- Programmazione
- Data loss prevention
- Cloud security
- Controllo e gestione accessi
- Firewall
A questo elenco si aggiungono le conoscenze dei software di sicurezza più popolari o, in alternativa, di quelli adottati dall’organizzazione per la quale lavora.
Comprendere la profondità della cyber security
Delineare i perimetri della cyber security è tutt’altro che semplice, così come può essere complesso definire le pertinenze dei ruoli di chi lavora in un SoC.
Ad aggiungere difficoltà oggettive sulle spalle del Security architect intervengono altre variabili che dipendono da diversi fattori, su tutti la necessità di creare nuove misure di sicurezza oppure di lavorare su misure già in essere e, come tali, rodate e recepite dai collaboratori dell’azienda.
Per cercare di dare una dimensione e una profondità al ruolo del Security architect entriamo in una sua ipotetica settimana lavorativa per creare l’agenda delle attività professionali da svolgere, anche in concerto con colleghi e collaboratori esterni:
- Amministrare le misure di sicurezza già attive
- Gestire e sondare sistemi di sicurezza innovativi
- Gestire e sondare protocolli di autenticazione
- Disegnare e implementare requisiti di accesso alle risorse aziendali
- Pianificare test di vulnerabilità e resilienza
- Organizzare, testare e monitorare strategie per l’intervento rapido in caso di attacchi
- Revisionare l’infrastruttura hardware e software dell’azienda (anche i software sviluppati al di fuori dell’azienda stessa)
- Monitorare l’efficacia delle regole e delle policy aziendali
- Preparare report e diffondere la cultura cyber nell’azienda.
La cyber security ha dei confini sfuocati che appaiono chiari solo in fase di test o, peggio, quando gli hacker individuano e sfruttano una o più falle per penetrare in un’infrastruttura aziendale.
Al pari di ogni processo aziendale, la cyber security è prima di tutto un esercizio organizzativo che va discusso, condiviso e attuato nella particolarità di ogni sua sfaccettatura.
Il ruolo del controllo degli accessi
Cloud e dispositivi mobili hanno cambiato la canonicità dei perimetri aziendali: dipendenti, collaboratori e dispositivi che, in potenza, si collegano a server e macchine aziendali a qualsiasi ora del giorno e da qualsiasi luogo nel mondo.
La gestione delle identità e degli accessi diventa quindi sempre più fondamentale, vero e proprio crocevia da pattugliare senza sosta.
I sistemi di sicurezza nel loro insieme vengono spesso edificati proprio partendo dalle difficoltà imposte dalle reti, sempre più aperte e diramate.
L’uso di tecnologie predittive
Il Security architect deve spendersi anche nell’anticipare e prevedere le minacce. A tale proposito le tecnologie per la cyber security predittiva devono essere nelle sue corde. Tali tecnologie e strumenti pongono il focus sull’analisi dei dati per identificare relazioni, modelli e tendenze, prendendo in considerazione anche le vulnerabilità appena individuate e le strategie di attacco emergenti.
La sicurezza predittiva è di importanza capitale e deve essere una disciplina attraverso cui il Security architect si muove con dimestichezza.
Percorso formativo per diventare Security architect
La formazione auspicabile verte in direzione di una laurea in ingegneria informatica ma non sono da escludere percorsi specializzati in matematica e statistica.
Al di là del percorso universitario ci sono delle certificazioni che instradano verso la carriera del Security architect, tra queste:
- CompTIA Security+
- Offensive Security Certified Professional (OSCP);
- Certified Ethical Hacker (CEH)
- Certified Information Systems Security Professional (CISSP)
- Certified Cloud Security Professional (CCSP).
C’è poi la costante necessità di aggiornamenti a cui nessun professionista della cyber security può sottrarsi.
Le soft skill, tipicamente la capacità di lavorare da soli e in gruppo, le doti comunicative, il pensiero critico e orientato al problem solving possono invece essere affinate con l’esperienza, benché restino doti personali e persino caratteriali.
Studi: quali corsi e specializzazioni scegliere
Il percorso accademico e la specializzazione acquisita mediante certificazioni sono soltanto una parte della preparazione. Occorre una conoscenza profonda dei sistemi operativi, del funzionamento di LAN, WAN, VPN e delle parti attive di rete, nonché di appositi framework come COBIT.
Una specializzazione in Data science è anche opportuna, giacché l’analisi dei dati è parte fondante delle politiche di security predittiva.
Esperienza sul campo e opportunità di stage
L’esperienza è fondamentale anche perché il percorso che conduce alla professione del Security architect può prevedere lo svolgimento di altre mansioni precedenti all’interno di un SoC. Un altro modo per acquisire l’esperienza necessaria è quello di lavorare presso aziende di consulenza, opportunità questa che permette di misurarsi con diverse realtà aziendali di varia grandezza e finalità di business.
Carriera e prospettive future per un Security architect
Nel proprio prosieguo professionale, per il Security architect possono aprirsi diverse porte, tra le quali quelle del Senior security architect, del Lead security architect e persino quelle di Director of security.
Più in generale, la conoscenza approfondita delle logiche della cyber security, dei sistemi hardware e software, nonché la dimestichezza acquisita in materia di privacy e compliance, sono un humus sufficiente a intraprendere carriere diverse nell’ambito dell’ICT.
Compensi attesi e crescita professionale
Dando uno sguardo alle posizioni professionali aperte, si osserva che la retribuzione di un Security architect varia mediamente dai 25mila ai 55mila euro l’anno a seconda del suo grado di preparazione e dei compiti a cui è deputato.
È una professione che ha diverse declinazioni e si articola lungo i livelli di esperienza che vanno dalla classica figura junior fino a quella senior, con conseguenti possibilità di crescita professionale e differenti inquadramenti salariali.
