Le nuove professioni e quelle che stanno conoscendo una seconda giovinezza nel corso degli ultimi due lustri hanno una caratteristica che le accomuna: le rispettive job description non possono essere bene delimitate perché non si tratta di lavori fini a loro stessi ma impattano trasversalmente sul buon funzionamento di ogni comparto di un’impresa.
Così, pure potendo stilare un elenco dei compiti in capo al Security specialist, diventa complesso recintare il suo raggio di azione, perché si estende anche al di fuori dell’impresa, è trasversale a tutti i comparti che la compongono e prevede delle capacità che si possono affinare ma che raramente si imparano dietro ai banchi.
Indice degli argomenti
Introduzione alla professione del Security specialist
Il Security specialist ha il compito di proteggere i dati all’interno e all’esterno di un’organizzazione. Il fine ultimo è quello di garantire la riservatezza, l’integrità e la disponibilità dei dati anche prevenendo, mitigando e rispondendo alle cyber minacce.
Questa è la definizione di massima che, al suo interno, ha molte sfaccettature e richiede conoscenze particolari di alto livello.
Il ruolo del Security specialist
Il ruolo è trasversale, perché si occupa di implementare, gestire e monitorare i protocolli e le politiche di sicurezza volte alla protezione dei dati e quindi dell’infrastruttura IT e delle reti. Questo rende il Security specialist cruciale perché il concetto di “reti” è di per sé sconfinato. È certamente vero che, in un momento storico orientato al Cloud, parte delle competenze della cyber security ricadono sui provider ma chi ne fa uso non può chiamarsi fuori, perché i dati vanno protetti anche all’interno dell’organizzazione (inclusi i client che vi accedono da remoto) e lungo il percorso da e verso la Nuvola.
L’identificazione delle vulnerabilità, soprattutto in modo preventivo, lo sviluppo di policy e il rispetto dei protocolli utili anche alla risposta agli incidenti sono soltanto una parte del suo bagaglio e del ruolo che è chiamato a ricoprire. A ciò si aggiunge la formazione dei dipendenti e di chiunque si interfaccia all’impresa dall’esterno (fornitori, clienti e stakeholder in generale).
Campo d’azione: dove lavora un Security specialist
Negli organigrammi funzionali viene inserito nel Security operation Center (Soc), un conglomerato di persone e tecnologie deputate alla difesa dell’organizzazione.
Come detto, la sua posizione è trasversale sia perché copre tutti i comparti di un’impresa sia perché la sua figura è opportuna in qualsiasi organizzazione pubblica o privata che sia. Non c’è ramo o settore che non abbia bisogno di un Security specialist: industria, commercio, intrattenimento, sport, media e multimedia, eccetera.
L’importanza del Security specialist
È fondamentale perché una cyber minaccia che va a segno comporta danni per l’organizzazione colpita. Danni economici, danni alla continuità di servizio, danni all’immagine e, potenzialmente almeno, violazioni dei principi cardine di privacy e compliance, con conseguenze giuridiche.
Oltre a tutto ciò, l’importanza del Security specialist si riverbera anche sulla cultura e sulla predisposizione alla digitalizzazione di un’impresa. Un sistema è tanto più sicuro quanto viene usato in modo competente: sapere istruire gli utenti rendendoli edotti in materia di cyber rischi diventa vitale.
Competenze richieste per diventare Security specialist
Il Security specialist è di norma laureato in Informatica, in ingegneria informatica o in una disciplina affine e in qualche modo equivalente come, per esempio, i corsi di laurea di Sicurezza dei sistemi e delle reti informatiche, Sicurezza dei sistemi software o Ingegneria della sicurezza dei dati e delle Comunicazioni. Ci sono anche percorsi che portano a certificazioni i quali corrispondono a dei surplus ma, da soli, possono non bastare a ricoprire il ruolo.
Ciò porta a considerare che un Security specialist debba avere solide conoscenze tanto dei sistemi operativi quanto dei protocolli di rete, dell’hacking (etico) e delle normative su privacy e compliance.
Capacità di risolvere problemi e di pensare in modo analitico
Fanno parte delle soft skill che possono essere affinate ma che devono essere prerogative di chi svolge il compito di Security specialist. Tra queste si può pensare immediatamente alla capacità di lavorare sotto stress, utile a gestire al meglio i potenziali momenti di crisi durante gli attacchi che rischiano di mettere in forse l’operatività e l’immagine dell’azienda.
Capacità matematiche e logiche
Logica e matematica sono imprescindibili. La matematica è l’ossatura della sicurezza in senso stretto, considerando la crittografia ma anche la probabilità utile alla valutazione dei rischi.
La logica matematica, a sua volta fondante nello studio dei sistemi, ha molto a che fare con la capacità di individuare debolezze e falle e, sul versante opposto, ha a che fare con la capacità di trovare soluzioni.
Non di meno, va considerato che la matematica è di per sé un linguaggio mediante il quale trovano espressione naturale le scienze. Così come la matematica fornisce, per esempio, strumenti di calcolo a fisici o biologi, la matematica offre un ponte a chi si occupa di informatica, di trasferimento dati e anche a chi si occupa di cyber security.
Matematica, logica e logica matematica sono conoscenza essenziali per i Security specialist al fine di esaminare, comprendere e risolvere problemi di sicurezza.
Familiarità con le tecnologie informatiche e i linguaggi di programmazione
Il tempo in cui uno specialista doveva conoscere la propria materia in profondità potendo ignorare quasi del tutto ogni altro tipo di tecnologia è finito da almeno due decenni. Oggi, per essere davvero tale, una specializzazione qualsiasi deve tenere conto di diverse tecnologie che le ruotano attorno anche seguendo orbite lontane. Un Security specialist non può essere tale senza nozioni approfondite delle tecniche di programmazione, dei protocolli di rete e dei sistemi operativi.
Strumenti e tecniche che un Security specialist dovrebbe conoscere
Sono molteplici le tecniche e gli strumenti che un Security specialist deve fare proprie, non per forza di cose direttamente afferenti alla sua professione che, però, necessita di un bagaglio ampio. Tra queste:
- vulnerability assessment
- data loss prevention
- crittografia e programmazione: entrambe necessarie per proteggere i dati
- IT security audience, principi utili all’assunzione di decisioni in materia di sicurezza
- tecniche di hacking etico e penetration test
- conoscenze delle tecnologie di sicurezza: analisi di log, conoscenza dei sistemi di prevenzione, di firewall e dei sistemi di rilevamento delle intrusioni
- competenze di analisi statistica.
Queste conoscenze, da considerare basilari, devono essere aggiornate di continuo. Tra le conoscenze “soft” – quel tipo di conoscenze che non si apprendono – c’è la creatività: gli hacker sono molto creativi, per contrastarli servono armi pari.
L’uso della crittografia in ambito di sicurezza informatica
Riuscire a rendere i dati illeggibili a terzi è una delle tecniche migliori per proteggerli. La crittografia rende leggibili i dati soltanto a chi è in grado di decifrarli, meccanismo reso possibile dall’impiego di apposite chiavi.
Questo rimanda alla necessità di conoscere i principi della crittografia simmetrica e di quella asimmetrica, tecniche ampiamente usate tanto per la sicurezza delle comunicazioni quanto per la protezione dei dati.
Comprendere la crittografia simmetrica e asimmetrica
Entrambe tecniche per la protezione dei dati, sono implementate attorno all’uso delle chiavi. La crittografia simmetrica (detta a chiave privata) usa la medesima chiave per criptare e decifrare i dati. La necessità che mittente e destinatario abbiano accesso alla medesima chiave può porre alcuni problemi, soprattutto laddove – per salvaguardare la privacy degli utenti – la chiave deve essere aggiornata a ogni sessione.
La crittografia asimmetrica, detta anche a chiave pubblica, usa due chiavi diverse: quella pubblica per la cifratura e quella privata per la decifratura. Questa modalità risolve il problema dello scambio sicuro delle chiavi sollevato dalla crittografia simmetrica e, non di meno, è spesso impiegata per proteggere tale scambio.
La prima è più veloce e meno complessa da implementare, la crittografia asimmetrica si presenta come più sicura.
Il ruolo delle chiavi di cifratura
Sono il cuore della crittografia e, di fatto, sono il parametro con cui appropriati algoritmi procedono alla cifratura e alla decifratura de dati. Sono stringhe alfanumeriche la cui lunghezza, misurata in bit, aumenta il livello di protezione del dato. Più la chiave è lunga, più è complesso forzare la decifratura del messaggio.
Tra le più diffuse ci sono da almeno 128 bit per cifrari simmetrici e di 1024 bit per cifrari asimmetrici.
Percorso formativo per diventare Security specialist
I percorsi formativi sono di diversa natura e si basano su studi accademici, su corsi di specializzazione e, non di meno, sull’esperienza.
La laurea in ingegneria informatica è un passepartout che spalanca anche le porte della cyber security ma non è l’unica via percorribile, fermo restando che ci sono diversi master e corsi di specializzazione che possono essere seguiti anche da chi proviene da excursus scolastici differenti.
La pratica ha il suo peso: la misura esatta dell’operatività e delle conoscenze necessarie è data soprattutto dal confrontarsi con il quotidiano di chi svolge il ruolo di Security specialist.
Nozioni di matematica
Come abbiamo scritto sopra, la matematica è fondamentale. Ciò significa che il Security specialist deve avere un solido bagaglio e si traduce nella possibilità di carriera anche per chi ha una laurea in matematica e, perché no, una specializzazione in algebra computazionale, considerando l’algebra un’estensione della matematica stessa.
Studi universitari: quali corsi e specializzazioni scegliere
Rimanendo nei campus universitari, oltre a ingegneria informatica e matematica, esistono lauree specialistiche come Sicurezza informatica e Cyber security.
Ciò che conta è l’aggiornamento continuo, fornito da diversi corsi che garantiscono formazione alternata a stage.
Carriera e prospettive future per un Security specialist
La carriera si prospetta anche alla luce delle declinazioni della professione del Security specialist, che includono il ruolo di Security manager, del Netwrok security architect oppure il ruolo del Cyber security analyst. Non è da escludere che, in un futuro prossimo, possano nascere nuove esigenze e quindi nuove specifiche figure professionali.
Diverse opportunità nel settore pubblico e privato
Non c’è un settore economico che possa fare a meno della cyber security, così come non c’è organizzazione pubblica o privata che possa rinunciarci.
Per non selezionare una vetrina web rispetto a un’altra, ci limitiamo a dire che è sufficiente fare una semplice ricerca sui siti di aziende di reclutamento del personale per avere un’idea nitida della richiesta di Security specialist anche alle nostre latitutini.
Il futuro della cyber security
Si va sempre più verso i modelli di sicurezza predittiva, nei quali l’impiego delle Intelligenze artificiali rivestono ruoli centrali.
Le AI sono correlate all’analisi matematica, alla statistica, alla probabilità e quindi all’algebra. Bagagli che ogni Security specialist deve avere e, va da sé, ci sarà una maggiore convergenza tra il ruolo di quest’ultimo e le tecniche di difesa aziendale.
Il che apre le porte a una carriera che appare promettente. Sbilanciarsi sulle politiche di remunerazione è impervio, proprio perché quella del Security specialist è una professione che racchiude in sé diversi doveri. Ci sono, tuttavia, siti web che riassumono offerte economiche ben diverse tra loro, con forchette che variano da poco più di 20mila euro l’anno, fino a cifre che sfiorano i 90mila euro annui.
