Newsgroup: it.comp.sicurezza.varie
Titolo: Ragionamento riguardo percorso formativo esperti di Sicurezza

Vorrei rendere partecipe il gruppo di una discussione avuta in questi giorni
con un collega.
Si discuteva del percorso formativo che contraddistingue un "Esperto di
Sicurezza Informatica", io trovo che la sicurezza vada affrontata in modo
lineare, e, correggetemi pure se sbaglio, sia necessario prima di pensare
alle varie tecniche di attacco e conseguentemente di difesa, avere alcune
conoscenze e capacità di base, nella specie;
1) Conoscenza delle reti e dei protocolli che le gestiscono.
2) Conoscenza di sistemi operativi server.
3) Conoscenza o comunque logica di programmazione, per lo meno di alcuni
linguaggi o di quelli di utilizzo più frequente sul web.
4)In seguito conoscenza dei vari tipi di falle di sistema e capacità di
sfruttarle per attacchi e difesa (dipende da che parte della barricata si
stà :-)).
5) Aggiornamento costante e quotidiano.
Ora, anche se questi punti, secondo me non devono essere necessariamente
conosciuti in quest'ordine, risultano tutti fondamentali o comuque
importanti, questo implica, sempre secondo il ragionamento sono necessari
anni e anni di studio, ed esperienza per definirsi un "Esperto di Sicurezza
Informatica".
Sono aperto a critiche appunti e commenti.
Grazie
GG

 5) Aggiornamento costante e quotidiano.
Non trascurerei la conoscenza approfondita delle normative vigenti
in materia.


Gli "attacchi" come li intendi tu sono il 20 percento circa del problema 
sicurezza, non vanno ignorati, ma sono solo una parte e neanche 
preponderante del problema. Non comincerei da li...
Non sarà perfetto, ma perchè reinventare l'acqua calda? Prova a studiarti i 
dieci CBK (Common Base of Knowledge) di ISC2 (
www.isc2.org
) alla base della 
certificazione CISSP. Troverai tutte le aree necessarie e sufficienti ad un 
"Esperto di Sicurezza Informatica" dici tu, "Esperto di Sicurezza delle 
Informazioni" dico io. :-)
Ai dieci CBK aggiungerei formazione gestionale / manageriale. La sicurezza 
ha bisogno di tecnologia certo, ma la tecnologia va gestita o non serve a 
molto (inoltre la formazione manageriale dovrebbe aggiungere quegli skill 
necessari ad ottenere i budget e a difendere certe scelte di sicurezza in 
sede decisionale....).
-- 
Alessandro

 in materia.
Giusto sono d'accordissimo, sul discorso normative, ma volendo fare un
ragionamento prettamente tecnico, vorrei chiedere ai professionisti, agli
studenti, ai ricercatori o semplicemente agli appasionati del news quale è
stato il vostro percorso formativo e come avete raggiunto le conoscenze che
avete in questo settore.
GG

 stato il vostro percorso formativo
Il mio è stato a metà fra il "casuale" ed il "formale". In parte buone
letture ed  in parte corsi che ho convinto il mio "datore" a pagarmi ed in
parte corsi che mi sono pagato da me.
Non fidarti del discorso "prettamente tecnico", in sicurezza non funziona.
Ho / abbiamo fatto lo stesso errore qui da me e ora fatichiamo a riparare...
I "fattori umani", organizzativi, procedurali sono troppo preponderanti per
ignorarli. Ti consiglio a tal proposito un corso che si terrà a Milano l'8
ed il 9 Marzo ed a Roma in qualche altra data che non ricordo e che si
intitola "Management della Sicurezza" o qualcosa di simile. Vai su
www.teach.it
 e clicca sul bottone "Sicurezza" per i dettagli . E' il giusto
mix di gestione
e tecnologia e corsi di questo taglio in Italia ed in italiano sono rari (o
almeno che io sappia).

 
Perchč? Le normative non sono ANCHE un fatto tecnico? Comunque i corsi 
tecnici non mancano nei calendari delle varie azeinde specializzate in 
formazione e anche gli studi personali oggi non sono difficili con i vari 
"paper" disponibili sull'argomento su internet (un bel "google" di 
"security white paper" potrebbe essere un inizio).
Personalmente il mio percorso TECNOLOGICO č stato Application Security, poi 
DataBase Security, poi System Security ed infine Network Security (in altre 
parole ho percorso dall'alto in basso lo stack ISO/OSI), con un po' di 
studi personali (parzialmente pre-Internet), un po' di formazione in 
classe, un po' usando i miei clienti come cavie (possibilmente senza 
farglielo capire...).
Il mio percorso NON TECNOLOGICO č stato leggermente diverso, ma mi pare di 
capire che non č quello a cui sei interessato. Un vero peccato...
-- 
Alessandro

 (cut)
    Personalmente credo sia un fatto di esperienza e di quelle che si
chiamano "fortunose situazioni" della vita,,, Completarsi nell'esperienza,
riconoscendo l'esprienza come chiave di un percorso evolutivo, vuol dire
ferrarsi in tutti gli aspetti che tu giustamente elenchi... Cercare quindi
l'esperienza, andarle incontro, è il mio consiglio. La professionalità è un
altro discorso. Conosco persone con molte certificazioni che poi sono
carenti ... "di testa".
    Aggiungo la nota interessante : l'esperienza deve essere, of course,
lato server. Fin quando ci si trova a giocare con il pc e si sta dall'altra
parte della barricata (lato client) ci sono mille cose che non si possono
conoscere. E che per quante letture e studi si faranno, semplicemente non
saranno capite. Non è neanche centrale, secondo me, il discorso tempo.
Certamente un'esperienza decennale conta ed ha il suo peso, ma è vero pure
che quando si è guidati da uno spirito esplorativo e tendenzialmente
costruttivo si raggiungono con facilità le tanto agognate "medagliette" sul
petto. Il tempo passa in secondo piano rispetto all'esperienza vissuta
giorno per giorno. Da vero ricercatore (e con passione!).
    Andando a misurare, poi, si incontreranno diverse persone con un numero
diverso di medagliette (mi scuserete il termine ma mi sembra un buon
esempio) ed, ancor più importante, tutte di colore e peso diverse. Qui entra
gioco il discorso da "professionisti"... raggiunto un certo numero di
medaglie si può pensare seriamente alle certificazioni o alla formazione di
un certo livello : su uno o più fronti di quelli da te elencati.
    Credo ancora che chi è nel mondo della programmazione sia sicuramente
avvantaggiato in quanto conosce nell'intimo le risorse dei sistemi ed il
modo di pilotarli. E comprende che si può trovare (e riconoscere) i diversi
aspetti di qualcosa rielaborati in un contesto diverso (dai sistemi al
network ai database distribuiti).
    Anche sulla "linearità" che tu citi,,, ...beh, anche qui credo che
raggiungere un certo livello segue un linearità, ma in senso lato. Non è
pensabile pianificare quella che è l'esperienza che ti porta ad essere un
professionista dicendo "passo 1. network, passo 2. sistemi, passo 3 ..." in
quanto ogni aspetto è strettamente legato all'altro. Di conseguenza imparare
su un fronte completa indirettamente anche gli altri fronti.
    Il mio è più un approccio per grandi linee che una scientifica "scaletta
dei valori". E ricalca in qualche modo le idee di altre importanti
esperienze che la vita ci offre.
guest_un_pò_filosofico_oggi_