Newsgroup: it.lavoro.informatica
Titolo: carriera nella sicurezza informatica

Ciao a tutti!
Mi rivolgo a tutti quelli che lavorano o hanno lavorato nella
sicurezza informatica, sia da liberi professionisti che da dipendenti,
per sondare la situazione, dato che sto pensando di tentare questa
strada.
Mi piacerebbe capire da chi lo fa tutti i giorni di che tipo di lavoro
(o lavori) si tratta, quali sono le problematiche, la prospettive di
"carriera" ecc..
Dal canto mio, sono un ing. informatico laureato con una tesi sulla
sicurezza, che esce da 3 anni di lavoro come sviluppatore java/web,
con una conoscenza universitaria delle problematiche di sicurezza
informatica e i vari protocolli di rete.
Grazie a tutti

 Grazie a tutti
Ciao.

 trovato nel campo?
Sostanzialmente non ho cercato. L'interesse c'era, ma avendo trovato
un buon posto e una tipo di lavoro che comunque mi piace, non mi sono
più posto il problema.. adesso mi chiedo "perchè non provare?".

Stavo per risponderti, poi ho visto che avrei ripetuto, quasi parola
per parola, quanto ti ha detto Wolferin.
Il settore e' molto vasto, anche perche' non bisogna dimenticare che
sicurezza informatica non significa semplicemente protezione dagli
hacker, ma assicurare in generale che il lavoro basato sui dati vada
avanti regolarmente.
Ti posso fare un po' di esempi di attività (le prime che mi vengono in
mente) che ricadono nel settore:
-installazione, gestione e manutenzione di firewall, IPS, e similia,
progettazione di reti, di siti per pagamenti on-line, eccetera
- certificazioni BS7799 e discendenti, conformità alla legge 196/2003
(privacy e DPS)
- analisi di vulnerabilità, disaster recovery e business continuity
- definizione di procedure aziendali
- gestione di sistemi complessi: dalla semplice distribuzione delle
patches, al saper gestire una rete estesa in continua evoluzione
(saresti sorpreso nel vedere quanto spesso un'azienda perda il
controllo dello sviluppo della propria rete)
- crittografia, firme e certificazioni digitali
- autenticazione
- ....
C'e' un po' di tutto, e, se la cosa ti piace, puoi sforare parecchio
nel campo dell'organizzazione aziendale, il che, dal punto di vista
della carriera, secondo me non e' male. Inoltre ci sono possibilita'
anche per operare come consulente.

 più posto il problema.. adesso mi chiedo "perchè non provare?".
Ok, ma sei ancora abbondantemente nei tempi: ma il settore è
tutt'altro che inflazionato!

 - analisi di vulnerabilità, disaster recovery e business continuity
Backup, e sicurezza fisica dei supporti (ovvero conservazione
in cassaforte o simili di dvd, nastri, ecc.) fanno parte del
distaster recovery?

 facile ma purtroppo esistono...
Ehi, perchè "purtroppo"?
/me tuttologo
bye!

 distaster recovery?
Ma pure testing della qualità dei dati salvati e possibilità di rilettura 
su richiesta, ecc. ecc.
Comunque si, danno parte del Disaster Recovery il quale è una branca della 
Business Continuity.
ivan
-- 
By 1977 or so, PLATO was featuring real-time multiplayer dungeon games,
not to mention real-time spacewar, IM, chat, email, netnews, and a host of
other things we now take for granted. All this on high-resolution plasma
panel terminals connected at 1200 baud to twin Cyber 6600 supercomputer.
Now you understand why I was kicked out of Cornell for a year; PLATO was
crack for computer nerds. (Robert Woodhead, co-creator of Wizardry)

 bye!


Interessante. Parliamo solo di testing subito dopo il backup, oppure
anche un testing periodico a campione per verificare lo stato di
conservazione
dei supporti?


Disaster recovery e' tutto quanto ti permette di ripristinare una
situazione operativa accettabile dopo il verificarsi di un problema.
Pertanto il backup e le misure per assicurare l'eseguibilità del
restore ne fanno parte.
L'accuratezza di un piano di disaster recovery puo' variare, in base a
una valutazione di costi, benefici e rischi. Puo' essere che si
ritenga utile verificare l'efficienza dei supporti, oppure che il
gioco non valga la candela, o addirittura che sia inutile il backup;
comunque sia,  tutto cio' fa parte del DR (ma non solo di quello).
Cio' che certamente non fa parte del DR e' la prevenzione del
problema.

 prende le responsabilità.
Lo dico con tutta l'umiltà possibile, ma per la parte dai puntini di
sospensione in poi sono sempre stato abbastanza congruo, anche senza
essere mai stato uno "specialista" nel senso che intendi te ;^)
bye!

 della carriera, secondo me non e' male.
Beh, questo pero' direi che è vero soprattutto se ti orienti
sull'aspetto meno strettamente tecnologico della security. Saltare
dall'installazione e configurazione dei firewall o delle appliance VPN
alla carriera di manager è un po' più difficile.
bye!

 problema.
Ah, ok. 
-- 

 conservazione dei supporti?
Anche se tu fai il test di "corretta scrittura" del backup (cosa che per 
inciso dovresti fare e qualsiasi prodotto decente ti permette di fare 
istantaneamente) il problema sorge a distanza, quando qualcosa va male e 
per rimettere in piedi qualcosa scopri che si il backup era stato fatto 
bene all'epoca, e messo pure dentro un bell'armadio ignifugo. Peccato che 
dove era sistemato l'armadio c'è stato un incendio e i supporti, 
notoriamente di plastica, si sono squagliati dal calore (è successo in un 
bel datacenter di una azienda il cui nome inizia per I e finisce per M ;)
Oppure c'è un altro bell'esempio. Ti ricordi quando saltò la luce per 
giorni in tutta Italia? Beh una certa banca, la Cassa di Risparmio di 
Firenze (il nome si può dire perchè un loro correntista, giornalista del 
Sole 24 Ore, li mise in croce) ha avuto problemi un po' dipendenti da 
loro, e un po' dal loro outsourcer (sempre la stessa multinazionale di cui 
sopra).
In pratica la banca, per risparmiare, faceva backup settimanalmente. 
Quando c'è stato il blackout sono partiti i generatori, posti sul tetto 
del data center. Uno dei generatori è andato a fuoco, facendo si che pezzi 
di robba infuoata cadessero dal soffitto dentro il datacenter. I ragazzi, 
per salvar le macchine, hanno preso gli estintori e li hanno usati. 
Peccato che erano il tipo a polvere. E puoi immaginare cosa fa la polvere 
ai Mainframe e le loro batterie di dischi. Sai quando doveva partire il 
backup della settimana? Da lì ad un ora. Il risultato è che l'intera rete 
bancomat della banca era inaccedibile, e il giornalista non ha potuto 
prelevar soldi. Da lì è partita il suo infiammato articolo.
Ecco, questo è Business Continuity e Disaster Recovery: far si che le 
pensi tutte, e che i backup siano sempre disponibili e ridondati. E magari 
non troppo settimanali ;)


 problema.
Concordo. Per questo dico sempre che il DR è parte della BC, la quale ha 
al suo interno il Risk Management.


 bye!
Ciao!

 perchè lavoro adesso in un cosiddetto VAR.
Scusa l'ignoranza.. di che si tratta?

 Scusa l'ignoranza.. di che si tratta?
Value Added Reseller. Cioè una società che commercializza un prodotto
o pacchetto ed offre anche consulenze qualificate sul suo impiego.
Nel caso della sicurezza ad esempio è una società che vende sia le
appliance (firewall, filtri vari, VPN, ecc.) che esperti chi ti
progettano l'infrastruttura o ti assistono a definire le policy e le
procedure necessarie per metterle in pratica.
bye!