Lo "Security Mindset" di Schneier: come l'esperienza pratica plasma la formazione in sicurezza IT

CTF e hacking lab come luoghi di apprendimento

Il commento rileva che, sebbene i dettagli tecnici della sicurezza possano essere appresi da libri di testo, blogpost o video tutorial, per lo Security Mindset sia soprattutto necessario un contatto pratico con l'argomento. Negli albori dell'IT, la maggior parte degli esperti era entrata nel campo come autodidatta attraverso esperienze pratiche, spiega Schneider.

Per consentire tali esperienze in modo legale e in un ambiente protetto, si sono affermate le hacking challenge e le competizioni CTF. In un CTF le squadre ricevono software intenzionalmente difettoso. Lo avviano e lo collegano in rete, poi cercano contemporaneamente di correggere i difetti nel proprio sistema e di sfruttarli nelle squadre avversarie, descrive l'autore lo svolgimento.

Nel frattempo i CTF sono arrivati anche nella didattica accademica. "Jede Hochschule, die IT-Security lehrt, hat ein Hacking Lab oder zumindest CTF-artige Aufgaben in den Übungen ihrer Sicherheitsmodule", scrive Schneider. La formazione universitaria ha così trovato un formato vicino alla pratica, che va oltre la pura teoria.

Dal laboratorio hobbistico all'industria

Parallelamente al mondo accademico, anche piattaforme come "Hack the Box" e "Try Hack Me" hanno permesso a molte persone di avvicinarsi praticamente al mondo della sicurezza. Queste offerte si rivolgono esplicitamente anche a chi proviene da altri settori senza una formazione formale in sicurezza, evidenzia il commento.

Anche nell'industria il concetto ha fatto breccia, sotto forma di cyber range come strumento di formazione continua. Schneider vi vede la prova che la domanda di ambienti di esercitazione realistici è cresciuta oltre le università e le piattaforme amatoriali, arrivando a imprese e pubbliche amministrazioni.

Il commento si chiude con la domanda su quali formati di apprendimento saranno necessari in futuro per formare la prossima generazione di esperte ed esperti di sicurezza. Schneider non fornisce una risposta definitiva, ma invita a continuare a calibrare il bilanciamento tra preparazione teorica ed esperienza pratica.

Il contributo completo è disponibile per le abbonate e gli abbonati a heise-Plus. Fa parte di una serie di pubblicazioni in cui heise Plus discute questioni fondamentali della formazione in sicurezza IT.

Il commento su heise-Plus si inserisce in un dibattito più ampio sulla trasformazione del settore della sicurezza IT. Di fronte a nuove minacce e a crescenti requisiti per i professionisti, si discute di come adeguare i concetti formativi, scrive l'autore.