Szkolenia z cyberbezpieczeństwa to specjalistyczna grupa treningów z szeroko rozumianego obszaru IT, których cechą wspólną jest skupienie się na aspektach związanych z bezpieczeństwem. Treningi tej kategorii mogą przybierać bardzo różną formę, podobnie jak zróżnicowana jest motywacja ich uczestników. Właściwy wybór treningu, który znacząco przyspieszy Twoją karierę, wymaga umiejętnej analizy.
W artykule omawiamy kilka kluczowych kryteriów, które powinieneś wziąć pod uwagę, poszukując najwłaściwszego dla siebie szkolenia (czy też swoich pracowników). Przedstawiamy też różne pułapki, które powodować mogą podjęcie błędnej decyzji, dzięki czemu w bardziej świadomy sposób będziesz mógł dokonać wyboru!
Table of Contents
Zanim Rozpoczniesz Poszukiwania Szkolenia Cyber Security…
Z tego rozdziału dowiesz się, jakie kroki powinieneś podjąć i co przeanalizować, jeszcze zanim przystąpisz do poszukiwań szkolenia z bezpieczeństwa IT. Pomoże Ci to uniknąć pomyłki, a w konsekwencji zaoszczędzić cenny czas oraz pieniądze.
Zrozum Swoją Motywację
Punktem wyjścia w poszukiwaniach idealnego dla Ciebie szkolenia z obszaru cyberbezpieczeństwa jest zrozumienie Twojej własnej motywacji. Osoby, które znajdują się na wczesnym etapie kariery lub pracują w obszarach IT innych niż security, traktują kursy jako okazję do zdobycia wiedzy i umiejętności, które pozwolą im rozpocząć pracę w branży. Deficyt specjalistów od bezpieczeństwa cybernetycznego doprowadził do powstania tzw. „skill gap”, który oceniany jest wedle różnych opracowań nawet na 3,5 miliona wakatów. Oznacza to, że posiadanie odpowiednich predyspozycji oraz zdobycie umiejętności we wspomnianym obszarze staje się w zasadzie gwarancją znalezienia zatrudnienia.
Naturalnie nie tylko osoby dopiero aspirujące do pracy w branży cyber security zainteresowane są udziałem w kursach. Wielu pragnie uzupełnić już posiadaną wiedzę, aby spełnić formalne wymagania dla konkretnych typów stanowisk, które na obecnym etapie kariery ich interesują – by z kolei awansować. Jeszcze inne osoby kierować mogą się wyłącznie chęcią poszerzenia kompetencji lub odświeżeniem posiadanych już informacji. Jest to szczególnie popularny rodzaj motywacji, z uwagi na duży dynamizm zmian w świecie IT oraz stale ewoluujące zagrożenia.
Różnorodność form szkoleń, motywacji ich uczestników, balansu pomiędzy praktyką i teorią oraz poziomów zaawansowania powodują, że na rynku dostępna jest ogromna liczba bardzo odmiennych od siebie kursów. Warto skrupulatnie przeanalizować swoje potrzeby, aby wybierane przez Ciebie szkolenia spełniały Twoje oczekiwania.
Określ Specjalizację
Branża ulegała wielu transformacjom przez ostatnie dekady. Jednak to, co najsilniej odcisnęło na niej piętno, to wytworzenie się w jej obrębie wielu specjalizacji. Proces ten był bezpośrednim następstwem rozwoju samego świata IT i pojawiania się w nim kolejnych technologii i obszarów. W każdym z nich pojawiają się bardzo specyficzne typy zagrożeń, ataków, metod detekcji i sposobów przeciwdziałania. Kilka przykładowych obszarów to:
- bezpieczeństwo aplikacji webowych
- bezpieczeństwo aplikacji mobilnych
- bezpieczeństwo aplikacji sieciowych
- bezpieczeństwo chmur obliczeniowych
- bezpieczeństwo rozwiązań IoT
- bezpieczeństwo Active Directory i systemów Windows
- bezpieczeństwo baz danych
- bezpieczeństwo sieci komputerowych
- bezpieczeństwo rozwiązań opartych o systemy Linux
- bezpieczeństwo OT
Ich ilość można pomnożyć razy dwa, ponieważ do wyboru mamy zarówno stanowiska ofensywne (Pentesterzy, Red Teamowcy), których rolą jest zrewidowanie faktycznego stanu zabezpieczeń, jak i defensywne (Analityk Bezpieczeństwa, Inżynier Bezpieczeństwa) – skoncentrowane na wykrywaniu i przeciwdziałaniu atakom. Jeśli ktoś nadal nie jest przekonany, to przecież mamy jeszcze inne, bardzo specyficzne obszary, takie jak informatyka śledcza i powłamaniowa, obsługa incydentów bezpieczeństwa, bezpieczeństwo formalne i zgodność z wytycznymi różnych regulatorów branżowych (sektor finansowy, sektor medyczny).
NIST (National Institute of Standards and Technology) – organizacja odpowiedzialna za stworzenie wielu uznanych standardów dotyczących cyberbezpieczeństwa – zaproponował ze względu na złożoność tego zagadnienia Workforce Framework for Cybersecurity (NICE Framework), w którym zdefiniował aż 52 unikalne stanowiska!
Trudno oczekiwać w takich warunkach od kogokolwiek bycia ekspertem i bycia na bieżąco w więcej niż kilku z tych obszarów. Oczywiście nie tworzą one wyizolowanych silosów, a wzajemnie się przenikają. Jednak oczekiwanie od specjalisty od bezpieczeństwa OT samych trafnych odpowiedzi na temat bezpieczeństwa aplikacji mobilnych, a od specjalisty od baz danych wiedzy na temat ataków na Active Directory może mijać się z celem.
Sprawdź czy Dobrze Rozumiesz Technologię
Rozwój kompetencji specjalistów od cyber security w dowolnym z obszarów podzielić można na 2 ważne ścieżki. Po pierwsze bardzo istotne jest solidne poznanie technologii, za których bezpieczeństwo mamy odpowiadać oraz przyzwoite poznanie różnych technologii pokrewnych. Drugim jest rzecz jasna zdobywanie specjalistycznej wiedzy dotyczącej bezpieczeństwa danych technologii. Sporym błędem, zwłaszcza na wczesnym etapie kariery, jest przesadne koncentrowanie uwagi na drugim obszarze.
Braki w zrozumieniu działania technologii, których bezpieczeństwo mamy oceniać lub, o których bezpieczeństwo mamy dbać, może negatywnie wpłynąć na efektywność naszych działań. W pewnym momencie takie skumulowane braki w posiadanej technicznej wiedzy non-security mogą stać się dla nas „szklanym sufitem” na drodze do dalszego rozwoju zawodowego. Nie chodzi tu wyłącznie o techniczne błędy jakie możemy popełnić, ale też pewne obciążenie psychiczne, związane ze świadomością swoich braków.
Silne Fundamenty Podstawą Rozwoju Kariery – Upewnij się, że je Posiadasz
Proces specjalizacji w obszarze cyber security bardzo przypomina zmiany jakie zaszły w zawodzie lekarza przez ostatnie stulecia. Tutaj również rozwój wiedzy i technologii w tym obszarze doprowadził do utworzenia się bardzo wielu specjalizacji. Jednak analogii jest jednak znacznie więcej. Niezależnie od wybranej ścieżki, od każdego lekarza można oczekiwać chociażby wiedzy z zakresu anatomii, funkcjonowania poszczególnych układów w ciele człowieka i ich wzajemnych relacjach. Podobnie w przypadku specjalistów cyber security istnieje lista zagadnień, w których pewna biegłość pożądana jest niezależnie od wybranej ścieżki kariery. Warto o nich pamiętać, a nadrobienie braków traktować jako ważny element rozwoju.
Niezwykle przydatna jest wiedza z zakresu działania sieci komputerowych oraz dobra znajomość najważniejszych protokołów sieciowych. Ogólna wiedza na temat współcześnie wykorzystywanych algorytmów kryptograficznych również jest nieodzowna. Warto wiedzieć na jakie kategorie można te algorytmy podzielić i jakie praktyczne zastosowania oferuje każdy z tych typów.
Dobrze jest mieć rozeznanie w działaniu systemów operacyjnych. Zwłaszcza funkcjonowanie modelu pamięci wirtualnej, rozumienie czym są procesy oraz wątki, w jaki sposób dokonywana jest separacja kodu i danych działających aplikacji oraz jak aplikacje mogą wchodzić w interakcje między sobą oraz z samym systemem operacyjnym.
Praktyczna wiedza z zakresu programowania czy też tworzenia skryptów od pewnego czasu również wydaje się być nieodzowna. Pozwala ona poprzez tworzenie własnych rozszerzeń do aplikacji lub autorskich skryptów na obejście ograniczeń jakie mogą pojawić się w nawet najbardziej wyspecjalizowanych narzędziach. Drugim ważnym aspektem zyskującym ostatnio na znaczeniu jest rzecz jasna automatyzacja różnych zadań, która może znacząco podnieść efektywność naszej pracy
Naturalnie w zależności od konkretnej roli i obszarów specjalizacji pewne wspólne zagadnienia są mniej lub bardziej krytyczne. Z pewnością znajdą się również osoby przeświadczone o tym, że bez danej umiejętności nadal mogą z powodzeniem rozwijać swoją karierę w cyber security. Z uwagi na wielkość „Skill gap” w branży mogą mieć oni oczywiście rację, jednak deficyt wiedzy może ujawnić się w najmniej sprzyjających okolicznościach.
Rozwijasz się? Branża Cyberbezpieczeństwa Jest na Ciebie Otwarta.
Deficyt kandydatów nie oznacza jednak, że firmy są na tyle zdesperowane, żeby zatrudniać na stanowiska związane z bezpieczeństwem cybernetycznym każdego kto prześle im swoje CV. Ryzyko wynikające z możliwości popełnienia błędów w tym obszarze jest zbyt duże, aby przed dokonaniem zatrudnienia danej osoby nie zweryfikować jej doświadczenia i praktycznych umiejętności. Nie oznacza to, że perspektywiczni kandydaci, którzy chcą się w temacie cyber security rozwijać nie znajdą zatrudnienia. Bardzo wiele firm świadomych deficytu specjalistów stara się pozyskać doświadczonych pracowników bezpośrednio z rynku pracy uzupełniając swoje zespoły osobami z mniejszym doświadczeniem, które będą wspierane w rozwoju poprzez mentoring oraz liczne szkolenia.
Wysoka specjalizacja w branży cyber security to również zaleta dla osób, które dopiero zaczynają. Pracodawcy wymagają naturalnie posiadania odpowiedniej wiedzy ogólnej na temat bezpieczeństwa i IT, ale ich oczekiwania skupiają się na konkretnym zagadnieniu, którym kandydat ma się na co dzień zajmować. Oznacza to, że każdy może spróbować znaleźć niszę, która najbardziej mu odpowiada. W przypadku osób, które pracowały już w IT, ale na stanowiskach niezwiązanych z bezpieczeństwem, najczęstsza ścieżka rozwoju to zajęcie się dotychczasową tematyką. Tyle, że z perspektywy cyber security. Bardzo wiele osób w branży to właśnie byli administratorzy oraz programiści.
Wybierając Szkolenie Uważaj na Naciągaczy!
Niezależnie od etapu kariery, na którym się znajdujesz, w pewnym momencie mogą rodzić się pytania: które szkolenia z obszaru cyber security powinienem wybrać? Które szkolenia pomogą mi znaleźć lepszą pracę, awansować? Które szkolenia zwiększą moje umiejętności? Na jakie kryteria powinienem zwracać uwagę przy wyborze szkoleń?
Pytania te nie są bez znaczenia. Deficyt pracowników w sektorze cyberbezpieczeństwa spowodował duże zainteresowanie tym kierunkiem wśród osób dopiero wybierających ścieżkę kariery oraz wśród osób chcących przekwalifikować się z dotychczasowej profesji. To zainteresowanie wpłynęło na wzrost liczby podmiotów oferujących szkolenia i kursy cyber security. Wśród bardzo szerokiej oferty można znaleźć te wyjątkowo wartościowe, które przekazują wiedzę w bardzo przystępnej formie.
Niestety można również trafić na szkolenia o wątpliwej jakości, które za wygórowaną cenę sprzedają wiedzę, którą za grosze lub wręcz za darmo znaleźć można na wielu popularnych platformach edukacyjnych. Co gorsza, niektóre oferty na rynku szkoleń cyber security są zwykłym naciąganiem i próbują mamić osoby z poza branży wizjami, w których w kilka tygodni staną się etycznym hakerem, z gwarancją zatrudnienia. Jeśli tylko, rzecz jasna, kupią oferowany przez nich trening w cenie $3000. Trudno nie traktować takich ofert w kategoriach SCAM’u i żerowaniu na ludzkiej naiwności. Procesu zdobywania wiedzy i umiejętności nie sposób skompresować do kilkutygodniowego szkolenia. Wybierając drogę na skróty niczego nie zyskamy.
Kryteria Wyboru Szkolenia Cyber Security
Umiejętność wyboru właściwego szkolenia cyber security zadecyduje o tym, czy będziesz rozwijać się w obranym przez siebie kierunku i osiągniesz zamierzone cele zawodowe, a Twoja kariera nabierze rozpędu. Zakładając, że zidentyfikowałeś tematykę, którą jesteś zainteresowany, na jakie cechy powinieneś zwrócić uwagę, szukając szkoleń najlepiej dopasowanych do swoich aktualnych potrzeb? Poniżej przedstawiamy najważniejsze kryteria, które warto rozważyć.
1. Forma Szkolenia Cyber Security
Kryteriów wyboru jest bardzo wiele, a w przypadku części z nich o naszej ocenie decydować będą po prostu nasze indywidualne preferencje. Dotyczy to chociażby formy w jakiej realizowane będzie szkolenie.
Kursy z obszaru cyberbezpieczeństwa mogą być zarówno zestawem nagrań wideo, dotyczących danego tematu, ale mogą przyjąć również postać e-learningu, w którym wykorzystywane mogą zostać bardzo odmienne formy prezentacji wiedzy. Tego typu kursy mają zwykle tę zaletę, że poszczególni uczestnicy mogą realizować przygotowany przez instruktorów materiał w wybranym przez siebie czasie i preferowanym przez siebie tempie (tzw. szkolenia self-paced).
Dla zainteresowanych większą dawką wiedzy oraz interakcją z trenerem i innymi uczestnikami przeznaczone są kursy przybierające formę bootcampu. Jest to swoista „szkolna klasa”, w przypadku której grupa uczestników przechodzi przez cykl wykładów (czasem również laboratoriów) z trenerem. Zajęcia mogą być realizowane na żywo oraz online.
2. Ile Praktyki, a Ile Teorii w Szkoleniu?
Drugim istotnym aspektem dotyczącym kursów jest proporcja pomiędzy ilością wiedzy teoretycznej i praktycznej, jaką uczestnik może nabyć. Część kursów, zwłaszcza podstawowych i stanowiących wprowadzenie do danego obszaru, koncentruje się mocno na przekazaniu wiedzy teoretycznej. W miarę wzrostu poziomu zaawansowania szkoleń rośnie również nacisk na aspekt praktyczny.
Najbardziej zaawansowane szkolenia to przede wszystkim praktyka i doskonalenie warsztatu uczestników poprzez mierzenie się z wyzwaniami opartymi o prawdziwe przypadki. Część praktyczna, zwana zwykle laboratoriami, realizowana może być z wykorzystaniem komputerów uczestników w przypadku kursów prowadzonych na żywo. Popularność zyskują jednak wyspecjalizowane platformy, które oferują wysoki realizm oraz wygodę, których nie sposób osiągnąć w modelu BYOC (Bring Your Own Computer). Przykładem takiej platformy jest cyberpoligon CDeX. O tym ile praktyki, a ile teorii znajduje się w danym szkoleniu, dowiesz się analizując szczegółowym opis danego szkolenia oraz zapoznając się z opiniami innych uczestników.
3. Poziom Zaawansowania Szkolenia Cyber Security
Poziom zaawansowania danego szkolenia to oczywisty parametr wart mimo wszystko zaznaczenia. Uczestnictwo w niedopasowanym pod tym względem szkoleniu na wczesnym etapie kariery może skutkować dużą frustracją i przytłoczeniem nadmiarem nowych informacji.
Wiedzę o tym czy dany trening nie jest dla nas zbyt zaawansowany możemy uzyskać analizując sylabus danego treningu, zapoznając się z wstępnymi wymaganiami stawianymi uczestnikom oraz czytając opinie na temat danego szkolenia. Podobne kroki warto podjąć również wtedy, gdy posiadamy już spore doświadczenie i chcemy uniknąć sytuacji, kiedy większość materiału będzie stanowić dla nas jedynie powtórkę tego, co świetnie już znamy.
Treningi CDeX
4. Aktualność Materiałów Szkoleniowych
Atrybutem wartym sprawdzenia przed dokonaniem wyboru to gwarancja aktualizacji materiałów dostarczanych wraz z treningiem. Wielu dostawców szkoleń nie przewiduje wprowadzania aktualizacji do materiałów po zakończeniu treningu, jednak część z nich oferuje takie aktualizacje przez określony przedział czasu. Czasem jest to pół roku, a czasem nawet kilka lat. Istnieją jednak sytuacje, kiedy dostawca treningów oferuje nieustanne aktualizowanie materiałów. Taka polityka dostarczania materiałów treningowych występuje u firm oferujących swoje treningi w formie subskrypcji.
5. Śledzenie Postępów w Nauce
Na pierwszym rzut oka nikt nie chce poczuć się podczas szkolenia jak uczniak, którego postępy uważnie śledzą zarówno nauczyciele jak i rodzice. Jednak po rozpoczęciu szkolenia, w które zainwestowaliśmy nasze (lub naszego pracodawcy) fundusze w pewnym momencie zaczniemy zadawać sobie pytanie „w jakim stopniu opanowaliśmy nową wiedzę?” lub „czy jesteśmy już wyraźnie lepsi, niż byliśmy przed rozpoczęciem szkolenia?”.
Z pomocą przyjść nam mogą zintegrowane ze szkoleniem mechanizmy śledzące nasze postępy. Mogą przybierać one zarówno postać krótkich quizów wyświetlanych na koniec każdego rozdziału, aż po rozbudowane performance reports, gromadzące liczne metryki związane z naszymi działaniami w środowisku laboratoryjnym.
6. Opłata za Szkolenie czy Miesięczna Subskrypcja?
To właśnie model finansowy jest kolejnym istotnym parametrem o jakim warto pamiętać. W modelu subskrypcyjnym klient zainteresowany zdobywaniem wiedzy zobligowany jest do uiszczania stałej, zwykle miesięcznej (czasem kwartalnej lub rocznej) opłaty za dostęp do platformy treningowej oraz materiałów. To podejście powoduje, że koszty rozłożone są w czasie, a z drugiej strony praktycznie od razu klient otrzymuje dostęp do ogromnej bazy wiedzy i laboratoriów.
Warto jednak zwrócić uwagę na występowanie trzech istotnych czynników, które często obniżają znacząco atrakcyjność rozwiązań dostępnych w formie subskrypcji. Po pierwsze – minimalny okres w jakim obligujemy się do płacenia za dostęp do platformy. Po drugie – dodatkowe koszty, czyli elementy, które jak sądziliśmy wliczone są w bazową cenę, a w rzeczywistości trzeba za nie dodatkowo zapłacić (np. egzaminy).Po trzecie – ilościowe ograniczenia użytkowania rozwiązania, np. limit materiałów jakie można obejrzeć w ciągu miesiąca czy ilość laboratoriów jakie można w takim okresie uruchomić. Znacznie czytelniejsze zasady użytkowania występują w klasycznym modelu finansowym, w którym uczestnik wykupuje za pełną kwotę dostęp do całego treningu.
7. Szkolenie od Dużego Vendora czy Niezależnego Dostawcy?
Wybór dostawcy szkolenia to kolejne kryterium. Podobnie jak w całej branży IT, tak i w cyber security, treningi można podzielić na te oferowane przez znane marki posiadające szeroki portfel produktów oraz na treningi oferowane przez firmy zajmujące się głównie tematyką cyber security, albo wręcz zajmujące się prawie wyłącznie dostarczaniem szkoleń z obszaru cyber security. Warto pamiętać o tym, że duże podmioty dostarczające szerokiej gamy rozwiązań często tworzą swoje szkolenia rozpatrując różne zagadnienia (w tym cyber security!) przez pryzmat oferowanych przez siebie technologii.
Jeśli jesteśmy zainteresowani pracą z rozwiązaniami danego dostawcy to takie szkolenia mogą być dla nas dużym plusem. Jednak jeśli chcemy zachować niezależność od konkretnych rozwiązań to możemy się zdziwić, że podczas treningu pewne rozwiązania zostały arbitralnie pominięte. Warto również uważać na to, czy dany trening od dużego dostawcy nie jest de facto szkoleniem z obsługi jednego z jego rozwiązań dotyczących cyber security.
8. Cena Szkolenia Cyber Security
Cena to ostatni parametr na liście. Kryterium to jest wynikową wszystkich wcześniej omówionych parametrów. Komercyjne szkolenia w najprostszym wariancie mogą kosztować nas zaledwie kilkanaście dolarów. Za taką kwotę możemy uzyskać w modelu subskrypcyjnym miesięczny dostęp do bogatych materiałów szkoleniowych, lub też wykupić na stałe dostęp do pojedynczego kursu w formie nagrań wideo.
Na drugim biegunie znajdują się szkolenia, za które przyjdzie nam zapłacić nawet 7000 dolarów, a razem z dodatkowymi kosztami takimi jak podróż do ośrodka szkoleniowego oraz zakwaterowanie sumaryczny koszt może zbliżyć się do pięciocyfrowej sumy! Łatwo się domyśleć, że za tak pokaźną kwotę dostaniemy ekskluzywną ofertę, która obejmować będzie nie tylko tygodniowy trening live w niewielkiej grupie pod okiem instruktora z udokumentowanym dorobkiem, ale również voucher na egzamin certyfikujący, dostęp do regularnie aktualizowanych materiałów oraz dostęp do rozbudowanych laboratoriów. Taka oferta brzmi atrakcyjnie, ale należy mieć świadomość, że w tej cenie możemy nabyć cały zestaw różnorodnych szkoleń od kilku dostawców, które sumarycznie przyniosą nam dużo wiedzy i umiejętności.
Szkolenia online oparte o bogate materiały w formie e-learningu oraz posiadające wartościowe laboratoria systematyzujące zdobywaną wiedzę można kupić za kwotę z przedziału 1000-2000 dolarów. Podobne kwoty wchodzą w grę w przypadku firm oferujących szkolenia w formie 2-3 dniowych klas przy czym zwykle część praktyczna realizowana jest w ograniczonym stopniu z wykorzystaniem komputerów uczestników szkolenia.
To jakiego wyboru dokonamy zależy nie tylko od zasobności naszego portfela (czy też firmowego budżetu szkoleniowego), ale również naszych bieżących potrzeb. Jeden, bardzo kosztowny i rozbudowany kurs, może być dobrym wyborem, jeśli chcesz skupić się na danym temacie przez kolejne lata pracy zawodowej. Zestaw kilku rozbudowanych szkoleń online może być za to trafną decyzją, jeśli potrafisz samemu zmotywować się do nauki, chcesz zdobyć solidne umiejętności w tych kilku obszarach oraz rozłożyć wydatki w czasie. Z kolei wykupienie dostępu do bogatej biblioteki materiałów szkoleniowych w modelu subskrypcyjnym może okazać się świetnym wyborem, gdy w swojej codziennej pracy często zdarza Ci się mieć potrzebę szybkiego zapoznania się z jakimś specyficznym zagadnieniem.
Na co Zwrócić Uwagę przy Wyborze Szkolenia z Cyberbezpieczeństwa: Podsumowanie
Nie istnieje jedna, dobra odpowiedź na pytanie „Które szkolenie z cyber security wybrać?”. Istnieje wiele kryteriów oceny, których warto być świadomym. Część z tych kryteriów jest uniwersalna, ale wiele z nich zależy od naszych indywidualnych preferencji, posiadanego doświadczenia, etapu na jakim znajduje się nasza kariera oraz od tego, czym obecnie się zajmujemy lub chcemy zajmować się w przyszłości. Podejmowanie decyzji w sposób impulsywny w oparciu np. o reklamę w mediach społecznościowych może nie być najlepszym wyborem. Warto zadać sobie nieco trudu i przeanalizować własne potrzeby oraz zapoznać się z opisem zawartości i opiniami na temat szkoleń, które znalazły się w kręgu naszych zainteresowań. Żadna minuta poświęcona na rozważania, który trening wybrać nie jest czasem straconym.
