Kibernetske varnosti se ne (na)uči v šoli

Obseg groženj s področja kibernetske varnosti se vsako leto povečuje, podjetja pa poročajo o pomanjkanju kvalificiranih kadrov, ki bi se jim ustrezno zoperstavili. Priprava naslednje generacije strokovnjakov za kibernetsko varnost ni hitro rešljiva naloga, zato bo treba zanjo strateško poskrbeti.

Kibernetska varnost je po vsem svetu skrb vzbujajoča, saj podjetja želijo izdelovati varne izdelke in varovati poslovne podatke. Težava pa je v tem, da je kibernetska varnost razmeroma novo področje, zato zanjo preprosto ni dovolj usposobljenih kadrov. Obstajajo sicer različne iniciative po svetu, ki pričajo o tem, kako svet potrebuje varnostne strokovnjake, a se šolski sistem močno povečanemu povpraševanju še ni prilagodil. Oziroma se sploh ni, če vprašate strokovnjake, ki zagovarjajo tezo, da bi se morali mladi kibernetski strokovnjaki kaliti in vzgajati že v srednji šoli.

Dodatno težavo pa predstavlja dejstvo, da krajina kibernetske varnosti postaja vse bolj zapletena, spremembe pa hitrejše, kar v praksi pomeni, da tisto, kar se naučimo danes, morda že jutri ne bo dovolj za rešitev nove težave.

Štejejo praktične izkušnje

Kibernetska varnost je tako le redko na programu dodiplomskih študentov, če ti ravno ne študirajo ved s področja informacijske tehnologije. Kako bi le bila, če študentom niso na voljo ustrezni mentorji. Takšni, ki bi poleg teoretičnega znanja premogli še praktično. Tako se tudi študenti na fakultetah za računalništvo učijo predvsem programirati, kodirati in razvijati aplikacije, dela s podatki idr., varnostni vidik pa je med celotnim študijem na stranskem tiru. Prav zato so takšni kadri za podjetja manj zanimivi, saj morajo še svežega diplomiranca marsikaj sama naučiti – in to predvsem na področju zagotavljanja kibernetske varnosti. Novinci v svetu programiranja nimajo skoraj nobenih praktičnih izkušenj, kako narediti svoje izdelke trpežne, odporne proti napakam in predvsem varne.

Razmišljati kot hekerji

Študente je torej treba najprej naučiti, naj razmišljajo kot hekerji, šele tako bodo lahko v celoti dojeli ustvarjanje varnih aplikacij. Podjetja si namreč želijo strokovnjakov, ki se znajo proaktivno lotiti področja varnosti, saj je to zanje znatno ceneje od iskanja in krpanja lukenj, ki lahko podjetju povzročijo veliko škodo. Stroški odpravljanja varnostnih ranljivosti so namreč tedaj, ko se rešitev že uporablja na trgu, veliko višji kot v fazi razvoja. Razvijalci morajo varno programirati že v zgodnjih fazah, saj le tak pristop vodi do zmanjšanja težav v nadaljevanju.

Hkrati ta način pripomore tudi k ustvarjanju kreativnega pristopa do kibernetske varnosti, študenti morajo razumeti, da pri kibernetski varnosti ne gre samo za tehnični vidik. V realnem svetu je pač tako, da mora varnostni strokovnjak razmišljati predvsem o tem, kako preprečiti napade, ki se še niso zgodili. Tu pa so novinci precej šibki. Čeprav se posameznik lahko dobro zaveda varnostnih tehnologij in konceptov, morda ne razume, kako uporabiti varnostno logiko v poslovnem kontekstu. Izdelki in aplikacije so postali vse bolj izpopolnjeni, zato podjetja za odpravljanje težav z njimi potrebujejo več kreativnosti in spretnosti zaposlenih.

V iskanju mehkih veščin

Ob zaposlovanju strokovnjaka za kibernetsko varnost se tako kadrovski oddelek kot direktor informatike pogosto osredotočita na tehnična znanja. Skoraj nihče pa ne preverja mehkih veščin kandidatov za delovno mesto na področju kibernetske varnosti. Teh namreč v visokošolskih programih ne učijo. A prav strokovnjaki za kibernetsko varnost potrebujejo močne komunikacijske in medosebne spretnosti, saj največjo grožnjo kibernetski varnosti predstavljajo prav drugi ljudje. Varnostne politike, usposabljanja za varnost pred napadi socialnega inženiringa in raba do uporabnikov prijaznih sistemov so pogosto celo bolj pomembni kot kakršnokoli specifično tehnično znanje.

Ne nazadnje so t. i. mehke večine potrebne tudi za to, da oddelek IT pridobi ustrezen proračun, učinkovito komunicira o grožnjah in obvešča vodstvo ter druge deležnike o trendih kibernetske varnosti. Te veščine so potrebne tudi za to, da varnostni strokovnjak sočutno nastopa do drugih zaposlenih in sooblikuje uporabnikom prijazne ter varne sisteme in rešitve.

Iskanje talentov med obstoječimi kadri

Očitno je, da bo šolski sistem potreboval več let ali celo desetletij, da bo začel dostavljati kakovostne kadre s področja kibernetske varnosti. Podjetja pa se bodo morala ustrezno znajti že prej. Podjetja z lastnimi IT-oddelki in drugimi tehničnimi profili zaposlenih se lahko iskanja bodočih varnostnih strokovnjakov lahko lotijo kar z iskanjem talentov med obstoječimi kadri. Tako lahko organizirajo kakšen interni hekaton, seminar, delavnico, tečaj poklicnega razvoja oziroma več njih ter tako zaposlenim predajajo več znanja s področja kibernetske varnosti ter prepoznajo posameznike, ki se na tem področju znajdejo. Ne nazadnje se morajo tudi obstoječi varnostni strokovnjaki stalno izobraževati in dodatno usposabljati.