La "Mentalidad de Seguridad" de Schneier: cómo la experiencia práctica moldea la formación en seguridad informática

Schneider formula la tesis central: "Wer gut in Informationssicherheit sein will, muss tiefes fachliches Verständnis mit einem besonderen Spürsinn für ausnutzbares Verhalten kombinieren." Esta combinación de teoría e intuición no puede desarrollarse solo a partir de libros de texto, como subraya el autor.

CTFs y laboratorios de hacking como espacios de aprendizaje

El comentario señala que, si bien los detalles técnicos de seguridad pueden aprenderse de libros de texto, entradas de blog o vídeos tutoriales, para la Mentalidad de Seguridad se necesita sobre todo un contacto práctico con el tema. En los primeros días de la informática, la mayoría de los expertos y expertas llegaron al campo como personas que cambiaron de profesión a través de experiencias prácticas, explica Schneider.

Para posibilitar esas experiencias de forma legal y en un entorno protegido, se han consolidado los retos de hacking y las competiciones CTF. En un CTF, los equipos reciben software deliberadamente defectuoso. Lo arrancan y lo interconectan, y luego intentan simultáneamente corregir los fallos en su propio sistema y aprovecharlos en los equipos rivales, describe el autor el proceso.

Mientras tanto, los CTFs también han llegado a la enseñanza académica. "Jede Hochschule, die IT-Security lehrt, hat ein Hacking Lab oder zumindest CTF-artige Aufgaben in den Übungen ihrer Sicherheitsmodule", escribe Schneider. Con ello, la formación universitaria ha encontrado un formato cercano a la práctica que va más allá de la pura teoría.

Del laboratorio aficionado a la industria

En paralelo a la academia, plataformas como "Hack the Box" y "Try Hack Me" han facilitado a muchas personas la entrada práctica en el mundo de la seguridad. Estas ofertas se dirigen expresamente también a personas que cambian de profesión sin formación formal en seguridad, destaca el comentario.

También en la industria ha aterrizado el concepto, en forma de Cyber Ranges como instrumento de formación continua. Schneider lo ve como una prueba de que la necesidad de entornos de entrenamiento realistas ha crecido más allá de las universidades y las plataformas aficionados, reaching empresas y organismos públicos.

El comentario cierra con la pregunta de qué formatos de aprendizaje serán necesarios en el futuro para formar a la próxima generación de expertas y expertos en seguridad. Schneider no ofrece una respuesta concluyente, pero anima a seguir ajustando el equilibrio entre una base teórica y la experiencia práctica.

El artículo completo está disponible para las suscriptoras y los suscriptores de heise-Plus. Forma parte de una serie de publicaciones en las que heise Plus debate cuestiones fundamentales de la formación en seguridad informática.

El comentario de heise-Plus se inscribe en un debate más amplio sobre la transformación del sector de la seguridad informática. Ante las nuevas amenazas y las crecientes exigencias al personal especializado, se discute cómo deben adaptarse los conceptos de formación, escribe el autor.