DOMANDA Intelligenza Artificiale, Sicurezza del Software o altri percorsi?

[finmat92]

Salve a tutti popolo del forum,
avviandomi al mio ultimo anno della triennale di informatica, con possibilità di scegliere un percorso magistrale tra diversi curriculum, mi e vi pongo questa domanda, essendo che essa riguarda più percorsi non potevo metterla in Sicurezza perchè si potrebbe parlare anche di altro. Magari ci sono altri (EX) studenti universitari qui che vogliono discutere per arricchire la discussione o approfittarsene per esporre i propri dubbi, ben vengano.
Personalmente ho iniziato la carriera universitaria essendo relativamente certo del settore lavorativo, ossia l'informatica intesa come macro-area, dove volevo lavorare senza però un chiaro obiettivo ben definito.
La triennale si sta rivelando e si è rilevata una base più che sufficiente per avere una infarinatura base a 360 gradi dei vari aspetti dell'informatico. Attenzione, ho detto base, quindi molti concetti non sono stati introdotti e/o spiegati perchè più specifici o per scelta della facoltà (sigh). E quindi io mi trovo adesso a dover compiere delle scelte:

1- Proseguire o meno con il percorso di studio magistrale. Se ne vale la pena o bastano altri corsi formativi anche fuori dall'università altrettanto equivalenti, che costano magari meno, che sono offerti da aziende affidabili con la promessa/garanzia di assunzione. E se ne vale la pena valutare ANCHE di cambiare ateneo, magari ce ne sono altri, anche fuori dal paese, che offrono dei signor Corsi.

2- Se scegliessi tale percorso, quale curriculum intraprendere? perchè c'è una sorta di "trade-off" che mi sono accorto esserci quando si parla di Ciò che ti piace VS Ciò che ti serve. La mia università offre attualmente i seguenti curriculum (li metto tutti per esaustività):
> DATA SCIENCE & ENGINEERING - ARTIFICIAL INTELLIGENCE
Quindi, appunto, intelligenza artificiale con Machine Learning base e avanzato, computazione su larga scala e altamente performante, sistemi multiagente e protezione dei dati. Questo è il riassunto dei corsi più importanti e attinenti al curriculum.
> DATA SCIENCE & ENGINEERING - VISUAL COMPUTING
Sempre presente il Machine Learning base, processo dei segnali e immagini digitali, computer grafica, visione computazionale, giochi per computer, modellazione geometrica. Anche qui citati solo i corsi più attinenti.
> DATA SCIENCE & ENGINEERING - DATA-CENTRIC COMPUTING
Ergo elaborazione, manipolazione, studio dei dati nell'ottica dell'analista dei dati con Machine Learning base, analisi di rete, immagazzinamento dei dati, computazione su larga scala, progetti di analisi aziendale, ingegneria del software per analisi dei dati. Anche qui stesso discorso.
> SOFTWARE SECURITY & ENGINEERING - SOFTWARE ENGINEERING
Ambito dell'ingegnere del software con Machine Learning base, sviluppo mobile, gestione progetti IT, analisi dei dati, computazione su cloud e virtualizzazione, tecniche di testing di sicurezza e funzionalità, protezione dei dati e della privacy, sistemi multiagente, gestione avanzata dei dati, computazione distribuita.
> SOFTWARE SECURITY & ENGINEERING - SOFTWARE SECURITY
Per il settore della sicurezza del software con corsi riguardanti il Machine Learning base, analisi dei dati e reti, digitale forense (non so come tradurlo altrimenti), sviluppo mobile, protezione dei dati e della privacy, tecniche di testing di sicurezza e funzionalità, computazione su cloud e virtualizzazione, computazione distribuita e analisi binaria e sicurezza del codice.

Da quel che personalmente so, e so di sapere veramente poco, l'ambiente della sicurezza informatica pare essere un EVERGREEN, quindi un percorso che poi porta ad avere diversi sbocchi professionali, è un ambito sempre richiesto un po' da tutte le aziende, anche quelle non puramente informatiche. Messa così sembra essere una prospettiva allettante, ma vorrei magari sentire i pareri chi ci è passato o ci sta passando, così che possa avere un quadro generale più completo, perchè certamente ci sono dei lati negativi che vorrei conoscere. Banalmente uno potrebbe essere il finire a ricoprire un ruolo e trovarsi a fare delle cose che, a livello di macro-area è sempre quell'ambito lì, potrebbero stuccare/annoiare/essere poco stimolanti e interessanti e non essere quello che ci si aspettava. Per fare un esempio a me della sicurezza ha attirato una certa curiosità la crittografia, i protocolli di sicurezza (DES-3DES-AES, giusto per citarne qualcuno), però difficilmente ci saranno aziende dove simili protocolli non sono già stati correttamente e dovutamente implementati da chi ha anche più praticità ed esperienza. E non conosco neanche le aziende, le organizzazioni e le realtà che operano molto in questo settore se non i marchi più grandi tipo Leonardo in Italia, per cui so di deficitare anche dal lato conoscitivo mercato del lavoro.
L'altro ambito che personalmente mi attira di più come interesse è l'intelligenza artificiale, anche se guardando i corsi presenti, alcuni sembrano non trattarla proprio, altri in maniera un po' laterale e, in generale, non pare essere un settore EVERGREEN come la sicurezza informatica, e non pare essere così diffusa la figura dell'esperto dell'intelligenza artificiale anche se ci sono prospettive per il futuro (che comunque rimane un mezzo azzardo).

Ecco per una persona che vorrebbe entrare nel mondo del lavoro ed è indeciso e non vuol spendere 3000-4500 euro di tasse universitarie + trasporto/vitto/alloggio e 2/3 anni di vita dietro a delle slides e degli IDE a casa sarebbe utile ascoltare dei consigli spassionati, sia da chi è semplicemente interessato sia da chi si trova dentro certe realtà. Per me, ma immagino anche per tante altre persone che non hanno scelto il percorso universitario ma sono comunque, almeno potenzialmente, interessati a questi ambiti. E poi, ripeto, se la discussione divergerà anche su altri ambiti qui citati ben venga pure. Mi serve una bussola e delle certezze.

 

[Skills07]

Allora premesso che io sono un laureato alla triennale di Informatica e non Ingegneria Informatica.
Il nostro è un settore ampio, se la tua idea è quella di lavorare su suolo italiano, sappi che le aziende (poi dipende da regione a regione) non sono tutte avvezze alle nuove tecnologie informatiche.
Per quanto concerne la cybersecurity sono poche le aziende italiane specializzate in questo, occorrono certifiche esterne che non si intraprendono nello studio universitario.
Per AI diciamo è un settore in crescita ma non si sa ancora benissimo che strada prenderà e se ci sarà qualche colosso italiano che investa in tal settore.
Io attualmente con il mio percorso di studi come carica ad esempio ho Head Of Development, mi occupo di gestire un sacco di progetti web/mobile etc, gestisco un team di sviluppatori, e ho anche certificazioni in ambiente AWS, mi sono specializzato in deploy automatici con docker, kubernetes etc etc.
Dipende tutto da cosa si vuol fare.

 

[ilfe98]

Ciao,
Provo a rispondere un po' alle tue richieste.
Io sto terminando il mio pecorso di studi in ingegneria informatica(magistrale). Il percorso che ho scelto è IA su larga scala(computer vision ,sistemi di ai scalabili e di grande "calibro").
La mia facoltà permette di scegliere con molta libertà gli esami che faranno parte del percorso di studi. Ho pertanto aggiunto al mio curriculum nozioni sul cloud computing, nlp e nlu, automotive e neuroscienza.
Il lavoro di ai engineer non è semplice, prevalentemente poichè la comprensione che si ha delle ai è veramente bassa. Di conseguenza anche i posti di lavoro non sono tantissimi, di quei pochi molti non sono realmente legati ad ambiti ai. Tuttavia è un settore fortemente dinamico, sia dal punto di vista lavorativo che nozionistico: devi sempre rimanere con gli occhi aperti ed il cervello elastico.
Le figure che possono ricoprire i ruoli richiesti son poche pertanto se hai un buon curriculum sono le aziende a contattarti, ma questo funzionerà ancora per poco.

L'ambito di sicurezza è certamente sempre richiesto,c'è tuttavia un gran problema. Lavorativamente parlando contano le certificazioni. L'università viene quasi snobbata. Pertanto se intedi fare qualcosa di questo tipo sappi che dovrai sborsare.

Una posizione affascinante è il data scientist. Si occupa di gestire flussi di dati utilizzando tecniche varie includendo machine learning e deep learning. È un lavoro ben pagato e richiesto, persino più dell'ambito sicurezza. C'è anche qui un contro la parte che richiede più tempo è quella di data management. Quindi reperire dati,pulirli,validarli,etichettarli e classificarli, solo infine puoi elaborarli per ottenere il risultato. La parte più rognosa è ovviamente la prima, che richiede fino al 90% del tempo utilizzando anche verifiche manuali e/o a campione.


Il visual computing è un settore di nicchia, è bellissimo e ben pagato, ma i posti sono veramente veramente pochi.

 

[finmat92]

La mia facoltà permette di scegliere con molta libertà gli esami che faranno parte del percorso di studi. Ho pertanto aggiunto al mio curriculum nozioni sul cloud computing, nlp e nlu, automotive e neuroscienza.

Ciao, anche la mia permettere di sceglierne alcuni, però sempre legati alla macro-tematica.

Tuttavia è un settore fortemente dinamico, sia dal punto di vista lavorativo che nozionistico: devi sempre rimanere con gli occhi aperti ed il cervello elastico.

Immaginavo, qualcosa a considerare più come propedeutico nonostante sia un percorso universitario avanzato, nozioni più euristiche che esaustive e linee guida, da tenersi costantemente aggiornati con nuovi corsi.

Le figure che possono ricoprire i ruoli richiesti son poche pertanto se hai un buon curriculum sono le aziende a contattarti, ma questo funzionerà ancora per poco.

Da cosa deriva questa previsione?

L'ambito di sicurezza è certamente sempre richiesto,c'è tuttavia un gran problema. Lavorativamente parlando contano le certificazioni. L'università viene quasi snobbata. Pertanto se intedi fare qualcosa di questo tipo sappi che dovrai sborsare.

Ok, già questa informazione è assai utile, ci sono certificazioni migliori di altre? qualche esempio se possibile? sul fatto di sborsare conto che l'alternativa sono 3000-4500 euro solo di tasse universitarie + vitto/alloggio/trasporto.

Una posizione affascinante è il data scientist. Si occupa di gestire flussi di dati utilizzando tecniche varie includendo machine learning e deep learning. È un lavoro ben pagato e richiesto, persino più dell'ambito sicurezza. C'è anche qui un contro la parte che richiede più tempo è quella di data management. Quindi reperire dati,pulirli,validarli,etichettarli e classificarli, solo infine puoi elaborarli per ottenere il risultato. La parte più rognosa è ovviamente la prima, che richiede fino al 90% del tempo utilizzando anche verifiche manuali e/o a campione.

Ho avuto un tutor/assistente ad un corso, lui fa il ricercatore universitario, e riguardo la sua posizione da data analyst parlava di un lavoro si pagato ma con difficoltà a farlo diventare un lavoro stabile perchè chiamato sempre su richiesta, per la maggior parte dagli ospedali per fare analisi sui dati, con il lavoro che a volte c'è e molte altre volte non c'è.

Il visual computing è un settore di nicchia, è bellissimo e ben pagato, ma i posti sono veramente veramente pochi.

Immaginavo, inizi a contare qualcosa solo quando hai 10 master e 3 dottorati di ricerca presumo.

 

[DispatchCode]

L'ambito di sicurezza è certamente sempre richiesto,c'è tuttavia un gran problema. Lavorativamente parlando contano le certificazioni. L'università viene quasi snobbata. Pertanto se intedi fare qualcosa di questo tipo sappi che dovrai sborsare.

Ok, già questa informazione è assai utile, ci sono certificazioni migliori di altre? qualche esempio se possibile? sul fatto di sborsare conto che l'alternativa sono 3000-4500 euro solo di tasse universitarie + vitto/alloggio/trasporto.

Concordo con tutto ciò che ha detto ilfe98, ma non con questo.
A dirla tutta molte persone che conosco che lavorano nell'ambito security, che poi anche qui bisognerebbe specificare cosa, non solo non hanno mai conseguito una certificazione, ma non sono nemmeno laureate.

E io conosco sia pentester, persone che si occupano di "malware" e altri che si dedicano alla binary exploitation (alcuni anche non in aziende, ma per conto proprio). Alcuni si sono certificati in seguito, in azienda.

Quindi anche qui: non dico che il percorso migliore sia non andare all'Uni e non certificarsi, ma sapere che non c'è solo un'unica via e che altre strade sono possibili. Probabilmente se hai un profilo Linkedin, il fatto di avere 1 o più cert può aiutare in fase di selezione iniziale, specie se non hai esperienze lavorative (ai recruiter cade l'occhio sicuramente anche su quelle).

Le certificazioni ad ogni modo variano dal campo in particolare nel quale vuoi entrare, tra le più note e che hanno un buon nome ci sono quelle di Offensive Security e CISCO, ma anche eLearnSecurity si è fatta un buon nome.

QUI puoi leggere l'esperienza di uno che conosco e in generale vedere le altre risposte che sono state date all'utente riguardo ai "corsi sulla cyber security".

Immaginavo, inizi a contare qualcosa solo quando hai 10 master e 3 dottorati di ricerca presumo.

Devi anche considerare che siamo in italia... qui trovi tantissimi lavori come web developer o full stack. Ne è davvero pieno, almeno per ora.


Fatico a darti pareri sul percorso universitario migliore, non avendola fatta e avendo un percorso scolastico "un pò" differente. E non mi occupo di sicurezza /analisi dati / ML, ma di altro, sempre in campo informatico.

 

[Skills07]

si ma forse dimenticate una cosa, un full stack dev, e un web dev deve avere conoscenze sicure di sicurezza, non è che si programma a caso.
Non puoi rischiare di installare librerie vulnerabili o altro. O esporre chiavi in pubblico etc etc

 

[finmat92]

Concordo con tutto ciò che ha detto ilfe98, ma non con questo.
A dirla tutta molte persone che conosco che lavorano nell'ambito security, che poi anche qui bisognerebbe specificare cosa, non solo non hanno mai conseguito una certificazione, ma non sono nemmeno laureate.

E io conosco sia pentester, persone che si occupano di "malware" e altri che si dedicano alla binary exploitation (alcuni anche non in aziende, ma per conto proprio). Alcuni si sono certificati in seguito, in azienda.

Quindi anche qui: non dico che il percorso migliore sia non andare all'Uni e non certificarsi, ma sapere che non c'è solo un'unica via e che altre strade sono possibili.

Ok, ci sta assolutamente non concordare, più punti di vista aiutano senza dubbio.
Queste sono considerazioni personali basate su un bacino piuttosto ristretto di persone, non sono dati derivanti da studi di settore raccolti ed elaborati da organizzazioni o aziende, ora non so quante ne possa tu conoscere però bisogna anche cercare di inquadrare, a mio avviso, le reali possibilità.
Io personalmente ho scelto un indirizzo universitario perchè:
1- non sapevo nulla nè di programmazione nè del settore lavorativo
2- mi sta fornendo delle solide e certificate basi (come le fornirà poi nei percorsi magistrali per gli indirizzi specializzati presumo)
Sicuramente c'è gente preparata, assunta, e che magari ricopre un certo ruolo di rilievo all'interno di qualche azienda che non ha lauree o corsi nel CV, ma quanti sono?
Quanto è realistico che, cercando così a spanne nel mare delle opportunità, un reclutatore che nel CV non legge alcun titolo, ma solo un "made by myself" o "università di casa mia", si fida e ti assume?
Riuscire a lavorare senza questi pezzi di carta significa, almeno per com'è posta e come la vedo io, aver saputo sopperire alle lacune nozionistiche e pratiche da soli, quindi essere gente fuori dal comune, una sorta di genio (quasi). Sto parlando di prima esperienza lavorativa, altrimenti ci credo che basti quella per farsi assumere altrove.
Comunque buono a sapersi che ci sono aziende che prima assumono e poi forniscono loro i corsi, ne conosci qualcuna? giusto per avere qualche nome.

Le certificazioni ad ogni modo variano dal campo in particolare nel quale vuoi entrare, tra le più note e che hanno un buon nome ci sono quelle di Offensive Security e CISCO, ma anche eLearnSecurity si è fatta un buon nome.

QUI puoi leggere l'esperienza di uno che conosco e in generale vedere le altre risposte che sono state date all'utente riguardo ai "corsi sulla cyber security".

Apprezzatissimo, grazie, poi li guarderò nel dettaglio.

Devi anche considerare che siamo in italia... qui trovi tantissimi lavori come web developer o full stack. Ne è davvero pieno, almeno per ora.

Ma non mi sono mai posto limitazioni come il lavorare solo in Italia eh, non è che se ci sono reali opportunità all'estero ci sputo sopra o sono riluttante.

 

[DispatchCode]

si ma forse dimenticate una cosa, un full stack dev, e un web dev deve avere conoscenze sicure di sicurezza, non è che si programma a caso.
Non puoi rischiare di installare librerie vulnerabili o altro. O esporre chiavi in pubblico etc etc

Non mi trovo proprio d'accordo in toto.
C'è differenza dall'avere conoscenze di sicurezza informatica come pentest, analizzare del traffico di rete, un malware etc etc allo scrivere del codice sicuro (oltre che usare il buonsenso, tipo non "committare" chiavi in una repo o altre cose di questo tipo, come le pwd dei database o mettere pwd in chiaro in codice lato client).

Le conoscenze di sicurezza di un web dev si possono limitare al sapere cosa si sta facendo se si usano autenticazioni (anche se con i framework e gli SDK è tutto più "semplice", nel senso, è più complicato fare cose errate), come evitare una SQL Injection se si fanno query al db (ma anche qui, se si usano correttamente i framework, di solito non si hanno problemi) e situazioni analoghe che fanno parte della propria sfera professionale.

Chi fa sicurezza ha competenze specifiche in quel campo, a seconda anche dell'area specifica.

Per il discorso delle librerie vulnerabili: se scarichi con NPM qualcosa o la aggiorni, te ne accorgi forse dopo se ci sono problemi... o se ne accorge chi fa sicurezza (esempi a caso che ricordo NPM packages posing as speed testers install crypto miners instead, e anche questo più vecchio, Crypto-miner found hidden inside three npm libraries).
Anche qui, spesse volte già solo non prendere un pacchetto da github "a caso" può fare differenza; difficile ci siano malware in un pacchetto con 1k o più "stelline" su github e manutenuto da 15-20 persone.

Quando facevo il dev non ho mai avuto questi problemi.

Ok, ci sta assolutamente non concordare, più punti di vista aiutano senza dubbio.
Queste sono considerazioni personali basate su un bacino piuttosto ristretto di persone, non sono dati derivanti da studi di settore raccolti ed elaborati da organizzazioni o aziende, ora non so quante ne possa tu conoscere però bisogna anche cercare di inquadrare, a mio avviso, le reali possibilità.
Io personalmente ho scelto un indirizzo universitario perchè:
1- non sapevo nulla nè di programmazione nè del settore lavorativo
2- mi sta fornendo delle solide e certificate basi (come le fornirà poi nei percorsi magistrali per gli indirizzi specializzati presumo)
Sicuramente c'è gente preparata, assunta, e che magari ricopre un certo ruolo di rilievo all'interno di qualche azienda che non ha lauree o corsi nel CV, ma quanti sono?
Quanto è realistico che, cercando così a spanne nel mare delle opportunità, un reclutatore che nel CV non legge alcun titolo, ma solo un "made by myself" o "università di casa mia", si fida e ti assume?
....
Comunque buono a sapersi che ci sono aziende che prima assumono e poi forniscono loro i corsi, ne conosci qualcuna? giusto per avere qualche nome.

Non mi fraintendere: secondo me hai fatto benissimo a intraprendere il percorso universitario, e per motivi che vanno soprattutto oltre a quello di avere il titolo: in primis, hai competenze in più ambiti e competenze di base o più in svariati campi, il che ti porta ad avere un ventaglio di possibilità più ampio e poter avere basi di partenza più solide in tutti questi ambiti (a patto che si faccia l'Uni in un certo modo e studiando anche per conto proprio etc etc... insomma, solite cose xD).
Nel mio caso per esempio settori che richiedono conoscenze matematiche decenti (già da quarta/qiunta liceo) sono sicuramente qualcosa di non percorribile (quindi escludiamo sicuramente ML, crittografia, elaborazione di immagini etc etc).

Ciò che volevo far passare è che non è "o certificazione o non trovi lavoro nel campo sec" o "o laurea o non lavori in campo sec".

Per risponderti comunque: evito di fare nomi perchè sembra poi che "solo quelle aziende lo fanno". In realtà qualsiasi azienda medio-grande punta molto sulla formazione dei dipendenti; anche perchè alla fine è nel loro stesso interesse.
Non so dirti se alcune di esse poi richiedono "obbligatoriamente" una certificazione specifica, magari si (specie se vuoi dire fuori "tutti i nostri pentester sono certificati X").

Riuscire a lavorare senza questi pezzi di carta significa, almeno per com'è posta e come la vedo io, aver saputo sopperire alle lacune nozionistiche e pratiche da soli, quindi essere gente fuori dal comune, una sorta di genio (quasi). Sto parlando di prima esperienza lavorativa, altrimenti ci credo che basti quella per farsi assumere altrove.

Bisogna sicuramente studiare molto da soli, e spesso (sempre) da testi universitari, magari gli stessi usati nei corsi (e una miriade di materiale in lingua inglese anche, che è poi il 99% del materiale su cui studiamo).
In realtà serve meno genialità di quanto sembri... anche io pensavo non si potesse, poichè "la società" oltre che la mia famiglia mi portarono a crederlo ed ho trascorso anni terribili (anche perchè vivevo con i nonni avendo genitori divorziati, situazione un pò complicata diciamo). Spoiler: nel mio caso ho la terza media, il che rendeva tutto una montagna insuperabile.

Non nascondo sia stata dura, perchè sono partito da alcune piccole realtà della mia zona come software developer, ed ho dovuto studiare tanto, anche perchè il mio interesse non era fare il dev web, ma più cose relative a OS (kernel, driver magari), assembly, crash dump... etc etc. Quindi nel tempo libero post lavoro mi dedicavo a questo (per alcuni anni, poi non ce l'ho più fatta). Alla fine della fiera però sono arrivato a lavorare in cose che mi interessano davvero.

Posso anche aggiungere un'altra cosa: nel mondo dello sviluppo GitHub dà una gran mano, poichè i recruiter (e le aziende) guardano anche questo per capire cosa sai fare, cosa ti interessa etc etc. Nel mio lavoro attuale si è rivelato per esempio importante, specie uno dei miei progetti.

Quindi in generale, che tu voglia fare il dev o meno il consiglio è di trovare un modo per far vedere quello che sai fare (e che ti interessa anche): vuoi fare sicurezza? Vai su Hack The Box e linka il tuo profilo su Linkedin / CV, vuoi fare il dev / ML etc? Github et simili.

Ma non mi sono mai posto limitazioni come il lavorare solo in Italia eh, non è che se ci sono reali opportunità all'estero ci sputo sopra o sono riluttante.

Buona cosa, comunque anche il lavoro in remoto sta diventando una possibilità reale anche in italia.

 

[cdtux]

si ma forse dimenticate una cosa, un full stack dev, e un web dev deve avere conoscenze sicure di sicurezza, non è che si programma a caso.
Non puoi rischiare di installare librerie vulnerabili o altro. O esporre chiavi in pubblico etc etc

Questo se lo dimenticano tutti... in teoria dovrebbe essere così, poi in pratica nei portali delle multinazionali che fatturano miliardi/anno vedi errori su cose di base che si insegnano ai corsi 101 di programmazione web. Non oso nemmeno immaginare come siano messi a livello di ITsec.
Per non parlare dei corsi dove l'aspetto sicurezza è trattato in maniera superficiale, se non addirittura NON trattato
E' uno scenario desolante... il lato positivo è che c'è sempre lavoro per chi si occupa di sicurezza.

@finmat92
In ambito security ti devi necessariamente specializzare visto che è un settore vasto tanto quanto la medicina (per fare un esempio).
Il discorso laurea/certificazioni è relativo all'obbiettivo che ti poni (lavorativamente parlando) visto che in alcuni ambiti, come ad esempio il lavoro di un blue team in una azienda, sono sicuramente utili anche perchè ti forniscono competenze pratiche (alcune certificazioni in particolare), quindi non solo per il "pezzo di carta" da far vedere all'HR. In altri, come ad esempio il bug bounty (che sia web, android/ios, o altro), sono ininfluenti visto che al 99% sono tutti freelance.

PS non devi essere necessariamente un genio per lavorare nella sicurezza (sia con titoli, sia senza)

 

[Skills07]

no perdonami @DispatchCode non mi trovi d'accordo.
Un full stack dev, deve conoscere anche architetture di sistema.
Se installi qualcosa su cloud come AWS, Azure etc etc devi conoscere come blindare la tua piattaforma. La vulnerabilità è dietro l'angolo.
Non serve specializzarsi in pentester per forza.
Cioè io tutti giorni pubblico progetti diversi su infrastrutture diverse e prima di farlo, faccio analisi delle librerie e dipendenze onde evitare di caricare su m***a che potrebbe compromettere dati di un cliente importante.
Nell'informatica non esiste da nessuna parte il fatto che tu non debba conoscere cybersec.
La cybersec è alla base di ogni informatico.
Chi ignora queste cose è meglio che non faccia nessun mestiere legato all'informatica, dal Sistemista al super mega hyper dev ops, o cloud engenieer qual si voglia.

 

[DispatchCode]

no perdonami @DispatchCode non mi trovi d'accordo.
Un full stack dev, deve conoscere anche architetture di sistema.
Se installi qualcosa su cloud come AWS, Azure etc etc devi conoscere come blindare la tua piattaforma. La vulnerabilità è dietro l'angolo.
Non serve specializzarsi in pentester per forza.
Cioè io tutti giorni pubblico progetti diversi su infrastrutture diverse e prima di farlo, faccio analisi delle librerie e dipendenze onde evitare di caricare su m***a che potrebbe compromettere dati di un cliente importante.
Nell'informatica non esiste da nessuna parte il fatto che tu non debba conoscere cybersec.
La cybersec è alla base di ogni informatico.
Chi ignora queste cose è meglio che non faccia nessun mestiere legato all'informatica, dal Sistemista al super mega hyper dev ops, o cloud engenieer qual si voglia.

Se mi parli in questi termini allora si, ma ripeto, secondo me questo tipo di sicurezza è quella che rientra nelle tue competenze da dev (o devops anche).

Ciò che dico io è che le competenze che hai tu e devi avere tu di sicurezza non sono le competenze che ha uno che fa sicurezza, ma per esempio che si occupa di exploitation di qualche applicazione binaria, proprio perchè sono competenze diverse; ma idem chi fa pentest. Il dev non è detto sappia usare anche gli strumenti che usa chi fa pentest, proprio perchè sono professioni diverse.

Chiaro che nel campo dello sviluppo, come dicevo sopra, c'è un'area comune che chiami "sicurezza".

E come dice cdtux comunque, il mondo reale purtroppo è ben messo peggio di così. Anni fa, e non farò riferimenti, vidi anche delle sql injenction che erano già ben evidenti a causa di query fatte a c***o nonostante ci fosse il framework per farle. E queste sarebbero competenze base di sicurezza per uno che fa il dev.

 

[Skills07]

Noi abbiamo ereditato ora progetti di un'altra software house con query SQL injection

 

[finmat92]

E come dice cdtux comunque, il mondo reale purtroppo è ben messo peggio di così. Anni fa, e non farò riferimenti, vidi anche delle sql injenction che erano già ben evidenti a causa di query fatte a c***o nonostante ci fosse il framework per farle. E queste sarebbero competenze base di sicurezza per uno che fa il dev.

E nonostante questo, quando leggi gli annunci di lavoro, i requisiti richiesti, quando affronti le interviste che ti vanno a chiedere cose dell'altro mondo, cose iper-tecniche specifiche che le può sapere solo chi quel linguaggio di programmazione/framework lo ha creato e ci ha lavorato per 30 anni, hai la sensazione che a venir assunti sono solo i migliori, ovunque. SPOILER: è successo.

Un po' la filosofia del "if it works then don't touch it".

Buona cosa, comunque anche il lavoro in remoto sta diventando una possibilità reale anche in italia.

Sì, conosco un collega universitario che lavora in smartworking per un'azienda in California, ma le singole esperienze per me valgono quel che valgono, devo comprendere quanto siano "facilmente" raggiungibili certe opportunità, anche perchè se la gente ottiene certi posti grazie a delle raccomandazioni mica te lo dicono.

si faccia l'Uni in un certo modo e studiando anche per conto proprio etc etc... insomma, solite cose xD).

Già, mi sono dovuto rassegnare al fatto che quello che apprendo è una base e poco altro, cerco di prendere il buono dalle cose.

Non so dirti se alcune di esse poi richiedono "obbligatoriamente" una certificazione specifica, magari si (specie se vuoi dire fuori "tutti i nostri pentester sono certificati X").

Ok, lo lascio come punto in sospeso perchè se devo certificarmi a spese mie per conto mio con la certificazione scelta da me, vorrei prima avere delle certezze e non qualcosa che forse è richiesto e forse no, o forse sì ma vale molto meno di altre.

Posso anche aggiungere un'altra cosa: nel mondo dello sviluppo GitHub dà una gran mano, poichè i recruiter (e le aziende) guardano anche questo per capire cosa sai fare, cosa ti interessa etc etc. Nel mio lavoro attuale si è rivelato per esempio importante, specie uno dei miei progetti.

Quindi in generale, che tu voglia fare il dev o meno il consiglio è di trovare un modo per far vedere quello che sai fare (e che ti interessa anche): vuoi fare sicurezza? Vai su Hack The Box e linka il tuo profilo su Linkedin / CV, vuoi fare il dev / ML etc? Github et simili.

Sì, ho un profilo GitHub con dei progetti, tutti universitari o di derivazione universitaria su varie materie, ben impostati e dignitosamente funzionanti, ma non ho ancora il profilo specializzato in qualcosa che mostri chiaramente un mio specifico interesse rispetto al generale.

@finmat92
In ambito security ti devi necessariamente specializzare visto che è un settore vasto tanto quanto la medicina (per fare un esempio).
Il discorso laurea/certificazioni è relativo all'obbiettivo che ti poni (lavorativamente parlando) visto che in alcuni ambiti, come ad esempio il lavoro di un blue team in una azienda, sono sicuramente utili anche perchè ti forniscono competenze pratiche (alcune certificazioni in particolare), quindi non solo per il "pezzo di carta" da far vedere all'HR. In altri, come ad esempio il bug bounty (che sia web, android/ios, o altro), sono ininfluenti visto che al 99% sono tutti freelance.

Eh nonostante l'ambito security sia già di per se una specializzazione, o comunque così è offerta in ambito universitario magistrale.

Il fatto è che mi manca anche, come forse si è capito e come presumo essere la normalità per molti, questa visione dall'alto di cosa serve, dove è richiesto, quali sono le figure che lavorano nelle aziende, come lavorano, come sono organizzati, quali sono i ruoli specifici richiesti. Sembra banale una volta che le cose le sai, ma se non le sai e brancoli nel buio....è difficile prendere decisioni riguardo percorsi che non sai se essere veramente utili/formativi/ciò che fanno per te o no, percorsi che sono pensati per chi le idee le ha già chiare (giustamente). E' un po' come il castello di carte, o le radici di un albero o una piramide, parti dall'alto quando di scelta ne hai una e poi scendi fino alle foglie/basi e decidi di approfondire una cosa specifica rispetto ad altre. Diciamo che mi trovo ad un livello intermedio, il settore l'ho scelto ma devo iniziare a guardare quale sotto-settore attira/interessa di più per avere maggiori possibilità.

 

[cdtux]

In generale posso capire perfettamente lo spaesamento perchè in questo ambito non c'è un vero e proprio standard nelle posizioni che le aziende ricercano in italia (soprattutto quelle il core business non è l'informatica e/o la sicurezza informatica).
Basta anche solo andare a guardare un po di annunci relativi alla cyber security e al 99% quello che cercano è un sistemista o un tecnico IT un pochino più specializzato (stendiamo un velo pietoso sul livello degli stipendi).

Per avere una panoramica dei ruoli teorici (anche se è solo relativo al mercato USA) con relative competenze, dai un'occhiata qua: https://www.cyberseek.org/pathway.html
(Il federer role è quello da cui ipoteticamente parti, quindi puoi ignorarlo)
Anche se i ruoli sono sempre più sfumati, storicamente le figure professionali si dividono in blue team ("defence" e incident response) e red team ("attack" e bug bounty)
Tieni però presente che essendo l'informatica un settore in evoluzione costante, si possono creare dal nulla figure professionali nuove (vedi la sicurezza applicata alle "IA" alla chatgpt/bard).
Fossi in te, punterei ad avere delle basi solide (network, programmazione, inglese, ecc..) in modo da avere una forma mentis giusta e poi indirizzarti in seguito in un ambito specifico.
Poi sta a te, se preferisci seguire l'università (probabilmente la scelta migliore) o buttarti da subito su corsi specializzati/certificazioni

PS. su questo sito c'è una mappa visuale delle varie certificazioni (non solo specifiche della sicurezza): https://pauljerimy.com/security-certification-roadmap/

EDIT:
Dimenticavo... più prenderà piede l'IIOT nel "piano di produzione" più saranno importanti figure di "raccordo" specializzate anche nella sicurezza a livello PLC/edge<->network<->cloud. Anche se ho poca fiducia e prevedo un bagno di sangue...

 

[Datascientist]

Ciao,
Ho letto con attenzione i vari interventi e provo a dire la mia. Per molti anni ho rivestito ruoli di responsabilità nell’IT e posso dire per certo che si fa carriera se si hanno le competenze tecniche ma anche quelle relazionali. E intendo capacità relazionali in senso buono, ossia la capacità di parlare con persone non tecniche, anche con ruoli rilevanti, raccogliere i propri bisogni e risolverli con una soluzione informatica.
Quindi, se fossi appena uscito dall’università, io sceglierei un percorso che mi dia una certa esposizione in azienda. Un percorso cyber è molto tecnico, secondo me si cresce se si lavora in consulenza o dove la sicurezza è critica (es banche), altrove ho qualche dubbio. Meglio fare il data scientist, che per ruolo parla con IT e business (vedi qua una descrizione che mi pare esaustiva), secondo me da molte più opportunità di crescita.
Per fare l’it manager servono parecchie competenze e soprattutto esperienza (ecco la descrizione del ruolo dell’IT manager), ma con pazienza e impegno si riesce.
Per esperienza personale le certificazioni aiutano, ma non sono proprio essenziali. Meglio una bella e lunga esperienza da raccontare.