Parlare di professioni nella cybersecurity senza una mappa è il modo più veloce per perdersi. Il punto è che “lavorare nella cyber” non significa nulla, se non capisci prima come è strutturato il campo. Prima di parlare di framework, domini e certificazioni, c’è una cosa da chiarire. I ruoli nella cybersecurity non sono mai così definiti come sembrano sulla carta. Le etichette aiutano a orientarsi, ma nella pratica cambiano in base al contesto, all’azienda, alla maturità del team. Lo stesso ruolo può significare cose diverse. Un penetration tester, ad esempio, non è sempre e solo quello che attacca. In alcune realtà è molto tecnico e focalizzato sull’exploit, in altre è più vicino al testing strutturato, al reporting, alla compliance. A volte lavora a stretto contatto con il Blue Team, altre è completamente separato. E lo stesso vale per tante altre figure: analyst, engineer, architect. Per questo i framework non vanno letti come una lista di lavori, ma come una mappa. Ti aiutano a capire le aree, le responsabilità, i punti di contatto. Partiamo con i framework più famosi: il NIST Cybersecurity Framework e la certificazione CISSP della ISC2. Non sono la stessa cosa, ma insieme danno una visione molto concreta: il primo ti dice cosa va fatto, il secondo ti dice quali competenze servono.
Se li metti insieme, iniziano a comparire i ruoli veri e le diverse aree. Il NIST CSF divide la sicurezza in cinque funzioni: Identify, Protect, Detect, Respond, Recover.
Sembra teoria, ma è esattamente il ciclo di vita di qualsiasi organizzazione che vuole stare in piedi.

1. Identify trovi tutte le professioni che hanno a che fare con il capire cosa hai sotto mano: asset management, risk assessment, governance. Qui stanno figure come il security analyst orientato al rischio, il GRC specialist, il consulente che lavora su normative e processi. Non toccano quasi mai sistemi nel senso tecnico, ma se sbagliano loro, tutto il resto è costruito male.

2. Protect è la parte più affollata. Qui ci sono gli ingegneri di sicurezza, chi configura firewall, identity management, sistemi di autenticazione, hardening delle infrastrutture. È il mondo di chi costruisce le difese prima che succeda qualcosa. Spesso è qui che si collocano anche ruoli più architetturali, come il security architect, che decide come deve essere progettato un sistema sicuro, non solo come configurarlo.

3. Detect è il regno del monitoraggio. SOC analyst, threat hunter, chi lavora con SIEM, log, correlazione degli eventi. È una professione molto operativa, spesso sottovalutata, ma è quella che ti permette di accorgerti che qualcosa non va prima che sia troppo tardi. Qui entra anche la threat intelligence: raccogliere informazioni sulle minacce, capire chi attacca, come si muove, quali pattern lascia.

4. Respond e Recover sono le fasi in cui la teoria finisce. Incident responder, digital forensics expert, crisis manager. Qui non si parla più di prevenzione, ma di gestione del danno. Devi sapere cosa fare, in che ordine, sotto pressione. E poi rimettere tutto in piedi, imparando da quello che è successo. È il punto in cui la cybersecurity incontra davvero il business.

Se sposti lo sguardo sui domini della CISSP, la prospettiva cambia leggermente. Non sono fasi, ma aree di conoscenza. Security and Risk Management, Asset Security, Security Architecture and Engineering, Communication and Network Security, Identity and Access Management, Security Assessment and Testing, Security Operations, Software Development Security. Tradotto: governance, dati, architettura, reti, identità, test, operatività, sviluppo. È più granulare, più professionale. E qui iniziano a vedersi meglio alcune differenze che spesso vengono confuse. Chi lavora in Security Assessment and Testing è quello che fa penetration testing, vulnerability assessment, red teaming. È il mondo offensivo, ma con uno scopo difensivo. Non è hacking nel senso romantico del termine, è metodo, report, ripetibilità. Dall’altra parte, Security Operations è il Blue Team: monitoraggio, incidenti, gestione quotidiana. Software Development Security apre un altro mondo ancora: quello di chi lavora sulla sicurezza del codice, DevSecOps, secure coding. È una professione che richiede competenze ibride e che spesso manca nelle aziende, perché sta a metà tra sviluppo e sicurezza e nessuno dei due mondi la sente completamente sua.

Identity and Access Management è un universo a parte. Chi può accedere a cosa, quando e come. Sembra banale, in realtà è uno dei punti più critici di qualsiasi organizzazione. La parte interessante è che questi modelli ti aiutano a capire dove sei, non ti dicono quale lavoro scegliere. C’è chi sta meglio nella struttura e nei processi, chi nella tecnica pura, chi nella gestione degli incidenti, chi nella formazione. Perché sì, anche la formazione è una professione nella cyber, anche se molti fanno fatica a riconoscerla come tale. Tradurre la complessità in qualcosa di comprensibile è una competenza, non un ripiego. E io lo so bene.

E poi c’è una cosa che raramente viene detta: non devi saper fare tutto. Anzi, chi pensa di poter coprire ogni area di solito resta in superficie. La differenza la fa capire in quale parte del sistema vuoi stare. Costruire, difendere, attaccare (in modo controllato), analizzare, spiegare. Il resto viene dopo. Il problema non è entrare nella cybersecurity. Il problema è entrarci senza sapere dove ti stai mettendo. Oltre a certificazioni molto strutturate come la CISSP, esistono percorsi più accessibili come la CompTIA Security+. E qui vale la pena dirlo senza troppi giri: come certificazione, oggi, non è più così differenziante. Il mercato si è alzato, le aspettative anche, e avere una Security+ nel CV non è quello che fa la differenza. Se la guardi come materiale di studio, cambia tutto. Il manuale della Security+ è ancora uno dei modi più semplici per entrare nella cybersecurity senza perdersi subito nei dettagli. Ti fa vedere le reti, gli attacchi, la crittografia, le identità, un po’ di governance… tutto insieme. Non approfondisce davvero nulla, ed è proprio questo il punto: ti dà una visione d’insieme. E quando sei all’inizio, è esattamente quello che ti serve. Poi certo, da sola non basta. Non ti rende esperto, non ti rende “pronto”. Però ti aiuta a capire dove vuoi andare, e soprattutto dove non vuoi andare. E in un mondo come questo, dove tutti dicono “voglio fare cybersecurity” senza sapere cosa c’è dentro, non è poco.

La CompTIA Security+ non dà una definizione “filosofica” di cybersecurity, la definisce come l’insieme di pratiche, tecnologie e processi utilizzati per proteggere sistemi, reti e dati da accessi non autorizzati, attacchi e danni. Non è solo una questione tecnica, ma un equilibrio tra prevenzione, rilevamento e risposta agli incidenti. Dentro ci sta tutto: la protezione delle informazioni (confidentiality), la garanzia che non vengano modificate in modo improprio (integrity) e che siano disponibili quando servono (availability). È il classico modello CIA, che è la base di qualsiasi discorso sulla sicurezza. Quando prima parlavo di InfoSec e del fatto che spesso si parla di cybersecurity impropriamente.. ecco, la Security+ parla di InfoSec perchè mette tanto l’accento sul dato, includendo anche parti di processo tipiche della Security Compliance e non del mondo prettamente cyber. Lo scrivo perchè sono estremamente legata alle definizioni, tuttavia, con la nonna puoi anche dire “faccio un lavoro con i computer” e va bene uguale. La Security+ insiste molto sul fatto che la cybersecurity non è solo difesa (o solo attacco). È anche gestione del rischio, consapevolezza degli utenti, controllo degli accessi, monitoraggio continuo. Significa sapere che gli attacchi esistono, capire come funzionano e costruire sistemi che possano resistere o reagire nel modo corretto. E soprattutto, la tratta come qualcosa di distribuito. Non esiste “il sistema sicuro” in assoluto. Esistono livelli di sicurezza, che dipendono da quanto sei disposto a investire, da quanto è critico quello che stai proteggendo e da quanto rischio puoi accettare. È una visione molto concreta. Meno teoria, più realtà operativa. Ed è anche il motivo per cui, pur essendo entry-level, riesce ancora a dare una base solida: ti abitua a pensare alla sicurezza come a qualcosa che si costruisce, si misura e si gestisce nel tempo.

Ma cosa vuol dire essere nerd?

Essere nerd non è una definizione tecnica, non è “saper usare Linux” o “capire il DHCP” come se fosse un mantra sacro. Essere nerd è un modo di guardare il mondo, e non lo capisci stando in superficie: lo capisci quando inizi a notare le cose che gli altri danno per scontate, quando la tecnologia smette di essere uno strumento neutro e diventa un insieme di scelte, relazioni, influenze. Perché quando inizi davvero a osservare, non vedi più solo un’app che si apre o un pulsante che clicchi: vedi le premesse dietro quella scelta, le assunzioni che la rendono “facile”, le conseguenze che spesso non ci vengono raccontate. E no, non è solo tecnica. È un modo di stare nel mondo digitale che richiede curiosità, sì, ma anche presenza. Non è grattare via uno strato superficiale di conoscenza: è chiedersi perché quel livello superficiale è lì, chi l’ha messo, e cosa succede se lo percorri in profondità.

Essere nerd è proprio questo: non sei soddisfatta di “funziona così”, devi sapere perché funziona così; non ti basta che uno schermo si illumini, vuoi sapere quale decisione, quale progetto, quale compromesso ha fatto quel software per mostrarti quell’interfaccia lì e non un’altra. E quando inizi a farlo davvero, scopri che non è mai solo informatica, non è solo cybersecurity: è il modo in cui le scelte tecnologiche entrano nelle nostre vite e nelle nostre relazioni, nel modo in cui reagiamo, nel modo in cui pensiamo. E qui arriva il collegamento con la consapevolezza che esploro nelle altre parti del sito. La consapevolezza, nella sua forma più pratica, non è un concetto astratto: è la capacità di accorgerti di quello che sta accadendo mentre sta accadendo, dentro di te e fuori di te, quando usi un dispositivo, quando fai scroll, quando rispondi a una notifica senza pensarci. È un modo di stare nel presente con attenzione e curiosità, senza giudicare immediatamente quello che emerge. Questo è una connessione molto concreta con il modo in cui la tecnologia influenza le nostre relazioni, il nostro tempo, la nostra energia mentale. Perché non possiamo separare il digitale dal fatto che siamo esseri umani con emozioni, con attenzione limitata, con desideri e frustrazioni. Consapevolezza digitale significa saper leggere tra le righe di quello che ci accade davanti a uno schermo, capire quando stiamo reagendo automaticamente e quando stiamo scegliendo intenzionalmente. Essere nerd, alla fine, è proprio questo: accorgersi. È smettere di affidarsi totalmente alle interfacce e cominciare a chiedersi cosa c’è sotto, ma farlo non per sentirsi superiori o più “competenti” di altri, ma perché quella consapevolezza cambia il modo in cui abiti le tecnologie, i tuoi spazi, le tue relazioni. È capire che la sicurezza non è solo firewall e crittografia, ma anche sapere come ci poniamo davanti a ciò che usiamo e perché. E allora essere nerd non è una questione di skill, è una questione di presenza. È imparare a guardare, ascoltare e scegliere con più lucidità. E quella lucidità è la base non solo per proteggere dispositivi, ma per proteggere noi stessi nel digitale.