如果今天的it专业人士认为有一件事是理所当然的，那就是他们的职业生涯不会一成不变。无论您在组织的IT结构中扮演什么角色，完成您的工作所需的清单都将在范围上扩大。一个关键的例子是安全性。无论您的技术目标是什么，您现在还需要知道如何保证它的安全。你可能会学到一些基本的安全在你自己或同事的帮助下，从一个熟练的教练手中通过亲自或更有效地学习安全在线学习课程。
同样地，如果你想提高自己的知识水平，特别是想晋升到更高的职位，那么额外的培训不仅会产生奇迹，而且从长远来看是必须的。如果你有兴趣转到其他地方担任IT职位，那么至少要有一些安全方面的东西认证也能帮助实现这一目标。
但是，知道你想要一些安全培训和知道你需要参加哪些具体的培训是两回事。正如你所期望的那样，在像安全这样需求巨大的领域，有成千上万的培训选择，其中一些肯定比其他的更有用。使选择更加复杂的是，安全已经成为一个专门的领域，而且这个领域的名单似乎总是在增加。
“当从另一个IT学科进入网络安全领域时，无论是网络工程还是服务器管理，你需要首先确定你想要专注于你的角色，是在防御的一方(蓝队)还是进攻的一方(红队)，”艾丽莎·奈特解释说，他是Aite集团网络安全实践的高级分析师，也是《网络安全》一书的作者入侵联网汽车:战术，技术和程序(在一个新窗口中打开)．
(图片来源:Statista(在一个新窗口中打开)）
做好基本工作
但奈特警告说，在你开始考虑你想要采取哪方面的安全措施之前，重要的是要做好基本的准备。“我会推荐一个更多面手的培训路线认证信息系统安全专业人员(在一个新窗口中打开)[或CISSP]和研究通用知识体系[或CBK]。通过研究CBK，你将得到网络安全能力建设的一英里宽、一英寸深的方法——更好地理解机密性、完整性和可用性等原则，”她说。
CISSP认证可能是最著名的安全专业证书，但它不是唯一的。布莱恩·西蒙，首席教练SANS研究所(在一个新窗口中打开)，指出网络安全认证:GSEC(在一个新窗口中打开)认证和全球资讯保障认证(在一个新窗口中打开)(GIAC)也很受尊敬。许多人认为GIAC认证等同于CISSP认证。
虽然可能有一些IT专业人员已经掌握了CISSP或GIAC认证所需的大部分知识，但大多数人在通过认证考试之前需要参加一些培训课程。找到这些认证的必要培训并不难，正如谷歌搜索所显示的那样。
决定是亲自培训还是在线培训
但仅仅因为有很多课程并不意味着它们都一样有效。有些课程强调实践学习，有些是课堂教学，而大多数在线课程是视频教学。它们对你有多有用取决于你如何学习。“注意现实世界的理解或现实世界的对手和现实世界的问题，”西蒙建议。“长期以来，课程都专注于理论情境。”
奈特补充说:“寻找一些实践性和实践性很强的实验室工作，不要试图太快把海洋煮沸。”“从网络安全的基础和基本知识开始，比如……学习GSEC课程或CISSP课程，在尝试进入任何特定领域之前，了解网络安全的基本原理。”
但并不是每个人都想或需要获得GIAC或CISSP认证，至少不是马上获得。此外，我们还需要从一些培训开始，这对如今的IT员工来说是必不可少的，或许可以从那里开始。
“世界不再是竖井，”Ralph P. Sita, Jr.，公司的CEO和联合创始人说Cybrary(在一个新窗口中打开)．“一个IT部门的意义比5年前大得多。我们正在讨论安全启用的哲学。你的整个组织都需要成为看门人，而不仅仅是安全或IT部门的人。”
云安全培训需求的增长
Sita指出，有一些专门的安全课程对IT很重要，例如来自思科(在一个新窗口中打开)．他说，他看到云安全培训的需求正在迅速增长。Cybrary通过教室或一系列免费视频课程提供云安全培训。
那么，对于IT专业人员的基本安全培训有哪些建议呢?这在很大程度上取决于你的具体情况。IT专业人士的社区是一个很好的见解来源Spiceworks(在一个新窗口中打开)．
一些额外的指导来自奈特，他说有训练(进攻)红队和(防守)蓝队的兴趣。对于蓝队，奈特建议参加GIAC课程或CREST认证网络入侵分析师(在一个新窗口中打开)认证。对于红队，奈特建议从认证道德黑客(在一个新窗口中打开)(CEH)认证或认证渗透测试仪(在一个新窗口中打开)(GPEN)认证。
“最后一站应该是……进攻性安全认证专业人员(OSCP)培训(在一个新窗口中打开)相比于笔试和多项选择题考试，这将是繁重的实验室和实践作业，”奈特说。
我们的编辑推荐
选修信息技术基础课程
每位培训师还对IT人员的基本课程提出了一些建议。Sita列出了五种可以在cyary网站上找到的方法:
•CompTIA安全+ SY0-501(在一个新窗口中打开)
•CISO安全控制(在一个新窗口中打开)
•CCSP(在一个新窗口中打开)
•事件响应和高级取证(在一个新窗口中打开)
•Windows取证和工具(在一个新窗口中打开)
Simon有一个类似的从SANS Institute提供的基本课程列表:
•SEC401:安全要领训练营风格(在一个新窗口中打开)，涵盖了入侵检测、入侵防御、可防御的网络架构、操作系统安全等主题。
•SEC504:黑客工具，技术，漏洞和事件处理(在一个新窗口中打开)，涵盖了攻击和利用的各个方面，并结合了防御的概念。
•SEC511:持续监控和安全操作(在一个新窗口中打开)，包括及时发现和及时反应是如何成功对抗现代对手的关键。
•MGT512:管理者安全领导要诀(在一个新窗口中打开)它在概念上与前面提到的SEC401类似，但更专门针对经理。
•FOR508:高级事件响应、威胁搜索和数字取证(在一个新窗口中打开)，从数字取证的角度介绍先进的事件反应。
牢记总体培训目标
请注意，SANS研究所的课程有多种形式和地点。你可以搜索你想要的培训SANS Institute Training Finder(在一个新窗口中打开)．值得注意的是，有许多受人尊敬的培训课程，这里提到了其中一些，但这一列表绝不是全面的。但请记住，在考虑一门课程时，你需要牢记你的总体目标。
奈特警告说:“不要把注意力集中在记住你需要什么来通过认证考试，而只是为了在你的名字后面添加一堆缩写。”“不要用证书来通过简历审查阶段;不要做那种走进面试现场却回答不了任何技术问题的人，比如数据包的头是什么，FTP使用哪两个TCP端口，DNS使用哪两个协议等。”
根据奈特的说法，这并不是为了获得认证而尽可能地记住什么。“重点是(更多地)了解认证培训教给你的东西，而不是挂在墙上的论文或你必须保持的CPE学分。这是关于学习，而不是最后的奖励。”
