Le « Security Mindset » de Schneier : comment l'expérience pratique façonne la formation en sécurité informatique

Schneider formule la thèse centrale : "Wer gut in Informationssicherheit sein will, muss tiefes fachliches Verständnis mit einem besonderen Spürsinn für ausnutzbares Verhalten kombinieren." Cette combinaison de théorie et d'intuition ne peut pas être développée uniquement à partir de manuels, souligne l'auteur.

CTFs et hacking labs comme lieux d'apprentissage

Le commentaire note que les détails techniques de sécurité peuvent certes s'apprendre dans des manuels, des articles de blog ou des tutoriels vidéo, mais que le Security Mindset nécessite surtout un contact pratique avec le sujet. Aux premiers jours de l'informatique, la plupart des experts étaient entrés dans le domaine par des reconversions professionnelles grâce à des expériences pratiques, explique Schneider.

Pour permettre de telles expériences de manière légale et dans un cadre protégé, des hacking challenges et des compétitions CTF se sont imposés. Lors d'un CTF, les équipes reçoivent volontairement des logiciels défectueux. Elles les démarrent et les mettent en réseau, puis tentent simultanément de corriger les erreurs chez elles et de les exploiter chez les autres équipes, décrit l'auteur le déroulement.

Depuis, les CTFs ont également fait leur apparition dans l'enseignement académique. "Jede Hochschule, die IT-Security lehrt, hat ein Hacking Lab oder zumindest CTF-artige Aufgaben in den Übungen ihrer Sicherheitsmodule", écrit Schneider. La formation universitaire a ainsi trouvé un format proche de la pratique, qui va au-delà de la seule théorie.

Du laboratoire amateur à l'industrie

Parallèlement au monde académique, des plateformes telles que « Hack the Box » et « Try Hack Me » ont permis à de nombreuses personnes d'accéder pratiquement au monde de la sécurité. Ces offres s'adressent explicitement aussi aux personnes en reconversion sans formation formelle en sécurité, souligne le commentaire.

Le concept a également fait son chemin dans l'industrie, sous la forme de cyber ranges comme outil de formation continue. Schneider y voit la preuve que le besoin d'environnements d'entraînement réalistes s'est étendu au-delà des universités et des plateformes amateurs aux entreprises et aux administrations.

Le commentaire se conclut sur la question de savoir quels formats d'apprentissage seront nécessaires à l'avenir pour former la prochaine génération d'expertes et experts en sécurité. Schneider n'apporte pas de réponse définitive, mais invite à continuer d'ajuster l'équilibre entre fondements théoriques et expérience pratique.

L'article complet est disponible pour les abonnées et abonnés heise-Plus. Il s'inscrit dans une série de publications dans lesquelles heise Plus discute des questions fondamentales de la formation en sécurité informatique.

Le commentaire heise-Plus s'inscrit dans un débat plus large sur la transformation du secteur de la sécurité informatique. Face aux nouvelles menaces et aux exigences croissantes envers les professionnels, la question de l'adaptation des concepts de formation est débattue, écrit l'auteur.