网络安全职业机会：权衡技术认证与学位的价值

资深CISO梅丽娜·斯科托加入Dark Reading，分享她30年网络安全行业生涯中积累的职业建议。

核心观点

• 实践经验至关重要
• 认证提供可及的入门途径
• 导师指导和人际关系不可或缺

欢迎来到Dark Reading的"CISO职业对话"视频系列，该系列展示那些亲身经历者在网络安全领域突破和晋升的建议。

在这场与Dark Reading副编辑Kristina Beek的对话中，资深CISO梅丽娜·斯科托分享了她从渴望成为歌剧歌手到网络安全领导者的旅程，她曾为联邦承包商和财富500强公司担任顶级安全负责人。在她30年的职业生涯中，她见证了网络安全从基本边界保护转变为全面方法，解决横向移动、AI赋能威胁、云以及一系列不同的关键业务风险，将网络安全置于任何成功企业的核心。

斯科托强调对新挑战说"是"和持续学习的重要性，她给进入网络安全领域的人的建议包括通过ISC2等组织和Udemy等平台追求认证，并在承诺完整学位课程之前考虑自己的路径。正规教育对领导角色仍然有价值，但认证可能足以胜任技术职位，特别是对于具有自然模式识别能力的神经多样性个体。

她还主张在专攻网络安全之前获得不同系统、网络和AI的实践经验，因为理解技术细节有助于安全专业人员与运营团队有效合作；并且，寻找导师对于刚进入该领域的人仍然至关重要。

完整视频访谈与文字记录

以下为完整视频访谈，随后是问答的文字记录。

该文字记录经过编辑以提高清晰度。

Kristina Beek：你能介绍一下自己，并告诉我们你的背景吗？

Melina Scotto：我曾在为联邦政府和联邦承包商服务的公司以及财富500强公司担任CISO。目前，我的角色是其他CISO的顾问和董事会成员，协助公司，并真正在董事会会议室像CISO一样思考网络安全。

我的背景多样而丰富多彩。我现在本应成为著名的歌剧歌手，它总是能支付账单（这可能是30年前）并支付课程费用。所以我真的很喜欢看到艺术家从事技术副业，如果你愿意的话。

我在歌唱生涯很早就意识到我无法获得足够的报酬。显然我只是没有所需的条件。但我喜欢数据库管理，而且当时这个领域非常开放。

我很快从数据库管理转到有一天主管说，好吧，你现在负责网络。我说，好的。

然后很快转变为管理防火墙。那时我们并不真正称任何东西为网络安全，它更像是边界安全。然后我为国际健康数据、国内健康数据和联邦健康数据做了一些HIPAA类型的安全。

[我们考虑过]它是否面向公众？是否面向互联网？这是我们唯一需要保护的东西。但是，嘿，等等，事实证明网络犯罪分子可以进行横向移动，所以我们真的需要保护一切。那时我们开始称事物为网络安全。

我很幸运能与一家大型联邦承包商合作。有一次联邦政府关闭时，他们说，你是一名工程师。你总是可以写提案语言[我最终写了关于网络安全的内容]。

我认为这是幻想写作，你知道，我只是觉得它太酷了。他们想要彩虹和独角兽，从网络安全的角度，你为他们设计这个解决方案，然后说，好吧，我的独角兽是最神奇的，我的彩虹是最多彩的，如果你提交的幻想比你所有竞争对手提交的其他幻想更好，你就赢了。

这就是我在该组织中晋升的方式，并成为他们联邦卫生部门的CISO，负责价值30亿美元的工作。我们可能有300份左右的合同，我有很棒的导师，他们是整个120亿美元组织的CISO和CIO，他们非常慷慨。

之后，我有机会与财富500强公司合作，我非常享受。事实证明，我们都在与相同的网络犯罪分子作战。

KB：对于那些希望像那样晋升的人，你有什么建议？

MS：我基本上总是对下一个挑战说 yes，我会对早期职业的人说，试试看。不要告诉自己你不合适。试试看，找出你是否合适。如果你在我23或24岁时告诉我我会成为副总裁和CISO，我会认为你疯了。我只是觉得那不适合我。但直到你进入其中，你才会知道。

这是一次迷人的旅程。在这30年中，从事网络安全是一段惊人的旅程，非常有趣。有如此多的创新。

KB：AI对劳动力机会的影响如何？在AI世界中，你将在哪里获得最多的增长机会？

MS：我认为你肯定可以将两者结合起来。你不能在思考网络安全和保护你的数据和系统时不思考AI，因为网络犯罪分子正在使用它。我们处于网络战争中，需要AI来击败AI攻击。所以这里有机会将你的AI教育和认证与网络安全认证结合起来。

KB：有人可以从哪里开始认证？

MS：我是认证的大力倡导者。我强烈推荐，特别是如果网络安全是你的副业，或者你还不太确定。也许你不想投入四年的技术学士学位来学习网络，所以尝试一个认证课程，看看你的表现。我喜欢训练营。

或者如果你想获得更多知识，Lyron Andrews博士在Udemy上的课程非常棒。他是我最早为ISC2认证云安全专业人员指定的导师和老师之一。他很棒。我会说ISC2和Udemy是我开始寻找认证的地方。

你如何知道与其他做同样事情的工程师相比如何？你知道你的技术栈，你正在尽职调查，甚至可能获得你正在使用的供应商技术（如Palo Alto或Cisco）的证书。但你如何与他人比较？获得国家培训和认证确实是正确的方法。

我会说，如果人们现在正在寻找快速的AI证书，Oracle提供非常好的证书，你可以相对快速地获得。准备投入40小时进行一些很棒、制作精美的培训，而且非常便宜。直到10月1日仍然是免费的，但我们看到这些日期来了又去，然后它们又延长了一点。

KB：在培训中全面好还是更专业化好？

MS：获得AI认证，获得网络安全认证，看看那是否是你想去的地方。当我出道时，他们没有网络安全学位课程，所以我为我的理科学士获得了更多网络安全学位。

你获得网络安全职位或工作描述中有网络安全的方式是通过晋级。也许你从数据库开始，或者也许你从帮助台开始，然后你毕业到下一级，然后有机会从事网络安全。这很好，因为你需要知道所有那些事情。

当我要求某人修复这个漏洞时，我在问什么？如果我们不理解实际修复这个漏洞所需的工作量和技术细节，我们就不能站在我们的塔上说，“汝应立即修复此问题”。拥有所有这些历史背景真的对你有帮助，因为现在我可以