Security architect vs. penetrační tester
Security architect a penetrační tester (pentester) jsou na první pohled podobné světy, ve skutečnosti ale úplně odlišné role. Pojďme se na obě role podívat dopodrobna, ať víš, která cesta je pro tebe ta pravá
Kyberbezpečnost je dnes rychle rostoucí IT obor. Firmy investují, vznikají nové role, přichází regulace. Spolu s tím vzniká jedna zásadní otázka. Co vlastně znamenají jednotlivé pozice a kterou si vybrat. Security architect a penetrační tester (pentester) jsou na první pohled podobné světy, ve skutečnosti ale úplně jiné role.
Rozdíl mezi security architectem a pentesterem je v podstatě rozdílem mezi stavitelem nedobytné pevnosti a profesionálním zlodějem, kterého si majitel najme, aby prověřil, jestli ty hradby opravdu drží.
Zatímco pentester jde do hloubky konkrétního problému, security architect musí vidět celek. Potřebuje chápat, jak spolu souvisí aplikace, infrastruktura, lidé a procesy. Security architect navrhuje a řídí bezpečnostní architekturu a pentester autorizovaně testuje odolnost systémů útokem.
Pojďme se na obě role podívat dopodrobna, ať víš, která cesta je pro tebe ta pravá.
Mozek za hradbami
Jako security architect jsi stratég. Tvým úkolem není jen lepit díry, ale navrhnout systém tak, aby rizika byla řízená, útok byl co nejtěžší a případná slabina se dala včas najít a opravit.
Security architect se dívá na systém z úplně jiné perspektivy. Neřeší primárně, kde už chyba je, ale jak systém navrhnout tak, aby k ní ideálně vůbec nedošlo. Pracuje s architekturou, procesy, bezpečnostními principy a riziky. Rozhoduje, jak budou systémy propojené, jak se bude řídit přístup, jaké technologie se použijí a jak se zajistí, že bezpečnost bude fungovat dlouhodobě, nejen jednorázově.
Security architect tráví hodně času nad diagramy, technickými standardy a komunikací s ostatními týmy. Tvoje práce začíná dřív, než se napíše první řádek kódu nebo se koupí první server.
Jak vypadá tvůj den? Ráno máš meeting s vývojáři, kteří chtějí nasadit novou aplikaci. Ty jim vysvětlíš, proč jejich návrh na ukládání hesel v prostém textu není dobrý nápad. Odpoledne reviduješ konfiguraci cloudového prostředí v AWS nebo Azure a večer připravuješ strategii pro přechod na Zero Trust architekturu.
Tvoje náplň práce zahrnuje:
- Navrhování bezpečnostních architektur: Rozhoduješ, kde bude firewall, jak se bude řešit segmentace sítě a jakým způsobem se budou ukládat šifrovací klíče.
- Definování standardů: Určuješ, jaká hesla musí zaměstnanci mít, jakou technologii MFA (vícefaktorové ověřování) firma nasadí a jaké cloudové služby jsou bezpečné.
- Risk management: Musíš umět vyhodnotit, jestli je riziko útoku natolik velké, aby se vyplatilo investovat do nové ochrany.
Legální hacker v akci
Pentester (nebo také etický hacker) je ten, kdo dostane povolení „vloupat se do baráku“. Zatímco architekt staví, ty hledáš, které okno zůstalo na ventilaci nebo jestli se pod rohožkou neschovává klíč.
Pentester pracuje s realitou útoků. Simuluje chování útočníka, testuje systémy, hledá zranitelnosti a ověřuje, co všechno se dá zneužít. Jeho práce je hodně praktická, používá konkrétní nástroje, analyzuje síťový provoz, zkouší různé typy útoků. Výsledkem je jasný výstup: Tady je chyba, tady je důkaz a tady je doporučení, jak ji opravit.
Tvoje práce je ofenzivní. Nejčastěji děláš penetrační testy, někdy se můžeš posunout i k red team cvičením, která mají širší cíl a testují také reakci obrany.
Používáš stejné nástroje a techniky jako skuteční útočníci, ale tvým cílem není škodit, ale reportovat chyby. Většinu času trávíš v terminálu. Zkoušíš různé exploity, píšeš si vlastní skripty v Pythonu, abys zautomatizoval útok, a raduješ se, když se ti to podaří. Co běžně děláš?
- Průzkum: Mapuješ cílovou infrastrukturu a hledáš slabá místa.
- Využití zranitelností: Zkoušíš SQL injection, Cross-Site Scripting (XSS) nebo se pokoušíš prolomit slabá hesla.
- Reportování: Tohle je ta „méně zábavná“, ale nejdůležitější část. Musíš sepsat dokument, kde detailně popíšeš, co jsi našel a jak to opravit.
Hlavní rozdíly: Kde se láme chleba?
Výše popsaná náplň se výrazně promítá do každodenní práce. Pentester pracuje cyklicky a neustále testuje, nachází a reportuje. Má relativně rychlou zpětnou vazbu, buď se do systému dostane, nebo ne.
Security architect pracuje spíše strategicky. Navrhuje řešení, která se budou implementovat týdny nebo měsíce, a jejich kvalita se často ukáže až časem. Neexistuje tu jednoduché „funguje/nefunguje“. Existuje jen lepší nebo horší rozhodnutí.
Právě v tomhle je jeden z největších rozdílů, který si lidé často neuvědomují. Pentester nese odpovědnost za to, co najde. Security architect nese odpovědnost za to, co navrhne. A to je mnohem náročnější, protože nikdy nemáš stoprocentní jistotu, že jsi na nic nezapomněl.
Jde spíš o to, co tě baví a kde chceš být za pár let. Pokud tě baví technické detaily, experimentování a přímá práce se systémy, pentesting je skvělá volba. Jestli tě láká větší kontext, rozhodování a strategický dopad, dává smysl směřovat k architektuře.
Staň se security architectem, pokud:
- Rád věci buduješ a máš rád řád.
- Baví tě přemýšlet o systémech jako o celku.
- Máš trpělivost vysvětlovat lidem mimo IT, proč je bezpečnost důležitá.
- Chceš mít větší vliv na směřování celé firmy.
Staň se pentesterem, pokud:
- Máš v sobě zvědavost a věci rád rozebíráš (a rozbíjíš).
- Miluješ hádanky a pocit, když „přechytračíš“ systém.
- Preferuješ hluboké technické zaměření před nekonečnými poradami.
- Nevadí ti neustálé učení se nových a nových exploitů, protože to, co fungovalo včera, dnes už nemusí.
Kam dál?
Dobrá zpráva je, že ani jedna z těchto rolí není konečná stanice. Kyberbezpečnost je dynamický obor, cesty se často kříží a kariérní posun nabízí více možností.
V cybersecurity je tlak na výkon a průběžné vzdělávání vysoký, a proto je dobré vybírat směr podle toho, co tě dlouhodobě baví. Jako další kariéra pentestera se nabízí:
- Security architect: Tvůj úhel pohledu je k nezaplacení. Víš přesně, co útočníci hledají, takže umíš navrhnout lepší obranu.
- Security researcher / Bug bounty hunter: Začneš hledat chyby na vlastní pěst pro velké firmy (Google, Facebook) za odměny.
- Red team lead: Povedeš tým hackerů a budeš simulovat komplexní útoky na celé organizace.
Jako security architect už máš blízko k managementu a strategii. Co je další meta?
- CISO (Chief information security officer): Nejvyšší meta. Máš na starosti kompletní bezpečnost firmy, rozpočty a lidi.
- Cloud security specialist: Specializace na Azure, AWS nebo GCP, což je dnes extrémně žádané a skvěle placené.
- Compliance officer/auditor: Pokud tě baví standardy a právo v IT.
Jak se rozhodneš?
Bezpečnost je běh na dlouhou trať, ale ať už se vydáš kterýmkoliv směrem, nudit se rozhodně nebudeš. Svět potřebuje jak odborníky, co staví pevné zdi, tak ty druhé, kteří v nich hledají trhliny dřív, než je najde někdo jiný.
Rozdíly zní jednoduše, ale ve skutečnosti určují úplně jiný způsob práce, myšlení i kariérního růstu. Pokud jsi na začátku, vyzkoušej si obojí. Zkus si postavit vlastní domácí server (architektura) a pak se do něj zkus nabourat pomocí nástrojů v Kali Linuxu (pentesting). Uvidíš, u čeho ti čas utíká rychleji.
Autor: Veronika Tomášová
