Da Ecole 42 a sviluppatore fullstack: un'intervista da scoprire

Ciao Matthieu, è un piacere conoscerti e parlare della tua carriera! Per cominciare, potresti descrivere il tuo ruolo attuale di sviluppatore fullstack, con un particolare interesse per la cybersecurity?

Salve e grazie per avermi ricevuto. Per essere conciso ma completo, sono responsabile della progettazione, dello sviluppo e della manutenzione di applicazioni web e mobili. Il mio lavoro prevede la codifica sia lato server (PHP, Python) che lato client (HTML, CSS, TWIG, Tailwind, JavaScript). Forse avete già sentito queste parole? In caso contrario, potrebbero sembrarvi un po' oscuri: sono linguaggi di programmazione utilizzati per sviluppare software, applicazioni web e altri sistemi informatici.

Come avete detto, ho un forte interesse per la cybersecurity, il che significa che integro le pratiche di sicurezza fin dall'inizio del ciclo di sviluppo. Le mie principali responsabilità comprendono
- analizzare i requisiti funzionali e tecnici dei progetti
- Progettazione e implementazione di architetture software
- Esecuzione di test di sicurezza e di performance
- Monitoraggio continuo e gestione delle vulnerabilità

Utilizzando correttamente queste risorse, possiamo garantire la sicurezza delle applicazioni sviluppate. Inoltre, utilizzo un framework (consideratelo come una cassetta degli attrezzi prefabbricata per gli sviluppatori di software. Contiene strumenti pronti all'uso e regole da seguire che aiutano a costruire applicazioni in modo efficiente e organizzato, senza dover creare tutto da zero ogni volta). Questo rende il processo di sviluppo più veloce, più strutturato e più sicuro).

È tutto molto tecnico! Ma anche se sono nuovo, ho capito bene cosa fate. Può dirmi come riuscite a bilanciare i requisiti funzionali di un'applicazione con gli imperativi di sicurezza?

Questo è un punto importante. Per farlo:
- Inizio con un' analisi approfondita delle esigenze per capire i requisiti funzionali dell'applicazione.
- Poi utilizzo framework e librerie (un insieme di funzioni e classi riutilizzabili che semplificano e velocizzano lo sviluppo del software) riconosciuti per la loro sicurezza.
- Eseguo revisioni regolari del codice e test di penetrazione per identificare e correggere le vulnerabilità.
- Impostiamo i controlli di accesso e la gestione dei permessi.
- Infine, mi assicuro che l'intero team e i clienti siano consapevoli dei problemi attraverso una formazione continua sulle buone pratiche di sicurezza.

"Le minacce principali spesso provengono dalle persone. Anche se il sistema informatico è progettato correttamente, senza difetti noti, non esiste un rischio nullo".

Può descrivere un progetto in cui ha dovuto tenere conto delle considerazioni sulla sicurezza fin dalla fase di progettazione? Quali tecnologie e pratiche ha utilizzato per garantire la sicurezza dell'applicazione?

Uno dei progetti più importanti in cui ho dovuto tenere conto della sicurezza fin dalla fase di progettazione è stato lo sviluppo della piattaforma ENGECO. Ecco le fasi e le tecnologie che ho utilizzato:
- Analisi dei rischi: identificazione delle potenziali minacce fin dall'inizio.
- Architettura sicura: separazione dei ruoli e minimizzazione delle superfici di attacco.
- Utilizzo di HTTPS (versione sicura del protocollo HTTP utilizzato per proteggere gli scambi di dati su Internet) per tutte le comunicazioni.
- Convalida e sanificazione dell'input: per prevenire le iniezioni SQL e XSS.
- Crittografia dei dati sensibili: utilizzo di librerie crittografiche per crittografare i dati in transito e a riposo.

In ENGECO la sicurezza è stata una priorità, in particolare per prevenire le iniezioni SQL. Ma so bene che tutti questi termini possono sembrarvi un po' lontani!
Infatti... Ecco perché vorrei parlare dell'Ecole 42! Che bel riferimento! Puoi dirmi in cosa consisteva la tua formazione lì e come questa esperienza ti ha preparato per una carriera nello sviluppo fullstack e nella cybersecurity?

"École 42 offre una formazione intensiva e pratica che mi ha insegnato molto. Mi ha insegnato a imparare".

Ecco alcuni aspetti chiave:

• Apprendimento basato su progetti: ogni progetto richiedeva una soluzione completa al problema dato, spesso con requisiti di sicurezza integrati.
• Collaborazione e apprendimento tra pari: lavorare con altri studenti su progetti complessi ha rafforzato la mia capacità di collaborare e condividere buone pratiche di sicurezza, tra le altre cose.
• Accesso a risorse diversificate: ho potuto esplorare diverse tecnologie e strutture utilizzate nell'industria.
• Cultura dell'autonomia: mi ha preparato a essere proattivo e a continuare a imparare in modo indipendente, anche nel campo della cybersecurity.
• Esperienza pratica: hackathon (eventi in cui le persone collaborano intensamente a progetti nell'arco di alcuni giorni per creare prototipi innovativi) ed esercizi di programmazione che includevano sfide di sicurezza.

"La specializzazione che ho scelto comprendeva progetti come la riprogettazione di Instagram, Tinder e Netflix".

Scuola 42(copyright )

Impressionante! E quale pensi sia stato l'aspetto più positivo per il tuo sviluppo professionale?

Direi:

• Apprendimento autonomo: è aumentata la mia capacità di risolvere i problemi in modo indipendente (un'abilità fondamentale per la sicurezza informatica).
• Collaborazione e networking: lavorare con i colleghi e accedere a una vasta rete di professionisti è stato più che vantaggioso.
• Immersione attraverso progetti reali: progetti basati su situazioni reali mi hanno preparato alle sfide reali dello sviluppo e della sicurezza.
• Aggiornamento continuo: una cultura dell'apprendimento continuo, che è essenziale in un campo così dinamico come quello della cybersecurity.

Potrebbe dirmi quali sono le principali minacce alla cybersecurity oggi?

Le principali minacce alla cybersecurity oggi includono:

• fughe massicce di dati da parte di grandi gruppi che detengono informazioni personali degli utenti.
• Attacchi ransomware. Continuano a crescere in frequenza e sofisticazione.
• Phishing: una tecnica di attacco in cui i criminali informatici inviano e-mail fraudolente per attirare le vittime su siti web falsi, inducendole a divulgare informazioni personali come dati di accesso, password o dettagli finanziari.
• Minacce interne: i dipendenti possono causare, intenzionalmente o meno, fughe di dati o violazioni della sicurezza.
• Attacchi zero-day: si tratta tipicamente di un attacco contro il quale l'utente non può proteggersi. Sfruttamento di vulnerabilità non ancora note agli sviluppatori.
• Internet delle cose (IoT): i dispositivi IoT, spesso poco protetti, sono nuovi bersagli. Fate attenzione alla fotocamera del vostro computer, ad esempio.
• Attacchi alla catena di approvvigionamento: compromettere i fornitori per raggiungere le aziende target.
• Corruzione di librerie: quando una libreria software in uso viene compromessa da codice maligno.
• Il famigerato "Man in the middle": un attacco condotto intercettando e manipolando le comunicazioni sulle reti pubbliche.

"Social engineering": sapete, quella famosa telefonata in cui vi fanno credere che sia il vostro banchiere a chiamarvi perché il vostro conto corrente è stato violato. Poi approfittano della situazione per ottenere i nostri dati bancari. Beh, ecco fatto, il jackpot".

Il rischio nella sicurezza informatica è la sinergia tra diversi tipi di attacco.

È chiaro che non ve ne rendete conto quotidianamente... Infine, cosa apporta Inforca al vostro lavoro? Nella vita di tutti i giorni?

Inforca offre un ambiente di lavoro flessibile che favorisce la coesione del team, con persone di diversa provenienza e aperte al confronto. Inoltre, grazie alla diversità dei nostri clienti - istituzioni e professionisti di diversi settori - gli incarichi che assumiamo sono sempre vari e stimolanti. La ricerca delle soluzioni più adatte alle esigenze dei nostri clienti e la loro messa in pratica creano ogni giorno un vero e proprio stimolo intellettuale.

Intervista di A.F, Digital Development and Events Manager di Inforca, a Matthieu, sviluppatore fullstack/cybersecurity di Inforca.