O curso de segurança que falta no ensino superior

Você já conferiu a grade curricular de um curso de Ciência da Computação? Em muitas universidades, os alunos cursam disciplinas parecidas. Em geral, no primeiro semestre há uma disciplina introdutória que apresenta o universo da ciência da computação. Nos semestres seguintes, os alunos estudam programação (incluindo uma introdução à programação orientada a objetos), bancos de dados, estruturas de dados e outros temas. Assim, quem se forma em ciência da computação, embora talvez não seja especialista, conclui o curso com conhecimentos abrangentes em diversas áreas. Mas parece haver uma lacuna evidente em muitos cursos no Canadá e nos Estados Unidos: segurança da computação.

A ausência desse conceito fundamental na grade curricular de ciência da computação gera vários problemas em diferentes níveis. Mas, primeiro, vamos ampliar a perspectiva sobre as áreas de ciência da computação e segurança da computação. Hoje, conhecemos a lacuna de profissionais em cibersegurança. Não há pessoas qualificadas em número suficiente para ocupar funções essenciais de proteção dos nossos dados e da nossa privacidade. Isso significa que poucos alunos se formam com as qualificações necessárias para preencher essas vagas. Um dos motivos pode ser a alta taxa de evasão em cursos de ciência da computação. Se precisamos formar mais alunos preparados para lidar com questões de cibersegurança, uma solução seria atrair mais pessoas para esses cursos. Mas isso, por si só, já é um desafio.

Como despertar o interesse de alunos mais jovens pela ciência da computação

Ao se preparar para se candidatar a uma faculdade, é provável que alunos do ensino médio escolham cursos que conhecem e dos quais gostam. No ensino médio, eles têm aulas de geografia, história, várias disciplinas de ciências e outras matérias de humanidades. Mas e ciência da computação? Em 37 estados, apenas 4,7% dos alunos do ensino médio estão matriculados em uma disciplina introdutória de ciência da computação.

A falta de disciplinas de ciência da computação provavelmente contribuiu para a queda de popularidade da área por muitos anos. Nos últimos anos, porém, o número de matrículas parece estar crescendo novamente. Isso é ótimo para o setor, mas não resolve de imediato a falta de profissionais no curto prazo — embora ajude daqui a alguns anos, quando mais alunos se formarem nesses cursos. No entanto, simplesmente atrair mais alunos não resolve o problema por completo. Como mencionamos, esses cursos ainda carecem de disciplinas sobre segurança e privacidade de dados.

Sabemos que o número de ataques cibernéticos está aumentando no mundo todo. A cibersegurança se tornou uma questão tão importante que já está na pauta de líderes governamentais. E o ritmo desses ataques não parece diminuir. Empresas e governos precisam combatê-los contratando profissionais qualificados.

Se você quisesse contratar um especialista em cibersegurança — ou pelo menos alguém com conhecimento na área —, provavelmente procuraria uma pessoa formada em ciência da computação. Parece óbvio que deveríamos ensinar profissionais formados nessa área a lidar com questões de segurança da computação, preparando-os adequadamente para o mercado de trabalho. Infelizmente, esse não é o caso (pelo menos no Canadá e nos Estados Unidos).

O que falta nos cursos de faculdades e universidades

Entre os 50 melhores cursos de ciência da computação dos EUA, apenas três exigem uma disciplina de cibersegurança para a conclusão do curso [fonte]. Uma pesquisa que fiz com 15 das universidades mais populares do Canadá trouxe uma boa notícia: 53% oferecem uma disciplina de segurança aos alunos. A má notícia é que apenas 13% das universidades exigem esse tipo de disciplina. Isso significa que, na maioria dos cursos do país, é bem possível concluir toda a graduação sem nunca cursar uma disciplina dedicada à segurança da computação.

E quanto às faculdades? No Canadá, o ensino superior é dividido entre colleges e universidades. As universidades costumam ter foco mais teórico, enquanto os colleges são mais voltados à prática. Em geral, os colleges oferecem menos disciplinas eletivas, e as matérias que os alunos cursam são predefinidas. Mais uma vez, minha pesquisa mostra que cerca de 27% dos colleges incluem uma disciplina obrigatória de segurança da computação na grade dos cursos gerais de computação. Esse percentual é melhor que o das universidades, mas ainda está longe do ideal.

O que isso significa exatamente? Afinal, ensinam segurança da computação nesses cursos de ciência da computação em universidades e faculdades? Muito provavelmente, sim.

Para esclarecer, estamos falando de cursos gerais de graduação e diplomas em ciência da computação. Muitas instituições oferecem certificados de pós-graduação ou cursos de educação continuada com especialização em segurança da computação. Além disso, não estamos considerando o que é ensinado em sala de aula. Por exemplo, uma disciplina de redes provavelmente aborda alguns aspectos de segurança de redes. Uma disciplina de bancos de dados provavelmente trata de consultas parametrizadas. No entanto, o conteúdo das disciplinas fica a critério do professor. Quem tem conhecimento de segurança da computação provavelmente incluirá o tema nas aulas; quem não tem, não.

Não estou afirmando que profissionais formados em ciência da computação não estejam qualificados para trabalhar com segurança da computação. Mas digo que eles podem não estar preparados por falta de disciplinas específicas de segurança. Em um momento em que a segurança da computação está em evidência, fica a pergunta: por que faltam disciplinas sobre o tema no ensino superior?

A formação contínua de desenvolvedores com Snyk

Para ajudar a resolver esse problema, Snyk Learn oferece lições para desenvolvedores sobre vulnerabilidades como injeção, poluição de protótipo, Spring4Shell e outras. Nelas, as vulnerabilidades são mostradas na prática, para que os desenvolvedores entendam exatamente como as explorações funcionam. As lições também analisam o funcionamento interno das vulnerabilidades para explicar por que elas ocorrem. Por fim, apresentam técnicas de mitigação. Essas lições talvez não resolvam todos os problemas mencionados, mas são um ponto de partida para ajudar desenvolvedores a aprender mais sobre segurança da computação.