L'apprendistato è un apprendimento strutturato sul posto di lavoro: un principiante lavora sotto supervisione, svolge attività reali e assume gradualmente maggiori responsabilità fino a quando le competenze diventano una competenza affidabile. Nella sicurezza informatica, è così che analisti junior, ingegneri e addetti alla risposta agli incidenti imparano a individuare comportamenti sospetti, seguire le procedure di intervento sugli incidenti, scrivere codice sicuro e prendere decisioni corrette sotto pressione.
È importante perché il lavoro di sicurezza è pieno di decisioni che non possono essere apprese solo dalla teoria. Un buon apprendistato riduce gli errori, sviluppa la memoria muscolare per il triage e il contenimento e crea un bacino di difensori esperti. Nelle difese reali, si manifesta come affiancamento del personale senior in un SOC, revisioni del codice in coppia, tutoraggio durante le indagini sul phishing e accesso graduale ai sistemi sensibili. Negli ecosistemi criminali, anche gli aggressori possono usare modelli simili all'apprendistato: operatori inesperti vengono formati da organizzatori più esperti, il che li aiuta a imparare il phishing, l'uso del malware o l'ingegneria sociale mentre restano sotto supervisione.