Så du er en sikkerhetsingeniør som nettopp fikk jobben du har jaktet på. Gratulerer! Hva nå?
Først må du klappe deg selv på skulderen og feire – du har fortjent det. Jobbsøking er i seg selv en fulltidsjobb. Men når den første dagen i den nye rollen kommer, ønsker du å komme godt i gang og legge grunnlaget for både kortsiktig og langsiktig suksess.
Hvordan ser dette ut for sikkerhetsingeniører, sikkerhetsanalytikere og lignende roller? Vi spurte nylig en erfaren sikkerhetsekspert – Himanshu Anand, sikkerhetsanalytiker i cybersikkerhetsselskapet c/side – om å dele noen innsikter om hvordan man kommer inn i en ny gruppe og organisasjon. Anand har jobbet som sikkerhetsanalytiker eller sikkerhetsingeniør gjennom store deler av karrieren, med tidligere arbeidsforhold i selskaper som Cloudflare, Symantec og JPMorgan Chase.
Et viktig prinsipp å huske: Å lære de tekniske aspektene ved jobben er bare én del av bildet.«De første 90 dagene for sikkerhetsingeniører handler om å utvikle en forståelse av både de tekniske og menneskelige elementene i den nye organisasjonen og din plass i den», deler Anand. «Jeg har lært at selv om teknisk sikkerhetskompetanse selvsagt er avgjørende, avhenger suksess også av hvor godt du forstår den underliggende forretningskonteksten, og hvor effektivt – og noen ganger hvor raskt – du kan bygge relasjoner på tvers av team.»
I denne artikkelen deler jeg flere tilgjengelige og handlingsrettede ideer for å få en god start i løpet av de første 90 dagene i jobben. La oss først definere rollen.
Hva er en sikkerhetsingeniør?
Vi bruker tittelen sikkerhetsingeniør her, men de samme rådene kan gjelde for en rekke beslektede sikkerhetsroller, som sikkerhetsanalytiker, cyberanalytiker, cybersikkerhetsanalytiker og SOC-analytiker, for å nevne noen.
For å understreke dette poenget finner du en tydelig beskrivelse av rollen på jobbnettstedet Glassdoor – under tittelen «Informasjonssikkerhetsingeniør»:
«Sikkerhetsingeniører planlegger, utformer, bygger og integrerer verktøy og systemer som brukes til å beskytte elektronisk informasjon og enheter. De implementerer systemer for å samle inn informasjon om sikkerhetshendelser og resultater. De kan utvikle måleverdier eller prosedyrer for å evaluere hvor effektive systemene og taktikkene som brukes, er, og kan også være involvert i å utarbeide opplæringsmateriell. De bygger også ofte infrastrukturen som støtter disse systemene og prosessene.»
Kort sagt står sikkerhetsingeniører i frontlinjen for å beskytte dagens organisasjoner mot et dynamisk spekter av potensielle cybersikkerhetsrisikoer. Rollen er viktigere enn noensinne, noe som også betyr at den kan være godt betalt. Teknologijobbsiden Built In anslår gjennomsnittslønnen for sikkerhetsingeniører i USA til $129,059. Geografi, erfaring og andre faktorer kan selvsagt trekke tallet i begge retninger.
La oss se nærmere på flere råd.
Have an account? Log In
De første 30 dagene
Når HR-papirarbeidet er unnagjort, handler de første dagene og ukene i jobben først og fremst om læring. Uavhengig av tidligere erfaring er dette en ny organisasjon og alt som finnes i den: mennesker, prosesser, verktøy, infrastruktur og så videre.
Tips nr. 1: Fokuser på det grunnleggende og bygg videre derfra.
«Når jeg ser på de første 30 dagene som nyansatt, ville jeg fokusert mye på å lære det grunnleggende om selskapets kritiske ressurser og viktige verktøy, og kanskje aller viktigst på å finne ut hvordan de ulike teamene faktisk liker å jobbe», sier Anand.
Når det gjelder de tekniske aspektene ved jobben, bør du ikke være redd for å ta på deg «småting» som en måte å lære detaljene i den nye organisasjonens teknologistakk og ressursene du har ansvar for å beskytte på. (Denne Reddit-diskusjonen om introduksjon som stabingeniør – en annen rolle, riktignok, men fortsatt tydelig innenfor IT-området – påpeker også at det å være villig til å begynne med litt rutinearbeid signaliserer til nye kolleger at egoet ditt ikke er for stort til å komme gjennom inngangsdøren.)
Det siste punktet kan virke vanskelig for noen. Læringskurven din bør inkludere de menneskelige aspektene ved det nye selskapet – men hvordan går du frem? Noe av denne læringen kommer med tiden, men det finnes måter å sette i gang prosessen på. Se på dette konkrete eksempelet fra Anands erfaring.
Tips nr. 2: Møt ikke-tekniske team for å forstå målene deres og hvordan de jobber.
«Jeg sørger for å møte team utenfor sikkerhet for å forstå arbeidsflytene deres», sier Anand. «Jeg har erfart at det å vite hvilke verktøy og prosesser salgs- eller markedsføringsteamene er avhengige av – enten det er Dropbox, arbeid fra offentlige nettverk eller lignende – hjelper meg med å planlegge hvordan jeg kan balansere sikkerhetskrav med forretningsflyt og drift.»
Tips nr. 3: Vær forberedt på diskusjoner og debatter om leverandører og verktøy.
Anand bemerker også at diskusjoner om leverandører, verktøy og beste praksis ser ut til uunngåelig å oppstå og gjenta seg når nye personer – det vil si deg – blir med i teamet. Ta del i dem – det er en god mulighet til å dele ekspertisen og erfaringen din, samtidig som du blir kjent med kollegaene dine og lærer mer inngående om selskapet – særlig fordi sikkerhetseksperter (og IT-eksperter generelt) ofte har, eh, entusiastiske meninger om temaet.
«Jeg opplever ofte at jeg blir involvert i leverandørdiskusjoner i løpet av de første par ukene,» hevder Anand. «De fleste sikkerhetsingeniører kommer inn med sterke meninger om sikkerhetsverktøy basert på tidligere bruk, og det kan være verdifullt for teamet å dele disse perspektivene tidlig. Bare husk å være åpen for å forstå hvorfor bestemte valg ble tatt i det nye miljøet ditt.»
De første 60 dagene
Når du vet nok til at du ikke står i umiddelbar fare for å smelte selskapets servere eller ved et uhell påføre selskapet en ublu skyregning, kan du begynne å ta på deg mer med selvtillit.
I denne fasen prioriterer Anand oppgaver og prosjekter – du kan begynne i det små og deretter legge til mellomstore og store prosjekter – som knytter trådene til organisasjonens strategiske mål og prioriteringer.
Tips nr. 4: Ta ansvar for arbeid som er tydelig knyttet til virksomhetens mål.
Dette kan omfatte alt fra det detaljorienterte arbeidet med å finjustere varsler og gjennomgå konfigurasjoner til å identifisere potensielle sikkerhetshull. Ikke avfei noe som «for lite» – hvis det er viktig for selskapet, er det viktig her.
Det er en mulighet til å styrke organisasjonsforståelsen din, samtidig som du tilpasser den konkrete rollen og arbeidet ditt til det overordnede oppdraget.
«Bruk denne tiden til å gå dypere inn i hvordan arbeidet ditt kan samsvare med det den nye organisasjonen din verdsetter høyest,» sier Anand.
More Articles
De første 90 dagene
I den siste fasen av den typiske tremånedersperioden som «nyansatt» er det på tide å anvende det du har lært – ikke bare i løpet av de første 60 dagene i den nye organisasjonen, men gjennom hele karrieren.
Tips nr. 5: Vær proaktiv når du anvender ferdighetene og ekspertisen din.
Som en generell tommelfingerregel liker ikke folk at en nyansatt begynner å fortelle alle på dag to at de har gjort alt feil hele tiden – det gir ikke det beste inntrykket. Men det betyr ikke at du ikke bør tilby ferdighetene og ekspertisen din med selvtillit tidlig i ansettelsesforholdet – og dette er et godt tidspunkt å begynne med det på.
«Del sikkerhetsobservasjonene dine, men gjør det sammen med konkrete anbefalinger som kan settes ut i livet,» sier Anand. «Rollen din handler i bunn og grunn om å gjøre det mulig for virksomheten å lykkes på en sikker måte, ikke bare om å håndheve regler – det er en forskjell.»
Det er en god formel generelt: Ikke bare påpek potensielle utfordringer eller problemer. Kom også med anbefalinger og løsninger.
Til slutt må du ikke glemme at de første 90 dagene nettopp er det: de første 90 dagene. Det er startpunktet for det som forhåpentligvis blir en suksesshistorie på lang sikt.
Tips nr. 6: Vær ydmyk, og husk at det er greit å ikke vite alt.
Anand påpeker at SOC-er og sikkerhetsarbeid generelt ofte innebærer høyt press og mye som står på spill. Du kommer ikke til å lære alle detaljer om den nye organisasjonen din i løpet av 90 dager. Ikke vær redd for å be om hjelp.
«Jeg har erfart at det er avgjørende å etablere tydelige eskaleringsrutiner og aldri nøle med å involvere mer erfarne teammedlemmer når noe virker feil,» sier Anand. «Det er bedre å varsle tidlig enn å forsøke å håndtere alt alene.»
Konklusjonen
Tips nr. 7: Husk at sikkerhet handler like mye om mennesker som om teknologi.
Som avsluttende råd sier Anand: «Det viktigste nyansatte sikkerhetsingeniører bør huske, er etter min mening at virkeligheten deres handler like mye om mennesker som om systemer. Å være imøtekommende og samarbeidsorientert vil bringe deg lenger enn teknisk ekspertise alene. Hold kommunikasjonskanalene åpne, og husk at hver organisasjon har sin egen rytme. Jobben din er å styrke sikkerheten uten å forstyrre denne flyten.»
Abonner på nyhetsbrevet til The CTO Club for å få de nyeste innsiktene fra ledende tenkere i programvarebransjen.
