A więc jesteś inżynierem ds. bezpieczeństwa, który właśnie zdobył wymarzoną pracę. Gratulacje! Co teraz?
Po pierwsze, poklep się po plecach i świętuj – zasłużyłeś na to. Poszukiwanie pracy samo w sobie jest zajęciem na pełny etat. Jednak gdy nadejdzie pierwszy dzień w nowej roli, chcesz od razu dobrze wystartować i zapewnić sobie sukces zarówno w krótkiej, jak i długiej perspektywie.
Jak wygląda to w przypadku inżynierów ds. bezpieczeństwa, analityków ds. bezpieczeństwa i osób na podobnych stanowiskach? Niedawno poprosiliśmy doświadczonego specjalistę ds. bezpieczeństwa – Himanshu Ananda, analityka ds. bezpieczeństwa w firmie zajmującej się cyberbezpieczeństwem c/side – o podzielenie się spostrzeżeniami na temat wdrażania się w pracę z nowym zespołem i w nowej organizacji. Anand przez większą część swojej kariery pracował jako analityk ds. bezpieczeństwa lub inżynier ds. bezpieczeństwa, wcześniej zajmując stanowiska w takich firmach jak Cloudflare, Symantec i JPMorgan Chase.
Kluczowa zasada, o której warto pamiętać: poznanie technicznych aspektów pracy to tylko część całej historii.„Pierwsze 90 dni inżynierów ds. bezpieczeństwa to czas na rozwijanie zrozumienia zarówno technicznych, jak i ludzkich aspektów nowej organizacji oraz swojej pozycji w jej strukturach”, mówi Anand. „Nauczyłem się, że choć techniczne kompetencje w zakresie bezpieczeństwa są oczywiście kluczowe, sukces zależy również od tego, jak dobrze rozumiesz podstawowy kontekst biznesowy i jak skutecznie – a czasami jak szybko – potrafisz budować relacje między zespołami.”
W tym artykule przedstawię więcej przystępnych, praktycznych pomysłów na dobry start w ciągu pierwszych 90 dni pracy. Najpierw zdefiniujmy tę rolę.
Kim jest inżynier ds. bezpieczeństwa?
W tym miejscu używamy nazwy stanowiska „inżynier ds. bezpieczeństwa”, ale te same wskazówki mogą dotyczyć wielu powiązanych ról związanych z bezpieczeństwem, takich jak analityk ds. bezpieczeństwa, analityk cyberbezpieczeństwa, analityk ds. cyberbezpieczeństwa i analityk SOC.
Aby podkreślić tę kwestię, możesz znaleźć jasny opis tej roli w serwisie z ofertami pracy Glassdoor – pod nazwą „Inżynier ds. bezpieczeństwa informacji”:
„Inżynierowie ds. bezpieczeństwa planują, projektują, budują i integrują narzędzia oraz systemy wykorzystywane do ochrony informacji elektronicznych i urządzeń. Wdrażają systemy do gromadzenia informacji o incydentach bezpieczeństwa i ich rezultatach. Mogą opracowywać metryki lub procedury służące do oceny skuteczności wykorzystywanych systemów i taktyk, a także uczestniczyć w tworzeniu materiałów szkoleniowych. Często budują również infrastrukturę wspierającą te systemy i procesy.”
Krótko mówiąc, inżynierowie ds. bezpieczeństwa stoją na pierwszej linii obrony współczesnych organizacji przed dynamicznie zmieniającym się zakresem potencjalnych zagrożeń cyberbezpieczeństwa. Ta rola jest ważniejsza niż kiedykolwiek, co oznacza również, że może być dobrze płatna. Serwis z ofertami pracy w branży technologicznej Built In szacuje średnie wynagrodzenie inżynierów ds. bezpieczeństwa w USA na $129,059. Lokalizacja, doświadczenie i inne czynniki mogą oczywiście zmienić tę kwotę w obu kierunkach.
Przejdźmy do kolejnych porad.
Have an account? Log In
Pierwsze 30 dni
Gdy formalności związane z dokumentami HR są już załatwione, pierwsze dni i tygodnie pracy sprowadzają się do nauki. Niezależnie od wcześniejszego doświadczenia jest to nowa organizacja i wszystko, co się w niej znajduje: ludzie, procesy, narzędzia, infrastruktura i tak dalej.
Wskazówka nr 1: Skup się na podstawach i rozwijaj się dalej.
„Patrząc na pierwsze 30 dni jako nowo zatrudniona osoba, skupiłbym się przede wszystkim na poznaniu podstaw dotyczących kluczowych zasobów firmy, najważniejszych narzędzi i – być może przede wszystkim – zrozumieniu, jak poszczególne zespoły faktycznie lubią pracować”, mówi Anand.
Jeśli chodzi o techniczne aspekty pracy, nie obawiaj się podejmowania „drobnych rzeczy” jako sposobu na poznanie tajników stosu technologicznego nowej organizacji oraz zasobów, za których ochronę odpowiadasz. (Ta dyskusja na Reddicie dotycząca wdrażania się do pracy na stanowisku starszego inżyniera – z pewnością innej roli, ale nadal wyraźnie związanej z obszarem IT – również zauważa, że gotowość do rozpoczęcia od prac wymagających wysiłku sygnalizuje nowym współpracownikom, że twoje ego nie jest zbyt duże, by przejść przez drzwi wejściowe.)
Ta ostatnia kwestia może wydawać się dla niektórych trudna. Twoja krzywa uczenia się powinna obejmować ludzkie aspekty nowej firmy – ale jak się za to zabrać? Część tej wiedzy przychodzi z czasem, ale istnieją sposoby na przyspieszenie tego procesu. Rozważmy konkretny przykład zaczerpnięty z doświadczeń Ananda.
Wskazówka nr 2: Spotykaj się z zespołami nietechnicznymi, aby zrozumieć ich cele i sposób pracy.
„Dbam o to, by spotykać się z zespołami niezwiązanymi z bezpieczeństwem i rozumieć ich przepływy pracy”, mówi Anand. „Przekonałem się, że wiedza o tym, z jakich narzędzi i procesów korzystają zespoły sprzedaży lub marketingu – czy jest to Dropbox, praca z sieci publicznych itp. – pomaga mi zaplanować sposób równoważenia wymagań bezpieczeństwa z przepływem procesów biznesowych i działalnością operacyjną.”
Wskazówka nr 3: Przygotuj się na dyskusje i debaty dotyczące dostawców oraz narzędzi.
Anand zauważa również, że dyskusje na temat dostawców, narzędzi i najlepszych praktyk wydają się nieuchronnie pojawiać i powracać, gdy do zespołu dołączają nowe osoby – czyli Wy. Przyjmijcie je z otwartością – to dobra okazja, aby podzielić się swoją wiedzą i doświadczeniem, a jednocześnie poznać członków zespołu i dowiedzieć się więcej o firmie, zwłaszcza że specjaliści ds. bezpieczeństwa (a także specjaliści IT ogólnie) często mają, hm, entuzjastyczne opinie na ten temat.
„Często już w ciągu pierwszych kilku tygodni biorę udział w dyskusjach dotyczących dostawców” – twierdzi Anand. „Większość inżynierów ds. bezpieczeństwa przychodzi z ugruntowanymi opiniami na temat narzędzi bezpieczeństwa, opartymi na wcześniejszym użytkowaniu, a wczesne dzielenie się tymi perspektywami może być wartościowe dla zespołu. Pamiętaj tylko, aby zachować otwartość na zrozumienie, dlaczego w Twoim nowym środowisku podjęto określone decyzje.”
Pierwsze 60 dni
Gdy wiesz już wystarczająco dużo, aby nie groziło Ci bezpośrednie stopienie serwerów firmy ani przypadkowe wygenerowanie astronomicznego rachunku za chmurę, możesz zacząć śmiało brać na siebie więcej obowiązków.
Na tym etapie Anand ustala priorytety zadań i projektów – możesz zacząć od małych, a następnie dodawać średnie i duże projekty – które łączą poszczególne elementy ze strategicznymi celami i priorytetami organizacji.
Wskazówka nr 4: Przejmuj odpowiedzialność za pracę, która wyraźnie łączy się z celami biznesowymi.
Może to obejmować zarówno skrupulatne dostrajanie alertów i przeglądanie konfiguracji, jak i identyfikowanie potencjalnych luk w zabezpieczeniach. Nie uznawaj niczego za „zbyt małe” – jeśli ma znaczenie dla firmy, ma znaczenie również tutaj.
To okazja, aby przyspieszyć rozwój swojej inteligencji organizacyjnej, a jednocześnie dostosować swoją konkretną rolę i pracę do szerszej misji.
„Wykorzystaj ten czas, aby dokładniej zbadać, w jaki sposób Twoja praca może być zgodna z tym, co nowa organizacja ceni najbardziej” – mówi Anand.
More Articles
Pierwsze 90 dni
Na końcowym etapie typowego trzymiesięcznego okresu „nowego pracownika” nadchodzi czas, aby zastosować w praktyce to, czego się nauczyłeś – nie tylko w ciągu pierwszych 60 dni w nowej organizacji, lecz także w całej swojej karierze.
Wskazówka nr 5: Aktywnie wykorzystuj swoje umiejętności i wiedzę specjalistyczną.
Zgodnie z ogólną zasadą ludzie nie przepadają za tym, gdy nowy pracownik już drugiego dnia zaczyna wszystkim mówić, że przez cały ten czas robili wszystko źle – nie wygląda to najlepiej. Nie oznacza to jednak, że na początku swojej pracy nie powinieneś śmiało oferować swoich umiejętności i wiedzy specjalistycznej – a to dobry moment, aby zacząć to robić.
„Dziel się swoimi spostrzeżeniami dotyczącymi bezpieczeństwa, ale rób to wraz z możliwymi do wdrożenia zaleceniami” – mówi Anand. „Twoja rola polega przede wszystkim na umożliwianiu firmie bezpiecznego rozwoju, a nie tylko na egzekwowaniu zasad — to istotna różnica.”
Ogólnie rzecz biorąc, to dobra zasada: nie wskazuj jedynie potencjalnych zagrożeń czy problemów. Przedstawiaj również zalecenia i rozwiązania.
Na koniec pamiętaj, że pierwsze 90 dni to właśnie pierwsze 90 dni. To punkt wyjścia do historii sukcesu, która, miejmy nadzieję, potrwa znacznie dłużej.
Wskazówka nr 6: Zachowaj pokorę i pamiętaj, że to w porządku nie wiedzieć wszystkiego.
Anand zwraca uwagę, że praca w SOC i praca związana z bezpieczeństwem ogólnie często wiążą się z dużą presją i wysoką stawką. Nie poznasz wszystkich szczegółów działania nowej organizacji w ciągu 90 dni. Nie bój się prosić o pomoc.
„Przekonałem się, że kluczowe znaczenie ma ustanowienie jasnych ścieżek eskalacji i nigdy nie należy się wahać przed zaangażowaniem bardziej doświadczonych członków zespołu, gdy coś wydaje się nieprawidłowe” – mówi Anand. „Lepiej wcześnie podnieść alarm, niż próbować radzić sobie ze wszystkim samodzielnie.”
Podsumowanie
Wskazówka nr 7: Pamiętaj, że bezpieczeństwo w równym stopniu dotyczy ludzi i technologii.
Jako radę na zakończenie Anand przedstawia następujące słowa: „Prawdopodobnie najważniejszą rzeczą, o której powinni pamiętać nowo zatrudnieni inżynierowie ds. bezpieczeństwa, jest to, że ich rzeczywistość w równym stopniu dotyczy ludzi i systemów. Przystępność i umiejętność współpracy zaprowadzą Cię dalej niż sama wiedza techniczna. Utrzymuj otwarte kanały komunikacji i pamiętaj, że każda organizacja ma własny rytm. Twoim zadaniem jest zwiększanie bezpieczeństwa bez zakłócania tego przepływu.”
Zapisz się do newslettera The CTO Club, aby otrzymywać najnowsze spostrzeżenia czołowych ekspertów z branży oprogramowania.