Arrase no Seu Novo Trabalho em Cibersegurança Desde o Primeiro Dia

Então, é um Engenheiro de Segurança que acabou de conseguir o emprego que andava à procura. Parabéns! E agora?

Antes de mais, dê uma palmada nas costas e celebre – mereceu-o. Procurar emprego é, por si só, um trabalho a tempo inteiro. Mas, quando chega o primeiro dia na nova função, vai querer começar em força e posicionar-se para ter sucesso a curto e a longo prazo.

Como é que isso se traduz para Engenheiros de Segurança, Analistas de Segurança e funções semelhantes? Recentemente, pedimos a um profissional de segurança experiente – Himanshu Anand, Analista de Segurança na empresa de cibersegurança c/side – que partilhasse algumas ideias sobre como lidar com a integração numa nova equipa e organização. Anand trabalhou como Analista de Segurança ou Engenheiro de Segurança durante grande parte da sua carreira, tendo passado anteriormente por empresas como a Cloudflare, a Symantec e a JPMorgan Chase.

Um princípio fundamental a ter em mente: aprender os aspetos técnicos da função é apenas uma parte da história. “Os primeiros 90 dias dos engenheiros de segurança servem para desenvolver uma compreensão tanto dos elementos técnicos e humanos da nova organização como da sua posição dentro dela”, partilha Anand. “Aprendi que, embora os conhecimentos técnicos de segurança sejam, naturalmente, cruciais, o sucesso também depende da forma como compreende os contextos empresariais subjacentes e da eficácia (e, por vezes, da rapidez) com que consegue criar relações entre equipas.”

Neste artigo, partilharei ideias mais acessíveis e orientadas para a ação para começar com o pé direito nos primeiros 90 dias de trabalho. Primeiro, vamos definir a função.

O que é um Engenheiro de Segurança?

Estamos a utilizar aqui o título Engenheiro de Segurança, mas os mesmos conselhos podem aplicar-se a várias funções de segurança relacionadas, como Analista de Segurança, Analista de Cibersegurança e Analista de SOC, para mencionar apenas algumas.

Para reforçar esse ponto, pode encontrar uma descrição clara da função no site de emprego Glassdoor – sob o título “Engenheiro de Segurança da Informação”:

“Os engenheiros de segurança planeiam, concebem, constroem e integram ferramentas e sistemas utilizados para proteger informações e dispositivos eletrónicos. Implementam sistemas para recolher informações sobre incidentes de segurança e resultados. Podem desenvolver métricas ou procedimentos para avaliar a eficácia dos sistemas e táticas utilizados, podendo também participar na criação de materiais de formação. Frequentemente, constroem ainda a infraestrutura necessária para suportar estes sistemas e processos.”

Em suma, os engenheiros de segurança estão na linha da frente da defesa das organizações atuais contra uma gama dinâmica de potenciais riscos de cibersegurança. A função é tão vital como sempre, o que também significa que pode ser bem remunerada. O site de empregos tecnológicos Built In estima o salário médio dos Engenheiros de Segurança nos EUA em $129,059. A localização, a experiência e outros fatores podem, naturalmente, fazer esse valor subir ou descer.

Vejamos mais alguns conselhos.

Os primeiros 30 dias

Depois de concluída a documentação dos recursos humanos, os primeiros dias e semanas de trabalho resumem-se a aprender. Independentemente da sua experiência anterior, trata-se de uma nova organização e de tudo o que ela envolve: pessoas, processos, ferramentas, infraestrutura e muito mais.

Conselho n.º 1: concentre-se no essencial e evolua a partir daí.

“Ao analisar os primeiros 30 dias como novo colaborador, concentrar-me-ia bastante em aprender o essencial sobre os ativos críticos da empresa, as ferramentas principais e, talvez mais importante ainda, perceber como as diferentes equipas gostam realmente de trabalhar”, afirma Anand.

No que diz respeito aos aspetos técnicos da função, não tenha receio de assumir “pequenas tarefas” como forma de aprender os detalhes da pilha tecnológica da sua nova organização e dos ativos que é responsável por proteger. (Esta discussão no Reddit sobre a integração como engenheiro principal – uma função diferente, sem dúvida, mas ainda claramente inserida no domínio das TI – também observa que estar disposto a começar com algum trabalho rotineiro indica aos novos colegas que o seu ego não é demasiado grande para passar pela porta da frente.)

Esta última parte pode parecer complicada para algumas pessoas. A sua curva de aprendizagem deve incluir os aspetos humanos da nova empresa – mas como fazê-lo? Parte dessa aprendizagem surge com o tempo, mas existem formas de iniciar o processo. Considere este exemplo específico, retirado da experiência de Anand.

Conselho n.º 2: reúna-se com equipas não técnicas para compreender os seus objetivos e a forma como trabalham.

“Faço questão de me reunir com equipas que não trabalham em segurança para compreender os seus fluxos de trabalho”, afirma Anand. “Descobri que saber de que ferramentas e processos as equipas de vendas ou de marketing dependem – quer seja o Dropbox, trabalhar a partir de redes públicas, etc. – ajuda-me a planear como equilibrar os requisitos de segurança com o fluxo e as operações do negócio.”

Conselho n.º 3: esteja preparado para discussões e debates sobre fornecedores e ferramentas.

Anand também observa que as discussões sobre fornecedores, ferramentas e boas práticas parecem ocorrer e voltar inevitavelmente a ocorrer quando novas pessoas – ou seja, você – se juntam à equipa. Envolva-se nelas – é uma boa oportunidade para partilhar os seus conhecimentos e experiência, ao mesmo tempo que conhece os seus colegas de equipa e aprende mais detalhadamente sobre a empresa – especialmente porque os profissionais de segurança (e os profissionais de TI em geral) têm frequentemente opiniões, digamos, entusiásticas sobre o assunto.

“Muitas vezes, dou por mim envolvido em discussões sobre fornecedores nas primeiras duas semanas,” afirma Anand. “A maioria dos engenheiros de segurança chega com opiniões fortes sobre ferramentas de segurança, baseadas em experiências anteriores, e partilhar estas perspetivas desde cedo pode ser valioso para a equipa. Lembre-se apenas de manter a mente aberta para compreender por que motivo foram tomadas determinadas decisões no seu novo ambiente.”

Os primeiros 60 dias

Quando já souber o suficiente para não estar em perigo iminente de derreter os servidores da sua empresa ou de fazer acidentalmente disparar uma fatura exorbitante na nuvem, pode começar a assumir mais responsabilidades com confiança.

Nesta fase, Anand dá prioridade a tarefas e projetos – pode começar por algo pequeno e depois acrescentar projetos médios e grandes – que estabeleçam uma ligação entre os vários elementos e os objetivos e prioridades estratégicos da organização.

Dica n.º 4: Assuma a responsabilidade por trabalho que esteja explicitamente ligado aos objetivos empresariais.

Isto pode incluir tudo, desde o trabalho minucioso de aperfeiçoar alertas e rever configurações até identificar potenciais lacunas de segurança. Não desvalorize algo por ser “demasiado pequeno” – se é importante para a empresa, é importante aqui.

É uma oportunidade para acelerar a sua inteligência organizacional e, ao mesmo tempo, ajustar a sua função e o seu trabalho específicos à missão mais abrangente.

“Utilize este período para aprofundar a forma como o seu trabalho pode estar alinhado com aquilo que a sua nova organização mais valoriza,” afirma Anand.

Os primeiros 90 dias

Na fase final do habitual período de três meses de “novo contratado”, é altura de aplicar aquilo que aprendeu – não apenas nos primeiros 60 dias na nova organização, mas ao longo de toda a sua carreira.

Dica n.º 5: Seja proativo na aplicação das suas competências e conhecimentos.

Como regra geral, as pessoas não gostam quando um novo contratado começa, no segundo dia, a dizer a toda a gente que têm feito tudo mal durante todo este tempo – não é uma boa imagem. Mas isso não significa que não deva oferecer com confiança as suas competências e conhecimentos no início da sua permanência – e este é um bom momento para começar a fazê-lo.

“Partilhe as suas observações sobre segurança, mas faça-o juntamente com recomendações práticas,” afirma Anand. “O seu papel consiste fundamentalmente em permitir que a empresa prospere em segurança, e não apenas em fazer cumprir regras — há uma diferença. ”

Esta é, de um modo geral, uma boa fórmula: não se limite a apontar potenciais problemas ou questões. Apresente também recomendações e soluções.

Por fim, não se esqueça de que os primeiros 90 dias são isso mesmo: os primeiros 90 dias. É o ponto de partida para aquilo que, esperamos, se tornará uma história de sucesso a longo prazo. 

Dica n.º 6: Mantenha-se humilde e lembre-se de que é perfeitamente aceitável não saber tudo.

Anand salienta que os SOC e o trabalho de segurança, em geral, envolvem frequentemente muita pressão e riscos elevados. Não vai aprender todos os pormenores da sua nova organização em 90 dias. Não tenha medo de pedir ajuda.

“Descobri que é crucial estabelecer vias claras de escalonamento e nunca hesitar em envolver membros mais experientes da equipa quando algo parece estar errado,” afirma Anand. “É preferível emitir um alerta antecipadamente do que tentar resolver tudo sozinho.”

Em suma

Dica n.º 7: Lembre-se de que a segurança diz tanto respeito às pessoas como à tecnologia.

Como conselho final, Anand afirma: “É discutível, mas talvez o mais importante a recordar para os engenheiros de segurança recém-contratados é que a sua realidade diz tanto respeito às pessoas como aos sistemas. Ser acessível e colaborativo levá-lo-á mais longe do que apenas a competência técnica. Mantenha abertos esses canais de comunicação e lembre-se de que cada organização tem o seu próprio ritmo. O seu trabalho consiste em reforçar a segurança sem perturbar esse fluxo.”

Subscreva o boletim informativo do The CTO Club para receber os conhecimentos mais recentes dos principais pensadores da indústria de software.