Cum să evaluezi ingineri de ciberseguranță: modul corect
Capcana hiring-ului de securitate
Majoritatea companiilor evaluează talentul ciberseguranță la fel ca orice inginer: teste de cod și trivia. Un inginer de securitate scrie cod. Ar trebui să fie bun la algoritmi și design de sisteme. Dar dacă angajezi bazat doar pe asta, ratezi semnalul real de securitate.
Fix-ul e să construiești evaluare care măsoară ce fac de fapt inginerii de securitate: threat modeling, raționament trade-off și judecată arhitecturală.
Trei componente de evaluare care funcționează
1. Scenariu de threat modeling (30 min, take-home)
Formatul: descrie un sistem. Cere candidatei să identifice top 3 riscuri de securitate, să le clasifice după severitate și să explice mitigarea pentru cel mai mare.
Ce măsori:
- Pot gândi din perspectiva atacatorului?
- Iau în considerare întreaga attack surface?
- Pot clasifica riscul după probabilitate și impact?
- Mitigările lor sunt practice sau teoretice?
2. Code review + judecata vulnerabilităților (45 min)
Prezintă un snippet de cod realistic cu o vulnerabilitate îngropată.
Snippet Python cu risc SQL injection:
query = f"SELECT * FROM users WHERE email = '{email}'"
Dar întreabă: "Care e riscul real aici?" O candidată care spune "SQL injection" e tehnic corectă dar incompletă. Una care spune "SQL injection, da, dar doar dacă input-ul email nu e validat înainte" gândește ca un inginer de securitate.
3. Evaluare de arhitectură: defense-in-depth (60 min)
Dă-le o problemă de arhitectură: "Proiectează stratul de autentificare pentru o platformă cu API-uri publice și private, unde un compromise de token e catastrofal."
Ce măsori:
- Stratifică defense-uri?
- Pot explica de ce un control singur nu e suficient?
- Se gândesc la detecție și recuperare, nu doar la prevenire?
Cum să ponderezi evaluarea
Pentru generalist de securitate:
- 40% threat modeling
- 30% code review
- 30% arhitectură
Follow-up-ul contează
În follow-up: "Parcurge-mi threat model-ul. Ce ai ratat?" "Cum ai explica această mitigare unui inginer care spune 'asta e overkill'?"
Ce să NU evaluezi
- OWASP Top 10 memorat
- Trivia "care cipher e cel mai bun?"
- Viteza rezolvării puzzle-urilor LeetCode
- Trecerea unei certificări specifice
Construire vs cumpărare
Unele platforme oferă evaluări de securitate pre-construite. Sunt un punct de plecare. Dar cele mai bune evaluări sunt customizate la rolul tău și la threat model-ul tău. Cumpără platforma; construiește întrebările.
ClarityHire oferă evaluări de securitate customizabile cu camere de coding live, încărcări de fișiere pentru diagrame de arhitectură și evaluare multi-stage.
Rezultatul
Evaluează raționamentul amenințărilor, nu trivia, și vei angaja ingineri care gândesc defensiv implicit. Acești ingineri devin multiplicatori de forță.