Come valutare gli engineer di cybersecurity: il modo giusto
La trappola dell'hiring security
La maggior parte delle aziende valuta talento cybersecurity come qualsiasi engineer: test di codice e trivia. Una security engineer scrive codice. Dovrebbe essere brava in algoritmi e systems design. Ma se assumi basandoti solo su quello, perdi il vero segnale security.
Il fix è costruire valutazione che misura cosa fanno davvero le security engineer: threat modeling, ragionamento trade-off e giudizio architetturale.
Tre componenti di valutazione che funzionano
1. Scenario di threat modeling (30 min, take-home)
Il formato: descrivi un sistema. Chiedi alla candidata di identificare i top 3 rischi di sicurezza, classificarli per severity e spiegare la mitigazione del più alto.
Cosa misuri:
- Possono pensare dalla prospettiva dell'attaccante?
- Considerano l'intera attack surface?
- Possono classificare il rischio per probabilità e impatto?
- Le loro mitigazioni sono pratiche o teoriche?
2. Code review + giudizio sulla vulnerability (45 min)
Presenta uno snippet di codice realistico con un security flaw nascosto.
Snippet Python con rischio SQL injection:
query = f"SELECT * FROM users WHERE email = '{email}'"
Ma chiedi: "Qual è il rischio effettivo qui?" Una candidata che dice "SQL injection" è tecnicamente corretta ma incompleta. Una che dice "SQL injection, sì, ma solo se l'input email non è prima validato" pensa come una security engineer.
3. Valutazione architettura: defense-in-depth (60 min)
Dai loro un problema di architettura: "Progetta il layer di autenticazione per una piattaforma con API pubbliche e private, dove un compromise di token è catastrofico."
Cosa misuri:
- Stratificano le difese?
- Possono spiegare perché un singolo control non basta?
- Pensano a detection e recovery, non solo prevention?
Come pesare la valutazione
Per security generalista:
- 40% threat modeling
- 30% code review
- 30% architettura
Il follow-up conta
Nel follow-up: "Portami attraverso il tuo threat model. Cosa hai mancato?" "Come spiegheresti questa mitigazione a un engineer che dice 'è overkill'?"
Cosa NON valutare
- OWASP Top 10 memorizzata
- Trivia "quale cipher è migliore"
- Velocità nel risolvere puzzle LeetCode
- Superare una certificazione specifica
Costruire vs comprare
Alcune piattaforme offrono valutazioni cybersecurity pre-costruite. Sono un punto di partenza. Ma le migliori valutazioni sono customizzate al tuo ruolo e threat model. Compra la piattaforma; costruisci le domande.
ClarityHire offre valutazioni security customizzabili con stanze di live coding, file upload per diagrammi di architettura e valutazione multi-stage.
Il risultato
Valuta il ragionamento sulle minacce, non la trivia, e assumerai engineer che pensano difensivamente di default. Quegli engineer diventano moltiplicatori di forza.