Вопросы на собеседовании безопасника

Отступление

Речь не пойдет о собеседованиях на должности апсеков и инженеров SOC, речь в статье пойдет только о классических специалистах ИБ - универсалах своего дела.

Рассмотрим 2 сценария:

1. собеседование в компанию имеющую штат специалистов по ИБ;

2. собеседование в компанию, которая ищет первого безопасника, не всегда целью поиска является создание целого подразделения и соответственно собеседование именно на руководителя такого подразделения, часто работодатель хочет нанять просто специалиста чтобы понять его значимость.

Собеседование в компанию не имеющей безопасников

Часто на собеседованиях в компании, которые только начинают формировать штат ИБ, вообще не задают каких-то технических вопросов, мое видение проблемы такое:

1. у работодателя нет того, кто бы хоть как-то разбирался в комплаенсе ИБ глубже даже начинающего безопасника;

2. собеседует ИТ-шник, но он сам боится задать вопрос на стыке ИТ и ИБ.

Итого обычно основное вступление у подобных соискателей такое: у нас есть то-то и то-то, хотим примерно то-то, опасаемся этого, видим примерно такие-то проблемы. Вступление может и вообще отсутствовать. У работодателя в итоге вытекают логичные вопросы:

1. как по вашему мнению должно выглядеть подразделение ИБ в нашей компании;

2. сколько в нем должно быть человек;

3. с чего начнете работу в нашей компании;

4. в каком порядке и что вы будете делать, пожалуйста, по подробнее.

Можно добавить, что будут вопросы в части администрирования операционных систем, различного оборудования. Работодатель хочет понять насколько соискатель имел опыт практической работы пусть и не по направлению ИБ.

В целом подобные собеседования для работодателя - это возможность увидеть взгляд на свою проблему разными людьми, а тех кто увидел проблему в лучшем свете по мнению работодателя и ждет офер.

Стоит отметить, часто поиском безопасника работодатели начинают заниматься из-за появления подозрений, что их внутренняя информация начала попадать конкурентам. Цель поиска безопасника для них - это не выполнение требований регуляторов и усиление состояния защищенности организации в целом, а именно решение конкретной проблемы, но опыт и мнение соискателя тоже интересно послушать.

Собеседование в компанию со штатом ИБ

В данном случае уже присутствуют технические вопросы, вопросы по ИБ.

Стоит разделить вопросы на собеседованиях относительно предлагаемого уровня должности.

Собеседование на начальные позиции:

1. что такое модели TCP/IP либо OSI?

2. назовите названия уровней одной из моделей?

3. что такое криптография?

4. какие виды криптографии бывают и для чего применяются?

5. что такое электронная подпись и чем отличается от хэша?

6. для того чтобы безопасно передать информацию получателю, каким ключом ее подписывать, а каким шифровать?

7. назовите нормативные акты по ИБ и кратко опишите их назначение;

8. что такое риск ИБ и как им управлять?

9. какие методологии управления ИБ вам известны?

10. чем отличается антивирус от EDR?

11. каких производителей какого-то (зависит от потребностей конкретного работодателя) средства защиты знаете?

12. как бы Вы реализовали процесс управления доступом?

13. как защититься от утечки информации?

14. что такое DMZ?

Как видим вопросы достаточно базовые и достаточно редко они будут на знание именно нормативки регуляторов либо лучших практик, скорее таких вообще не бывает.

Собеседование на позиции выше.

В данном случае ищут как универсала, так и безопасника, который будет заниматься узкой деятельностью, перечень вопросов можно прикинуть из описания обязанностей в вакансии и требований к соискателю.

Часто собеседующему безопаснику достаточно услышать начало ответа на вопрос и он начинает накидывать следующий вопрос на основе ответа не дав ответить соискателю так как понимает, что соискатель знает ответ. Бывает так, что работодатель либо собеседующий безопасник задает сразу 5 вопросов и просит на них ответить. Суть сводится к возможности соискателем вспомнить все вопросы и ответить на все вопросы при условии дополнительных вопросов по ходу ответов на условные 5 вопросов.

Примерный список общих вопросов:

1. этапы создания системы защиты информации?

2. приведите перечень основных уязвимостей информационных систем либо ПО (намек на перечисление уязвимостей из списка OWASP TOP 10 либо БДУ ФСТЭК Росси);

3. раскройте описание одной из уязвимостей OWASP TOP 10, обычно это SQL-инъекция, XSS, неверная аутентификация;

4. какие средства и методы защиты применяют для защиты того-то и того-то, например, сейчас актуальна тема удаленного доступа;

5. опишите процесс работы протокола безопасности, часто это Kerberos или TLS;

6. опишите процесс реализации атаки, например, подбор пароля, какой-то из видов спуфинга на один из протоколов модели OSI, DNS-тунель;

7. опишите как бы вы защищались от угрозы, выбранная угроза зависит от текущих потребностей работодателя;

8. минимальная длина пароля для учетных записей в AD и почему?

Как видим, вопросы уже на более глубокое понимание процессов, но опять же, по нормативке вопросов минимальное количество. Все хотят видеть знания именно в технике процессов и защиты.

Вопросы по резюме

Суть вопросов сводится к пониманию того, что написал в своем резюме сам соискатель:

1. вы пишете, что занимались тем-то, расскажите что конкретно делали и чего добились;

2. на основе каких нормативных документов и лучших практик вы занимались указанной в данном пункте резюме деятельностью;

3. у вас указан опыт работы с тем-то продуктом, опишите что бы вы улучшили на предыдущем месте работы в части работы с этим продуктом;

4. у вас указан опыт работы с тем-то продуктом, опишите как он работает.

Как можно понять, работодатель пытается понять правда ли написана в резюме у соискателя и понимает ли он что вообще написал.

Общие вопросы

Тут все просто:

1. почему в поиске?

2. какое из направлений вам более интересно: комплаенс, администрирование СЗИ, аналитика, написание документов, безопасная разработка, тестирование на проникновения, реагирование на инциденты?

3. какие паблики по ИБ читаете?

4. как еще прокачиваете свои навыки?

5. пишите ли статьи или может в Twitter что публикуете?

6. готовы ли к переезду на север либо в иную глушь:) ?

7. перечислите 3 ваших достижения, обычно за весь опыт либо за опыт в конкретной компании?

8. в каком направлении хотели бы развивать в перспективе?

P.S.

Если есть интересные вопросы из вашего опыта, оставьте их комментарием.