אבטחת מידע בענן: את מי מגייסים כשהתשתית עברה לענן

בקצרהאבטחת מידע בענן נשענת על מודל של אחריות משותפת: ספק הענן מאבטח את התשתית הפיזית, והארגון אחראי על ההרשאות, על התצורה, על הנתונים ועל הניטור. לכן התפקיד המרכזי הוא מהנדס אבטחת ענן שמבין זהויות והרשאות, כותב תשתית כקוד ובונה ניטור, ויודע לעבוד לצד צוותי הפיתוח בלי לעכב אותם.

אבטחת מידע בענן מתחילה בשאלה מי אחראי על מה

כשהשרתים עמדו בחדר בקומת המרתף, היה ברור מי שומר עליהם. המעבר לענן העביר חלק מהעבודה לספק, אבל לא את כולה, ובפער הזה נופלים רוב הארגונים. ספק הענן מאבטח את מרכזי הנתונים, את החומרה ואת שכבת הווירטואליזציה. כל מה שנבנה מעל זה, מההרשאות ועד הנתונים עצמם, נשאר באחריות הלקוח.

המודל הזה נקרא אחריות משותפת, והוא משנה את פרופיל האנשים שצריך. אבטחת מידע בענן אינה עוד חומת אש בכניסה לרשת, אלא עבודה שוטפת על תצורה, זהויות ואוטומציה. הצוות שהגן היטב על הרשת המקומית לא תמיד מוכן לעולם שבו כל מפתח יכול להקים משאב חשוף בלחיצה אחת.

לכן לפני שפותחים משרה, כדאי לשבת עם צוות התשתיות ולמפות מה כבר מכוסה ומה לא. המיפוי הזה קובע אם צריך מהנדס שבונה מאפס, מישהו שמסדר סביבה קיימת שגדלה בלי תכנון, או מומחה שמכין את הארגון לביקורת של לקוח או של רגולטור.

איפה הארגון חשוף אחרי המעבר לענן

ההרשאות הן נקודת התורפה הגדולה ביותר. חשבונות שירות עם הרשאות רחבות מדי, מפתחות גישה שנשכחו בקוד ומשתמשים שעזבו ונשארו פעילים פותחים דלת בלי שאיש תקף דבר. בענן, זהות היא ההיקף החדש, ומי שמנהל אותה מנהל את רוב הסיכון.

החשיפה השנייה היא תצורה. אחסון שנפתח לציבור בטעות, מסד נתונים עם כתובת חיצונית או רשת בלי הפרדה בין סביבת הפיתוח לייצור הם טעויות של דקה שמתגלות אחרי חודשים. החשיפה השלישית היא היעדר נראות: בלי ניטור מרוכז של יומני הפעילות, אף אחד לא יודע שמשהו קרה עד שלקוח או חוקר מבחוץ מתריע.

בישראל מתווספת לזה שכבה רגולטורית. התיקון לחוק הגנת הפרטיות והנחיות הרשות להגנת הפרטיות מחייבים לדעת איפה נשמר מידע אישי ומי ניגש אליו, וגופים פיננסיים כפופים גם להוראות של המפקחים עליהם. מי שמגייס לתפקיד צריך לוודא שהמועמד מכיר את הדרישות שחלות על הארגון.

התפקידים שבונים הגנה בענן

התפקיד המרכזי הוא מהנדס אבטחת ענן. הוא מגדיר את מבנה החשבונות וההרשאות, כותב מדיניות שנאכפת אוטומטית, בונה את הניטור ומטפל בממצאים. בארגון גדול יותר מצטרף אליו ארכיטקט סייבר שקובע את העקרונות לכל הסביבות, ומומחה ניהול זהויות שמתמקד בגישה של אנשים ושל מערכות.

לצידם עובד מהנדס DevSecOps, שמכניס בדיקות אבטחה לצנרת הפיתוח, כך שתבנית תשתית עם חור אבטחה נעצרת לפני שהיא עולה. בחברות צעירות התפקידים האלה מתלכדים לאדם אחד, ולכן חשוב להחליט מה הוא יעשה ברבעון הראשון ולא רק מה כתוב בתואר. פירוט של כל התפקידים בתחום מופיע בעמוד הנדסת אבטחה וענן.

מה בודקים אצל מהנדס אבטחת ענן

הדבר הראשון הוא ניסיון אמיתי בסביבה חיה. בקשו מהמועמד לתאר סביבה שהוא אבטח, איך נראה מבנה החשבונות, איזו טעות מצא ואיך תיקן אותה. מי שעבד באמת מדבר על פשרות, על התנגדויות של צוותי פיתוח ועל ממצאים שנשארו פתוחים, ולא רק על כלים.

הדבר השני הוא תשתית כקוד. מהנדס שמתקן ידנית בממשק הניהול ייצור סביבה שאי אפשר לשחזר. שאלו איך הוא כותב מדיניות, איך היא נבדקת ואיך מונעים חזרה של אותה טעות. הדבר השלישי הוא ניטור ותגובה: אילו התראות הוא בנה, כמה מהן היו רעש, ומה עשה כשאחת מהן התבררה כאמיתית.

אל תוותרו גם על הצד האנושי. מהנדס אבטחה שכל תשובה שלו היא איסור יהפוך מהר לגורם שעוקפים. חפשו מי שמציע לצוותי הפיתוח דרך בטוחה לעשות את מה שהם צריכים, ומסביר להנהלה סיכון בלי להפחיד ובלי להקטין.

איך מגייסים מהנדס אבטחת ענן בלי לבזבז חודשים

התחילו בתיאור הסביבה ולא ברשימת כלים. כתבו באיזה ספק ענן אתם עובדים, כמה צוותים מקימים משאבים, מה כבר קיים ומה חסר. מועמדים טובים בוחרים לפי האתגר, ותיאור כללי מושך בעיקר את מי שמחפש כל משרה.

אחר כך הגדירו מבחן מעשי קצר: תבנית תשתית עם כמה בעיות מובנות, או תרחיש של התראה שצריך לחקור. שיחה מקצועית בווידאו סביב המבחן מלמדת יותר מסבב של ראיונות כלליים. בשלב האחרון, שיחות עם ממליצים שעבדו עם המועמד מול צוותי פיתוח מראות אם הוא מאפשר עבודה או עוצר אותה.

כדאי גם לחפש בכיוונים פחות צפויים. אנשי תשתיות וענן שכבר אוטומטו סביבות שלמות, ומהנדסים שעבדו על הגנת מערכות מורכבות כמו אלה שבעמוד סייבר לתשתיות קריטיות, מביאים לא פעם בסיס חזק שאפשר להשלים עליו את הידע החסר.

למה AI האנטרס מתאימה לגיוס אבטחת ענן

ב-AI האנטרס אנחנו מגייסים מהנדסי סייבר, ארכיטקטים ומומחי אבטחת ענן לחברות מוצר, לארגונים ולסטארטאפים. אנחנו מבינים את ההבדל בין מי שמכיר כלי לבין מי שבנה הגנה בסביבה חיה, ובודקים אותו כבר בשיחה הראשונה עם המועמד.

התהליך כולו מתנהל מרחוק: שיחת היכרות בווידאו על הסביבה ועל הצוות, הגדרה משותפת של התפקיד, סינון מקצועי ושיחות עם ממליצים. התמחור מותאם לצרכי הלקוח והצעת מחיר ניתנת לאחר פגישת היכרות. ספרו לנו מה אתם בונים בענן, ונחזור עם מועמדים שיודעים לשמור עליו.