Guia para contratar desenvolvedores com foco em segurança de aplicações

Transcrição

1 Guia para contratar desenvolvedores com foco em segurança de aplicações

2 Introdução 03 O que faz o profissional? 05 Habilidades necessárias 08 Perguntas importantes 11 Desafios 19 Conclusão 23 Sobre a Conviso 25

3 Introdução

4 Introdução Hoje em dia, a internet é o maior meio de comunicação empresarial em todo o mundo. Sua velocidade e maior precisão de dados a tornam ideal para o ambiente competitivo e cada vez mais exigente dos negócios. E como esse tipo de tecnologia já é comum na vida pessoal de muitos profissionais, não requer grandes investimentos para que a maioria dos funcionários consiga utilizá-la. Porém, com todo esse avanço, também aumentou o número de vulnerabilidades que um sistema pode possuir. Em grandes empresas, que utilizam aplicações próprias para atendimento de clientes e processos internos, qualquer falha de segurança pode ser catastrófica. Por isso, é importante contratar um desenvolvedor com foco em segurança de aplicações. Se você procurou este e-book, provavelmente já entende o valor desse profissional para a sua empresa. Continue acompanhando e veja quais são os critérios para levar em conta na hora de contratar o seu desenvolvedor. 4

5 O que faz o profissional?

6 O que faz o profissional? O trabalho de um desenvolvedor, de forma geral, é criar e analisar as várias linhas de código utilizadas em aplicativos, sites e sistemas da empresa. Quando falamos que ele possui foco em segurança, significa que ele terá o conhecimento necessário para desenvolver códigos mais seguros. 6

7 O que faz o profissional? Entre as características que devem ser identificadas são: conhecimentos de protocolos de segurança e criptografia; conhecimento de ataques comuns a aplicações web; conhecimento de processos de revisão de segurança de código. Outras atividades mais específicas podem ser determinadas, dependendo do foco do trabalho. Alguns são voltados para a segurança interna, protegendo os dados dos funcionários e da própria empresa. Outros trabalham mais com segurança externa e contato direto com os clientes. Estes requerem diferentes focos de habilidade e formação a serem considerados na hora da entrevista. 7

8 Habilidades necessárias

9 Habilidades necessárias Para ter certeza de que o candidato está apto para o serviço, você precisa confirmar os conhecimentos que ele possui. Acabamos de mencionar que algumas funções exigem know-how específico, o que deve entrar na lista, mas há certas habilidades que devem constar no repertório de qualquer desenvolvedor profissional. Veja aqui algumas delas: sistemas operacionais; funcionamento de hardware; funcionamento de software; redes de computadores; linguagens de programação. 9

10 Habilidades necessárias Você pode explorar cada um desses pontos mais a fundo no próximo capítulo. Por hora, vamos focar em descobrir quais são as demandas específicas do cargo, quais são prioridades e quais complementos seriam mais úteis. Afinal, se o trabalho não for feito de forma correta pelo desenvolvedor, as consequências podem ser severas. Além de conhecimento acadêmico, um bom desenvolvedor deve possuir certas habilidades úteis em seu trabalho como, por exemplo: capacidade de comunicação clara e eficiente; habilidade de interpretar e sintetizar informações complexas; disposição para estar sempre se atualizando. 10

11 Perguntas importantes

12 Perguntas importantes A melhor forma de testar seu novo candidato e ter certeza de suas habilidades seria um teste. No momento da entrevista, você pode fazer uma série de perguntas aos seus candidatos e avaliá-los com base nas respostas. Você pode escolher métodos de avaliação mais objetivos, como pontuação, ou algo mais subjetivo, como o grau de precisão das respostas. Em todo caso, você precisa que as perguntas revelem se o profissional possui o conhecimento específico necessário, desde o básico até o avançado. É recomendado evitar perguntas muito triviais, já que elas não revelam a capacidade de o candidato interpretar as informações oferecidas, outra habilidade básica nesse ramo. Veja a seguir alguns dos principais tópicos a serem abordados e algumas perguntas que você pode fazer aos candidatos. 12

13 Perguntas importantes TI Aqui, você deve testar o conhecimento mais básico do desenvolvedor, determinando se ele realmente é um profissional da área. O tipo de pergunta ideal nesse momento é algo abrangente e aberto, que possa se desenrolar em várias outras perguntas à medida que a entrevista decorre. Você utiliza qual sistema operacional? Qual deles considera mais seguro? Qualquer pessoa com conhecimentos básicos sobre Tecnologia da Informação pode dizer que não existe um sistema operacional isento de falhas. Assim como há pessoas dedicadas a proteger informações, temos outras que se dedicam a roubá-las, independentemente de como elas estejam armazenadas. O objetivo dessa pergunta não é encontrar conhecimento bruto, mas ver como o candidato justifica sua posição. A articulação dos argumentos mostra tanto o seu domínio sobre os vários sistemas como sua habilidade de interpretação e comunicação. O que acontece quando um link é inserido na barra de endereços do navegador? Mais uma pergunta abrangente que não possui uma resposta completa. Além de habilidade de argumentação, o candidato precisa mostrar que conhece os diferentes estágios da transmissão de informação por meio da internet. 13

14 Perguntas importantes Conceitos como Proxy, HTML, Cookies, DNS e afins devem ser citados e utilizados ao longo da entrevista. Mesmo que a resposta seja simplificada, deve ser levada em consideração. A partir dela, você pode abrir a pergunta para os diferentes detalhes do processo e como ele funciona. Segurança de Rede Caso o candidato já tenha demonstrado o conhecimento básico, é hora de buscar algo mais específico. Afinal, você está buscando um desenvolvedor com foco em segurança de aplicações. Aqui estão algumas perguntas que você também pode fazer: 14

15 Perguntas importantes Como você faria uma verificação na sua rede? O propósito dessa pergunta é descobrir se o candidato conhece as principais ferramentas e comandos que podem ser utilizados para checar o estado de segurança de uma rede. É de se esperar que ele conheça coisas como nslookup, ping, traceroute, etc. Se você tivesse a intenção, como hackearia uma rede pública de wi-fi? Pode parecer uma questão estranha para um observador comum, mas é uma das principais a serem feitas. Uma das melhores maneiras de identificar vulnerabilidades em qualquer sistema é pensar como o invasor, encontrar as falhas, explorá-las e depois descobrir maneiras de corrigi-las. Dependendo do tipo de resposta, você pode identificar quanto o candidato está informado sobre métodos de quebra de segurança. Que tipo de atitude você tomaria para prevenir um ataque DDoS em um site? Mais uma vez, essa pergunta exige conhecimento para ser respondida. Saber como uma rede funciona e como evitar acessos não solicitados é um dos requisitos básicos para atuar como desenvolvedor com foco em segurança. 15

16 Perguntas importantes Segurança de aplicações Web Já que esse será o foco do seu desenvolvedor, é importante ter uma sessão de perguntas focada neste ponto. Aqui começa uma seleção mais cuidadosa, separando candidatos que possuem conhecimento mais profundo sobre requisitos de segurança específicos para a internet. Veja alguns exemplos de questões: É melhor executar uma verificação de segurança manualmente ou automaticamente? Um bom candidato responderá algo na linha do depende da situação. Um ótimo candidato vai comparar as duas em cenários hipotéticos, estabelecendo os prós e contras de cada atitude em cada situação. O importante é que a conclusão seja a mais embasada possível. 16

17 Perguntas importantes Quais são os principais tipos de ataques contra os quais a empresa deve estar prevenida? Mais uma pergunta de conhecimento trivial, mas que revela o quanto o candidato está atualizado. Certas formas de quebra de segurança já estão obsoletas, enquanto outras mais recentes ainda causam bastante dor de cabeça nos desenvolvedores de segurança. É importante que ele conheça tanto os nomes quanto os funcionamentos e meios de prevenção. Se o candidato conhecer pelo menos a maioria, como CSRF, injeção de SQL e clickjacking, já estará melhor qualificado. Qual seria a sua atitude neste cenário hipotético? A formulação completa, para fins de adequação, deve ser feita pelo próprio gestor de TI da empresa. A ideia é criar uma situação fictícia de invasão ou de suspeita de falha, em que o candidato deve dizer como resolvê-la. Talvez a solução oferecida por ele não seja a esperada, mas é importante que ela seja plausível e eficiente. 17

18 Perguntas importantes Ferramentas Assim como a última questão, este tópico não é tão fácil de formular. Seu objetivo deve ser testar o conhecimento do candidato sobre as principais ferramentas que ele deve usar em seu trabalho. É importante focar tanto nas básicas quanto nas específicas da função. Coisas como monitoramento de rede e proxies devem sempre constar na lista. Não há muitas restrições ou guias para esta parte. Basta confirmar o conhecimento do candidato sobre ferramentas específicas e pedir que ele fale sobre outros que considera mais úteis e por qual motivo. Conhecimento prático Mais uma vez, esta questão é bem flexível. O importante aqui é fazer com que o candidato demonstre sua experiência com processos de segurança de rede e funcionamento de diversos softwares. Você já deve ter colhido um pouco destas informações ao longo do questionário, então separe uma sessão para reforçar suas teorias. Improvise questões, se necessário. Lembre-se: muito deste conhecimento depende de memória, que pode não ser tão eficiente se o candidato se sentir pressionado. Tente tornar a entrevista uma conversa tranquila, passe algumas dicas de vez em quando e evite ser muito crítico tanto no tom de voz quanto na linguagem corporal. Isso evita que você perca um bom candidato para a ansiedade. 18

19 Desafios

20 Desafios Por fim, depois de tantas perguntas, é uma boa ideia aplicar alguns testes para o seu candidato. Assim você poderá ver se suas habilidades teóricas se mantêm na prática com a mesma qualidade. Além disso, algumas pessoas se saem melhor com um trabalho direto do que em uma entrevista. Criptografia Entender o que é e como funciona a criptografia de um sistema é fundamental para qualquer profissional de segurança digital. Algum nível de criptografia é utilizado em praticamente todo o sistema, pois isso garante melhor segurança para todas as informações armazenadas. Você não precisa testar o conteúdo matemático envolvido no processo, a menos que seja algo necessário para algum projeto da empresa. Garanta apenas que o candidato entende os pontos práticos da criptografia e seu funcionamento. Já deve ser o suficiente para garantir a segurança das aplicações da empresa. 20

21 Desafios Codificação É verdade que nem toda função relacionada à tecnologia da informação necessita que todos editem diretamente linhas de código. Porém, é bem provável que todo desenvolvedor precise analisar códigos para identificar falhas de segurança ou escrever alguns scripts de segurança automáticos. Nestes momentos, conhecer código é muito útil. Neste ponto, você deve perguntar coisas relacionadas a códigos e desenvolvimento de software. As perguntas também serão bem abertas, então esteja pronto para analisar subjetivamente os argumentos. Veja alguns exemplos: Qual é sua linguagem de programação preferida e por quê? Qual foi o último software ou código que você escreveu? Que nível de conhecimento geral você tem sobre linguagens de programação? 21

22 Desafios Soft Skills Já mencionamos que, além das qualidades técnicas, todo profissional deve possuir algumas habilidades e características que compõem o seu perfil. Comunicação, interpretação, ética, dedicação, entre outras coisas, ajudam a destacar os bons e os excelentes. Quando for aplicar o teste para um candidato, considere fazer perguntas cujo foco não seja a área de TI, mas sim estas qualidades complementares. Veja alguns exemplos: Como você explicaria o ato de hackear para uma criança? Quais tipos de mídias você usa para se informar? Como você argumentaria em uma reunião para conseguir uma verba melhor para a segurança de dados? Caso um funcionário esteja sob suspeita de tentar invadir o banco de dados da empresa, o que você faria? 22

23 Conclusão

24 Conclusão Com base nestas dicas, você deve ter muito mais facilidade na hora de entrevistar e selecionar candidatos para desenvolvedores com foco em segurança de aplicações. Apenas lembre-se dos seguintes pontos: busque conhecimentos específicos para o cargo; tenha prioridades, pois nunca haverá um profissional perfeito; considere habilidades complementares, como comunicação e ética; evite tornar a entrevista desconfortável, pois isso afeta o desempenho do candidato; não se apresse muito para contratar, pois você ainda precisa garantir que achou alguém bom o suficiente. Agora, abra seu bloco de notas, escreva um esboço para o seu questionário e prepare-se para receber o primeiro candidato. 24

25 Sobre a Conviso A Conviso Application Security S/A é uma empresa com foco em pesquisa e serviços de consultoria em segurança de aplicações fornecendo soluções personalizadas e inovadoras que visam proteção efetiva de recursos computacionais. Atuante no mercado desde 2008, possui em sua carteira clientes associados aos mais diversos setores produtivos na economia brasileira, governo e também no exterior.