Desenvolvimento de talentos em operações de segurança

Clarke Rodgers:
Na hora de contratar, seja por meio de recursos internos ou externos, quais são algumas das coisas que você procura para a função de analista de SOC ou outras funções na sua organização? Existe uma mentalidade específica ou um conjunto específico de habilidades que você está procurando? Qual é?

Tom Avant:
Há 12 famílias de cargos diferentes na nossa organização. Muitas pessoas dizem: “O quê? Você tem uma organização com 12 famílias de cargos diferentes?” Com certeza temos. Desde PMs, TPMs, engenheiros de suporte e engenheiros de sistemas. Temos equipes de desenvolvimento pequenas e táticas. Temos engenheiros de desenvolvimento de software, SDMs, engenheiros de segurança. Veja bem, estou listando tudo. E a lista continua.

De modo geral, dependendo do trabalho específico que você está procurando, haverá um conjunto de qualificações básicas (BQs) e exigências específicas. No entanto, quando se fala em trabalhar na nossa organização como um todo, estamos procurando pessoas com alto nível de bom senso. Procuramos pessoas que estão acostumadas a operar em situações ambíguas. Estamos acostumados com pessoas que têm uma disposição natural para fazer a coisa certa e... Não quero dizer “se lançar contra o incêndio”, não gosto muito dessa expressão, mas talvez se aproximar dele e avaliá-lo antes de entrar, para garantir que você faça isso da maneira certa.

Então, procuramos esse tipo de pessoa, aquelas que já têm uma predisposição para a resposta e querem atender a esse chamado maior, independentemente do cargo em que ocupam.

Clarke Rodgers:
E imagino um certo grau de curiosidade e “Como posso quebrar as coisas para garantir que elas não quebrem de novo?”

Tom Avant:
Ah, 100%. Além disso, pessoas que não gostam de fazer sempre a mesma coisa, porque, embora isso faça parte do que acontece quando você administra um centro de operações global 24 horas por dia, 7 dias por semana, a monotonia é inevitável. Quero pessoas que estão cansadas disso. Quero pessoas que digam: “Cara, você está fazendo isso há seis semanas? Não quero mais fazer isso.” Então, elas inventam maneiras de sair dessa situação ou formas mais inovadoras de corrigir ou automatizar soluções, ou “Que tal tentarmos este processo de outra maneira?”

Essas são as pessoas que estou procurando. Aquelas que querem questionar: “Por que estamos fazendo isso dessa maneira?” E, se fizer sentido, então elas estão dentro. E, se não fizer sentido, elas trabalham com outras pessoas para encontrar uma maneira de não fazer mais isso. Isso é o que eu estou procurando.

Clarke Rodgers:
Você comentou que é uma operação contínua, 24 horas por dia, 7 dias por semana. Isso pode ser muito estressante para uma pessoa por um longo período. Como você analisa as coisas sob a perspectiva da gestão humana, para garantir que sua equipe não esteja se esgotando, que eles tenham a possibilidade de alternar entre uma ou mais dessas 12 famílias de cargos e ter uma carreira satisfatória sem se esgotarem diariamente no trabalho?

Tom Avant:
Muitos de nós, na minha equipe de liderança, viemos de carreiras diferentes, nas quais o desenvolvimento de carreira era um pilar fundamental para o funcionamento dessas carreiras. Inicialmente, quando assumi o cargo há alguns anos, não tínhamos isso nesse espaço. Mas foi algo que achei importante incorporar para garantir que as pessoas vissem um caminho a seguir.

Não apenas baseado em níveis. Não se trata de chegar ao próximo nível, mas de desenvolver habilidades e funções e de entender os negócios. Foi com conversas como essa que acabamos deixando de ser apenas físicos e passando para esse espaço de fusão entre físico, cibernético e lógico, certo? Ao dizer: “Como podemos desenvolver essas pessoas que já estão tendo um bom desempenho? Como podemos lhes dar mais oportunidades? Como podemos nos unir com outras equipes? Como podemos encontrar mais oportunidades para ajudar, crescer e aprender? Como podemos realmente contratar e desenvolver os melhores?” Essa é a parte de “desenvolver o melhor” que precisava desse foco. Foi aí que realmente nos aprofundamos.

Tom Avant:
O cenário de ameaças está mudando constantemente, mais rápido do que a maioria das pessoas pode sequer imaginar. Portanto, se estivermos simplesmente formando especialistas em segurança que sejam bons apenas em uma área, não conseguiremos acompanhar as rápidas mudanças que estão acontecendo no mundo.

Então, trabalhando com minha liderança, começamos a pensar em como podemos criar o que chamo de analista de segurança de “espectro total”. Como podemos formar uma pessoa que seja bem versada em uma disciplina e comece a criar e desenvolver habilidades em outra disciplina? E começamos assumindo responsabilidades menores. Então, passamos por alguns treinamentos, trabalhamos com diferentes programas de treinamento, cursos de vendas, coisas desse tipo. E então, acabamos decidindo que, tudo bem, vamos assumir algumas das atividades que nossas outras equipes estão realizando, pois operamos muito bem em grande escala.

E o bom do SOC é que, embora tenhamos o apoio do nosso pessoal, nosso primeiro compromisso é sempre automatizar para obter soluções primeiro. Os seres humanos são o nosso último recurso. E, ao fazermos isso, dizemos: “Existem algumas workloads que, mesmo com as melhores intenções de automação, você ainda precisa de uma pessoa com alto nível de bom senso para poder tomar algumas medidas”. Para algumas dessas workloads, temos pessoas com diferentes habilidades. Não convém pegar um especialista altamente qualificado em ciência da computação e dar a ele uma tarefa que não utilize completamente suas habilidades, pois isso não é um bom uso desse recurso.

Se você pensar bem, é como gerenciamento de recursos. Ao ter essa discussão, dissemos: “Podemos aproveitar algumas dessas coisas, desenvolvendo a capacidade do nosso pessoal de operar em todos os domínios.” E, ao mesmo tempo, liberando alguns recursos para meus colegas do outro lado da organização, para que eles pudessem lidar com a tarefa mais ambígua.

Em termos das coisas do dia a dia, queremos ter certeza absoluta de que podemos fazer pequenas coisas simples, como ter uma lanchonete disponível. Você ficaria surpreso com o fato de que muitas pessoas que já trabalharam em centros de operações antes, tipo, era realmente difícil quando...

Clarke Rodgers:
Uma pizza ajuda bastante.

Tom Avant:
Uma pizza ajuda bastante. Pizza, algumas bebidas, batatas chips. As pessoas ficam felizes. Não estou dizendo isso para ser bobo, mas quero dizer realmente como..

Clarke Rodgers:
Claro, sem dúvida. É uma coisa real.

Tom Avant:
É uma coisa real. Você está no centro de operações e, às vezes, está tão envolvido com o que está acontecendo que olha para cima e vê que está lidando com um problema há quatro horas seguidas. Você nem percebeu, certo? E você precisa ter combustível para continuar.

Também garantimos que as pessoas tenham a oportunidade, como eu disse, de alternar entre funções, para que elas saibam que “Estes estão os requisitos para mudar para uma função diferente”.

Ainda temos um plantão. Novamente, o plantão é inevitável quando se está operando um sistema global. Mas, em muitos lugares, conseguimos mudar para um sistema globalizado, no qual fazemos uma transferência, outra equipe se encarrega e continuamos a trabalhar.

Clarke Rodgers:
Ao me preparar para esta entrevista, dei uma olhada na wiki da sua equipe interna e vi que você tem seus princípios publicados, e usamos princípios em toda a AWS para ajudar as pessoas a terem orientação quando não há algo prescritivo para cada situação específica. É assim que você opera. E você mencionou uma deles antes: “Escalar com intervenção humana apenas em último caso.” Obviamente, você quer realmente se concentrar na automação, quando ela faz sentido, para que os humanos possam fazer decisões baseadas em riscos. Gostaria que você mencionasse mais alguns desses princípios, pois acho que eles são fantásticos.

Tom Avant:
Claro.

Clarke Rodgers:
O primeiro, “Não empurramos com a barriga, passamos”.

Tom Avant:
Isso mesmo.

Clarke Rodgers:
Me fale sobre isso.

Tom Avant:
Veja bem, já vimos muitas vezes as pessoas ficarem ocupadas, com muitas coisas acontecendo, e a primeira coisa que alguém diz, normalmente no início da carreira, é “Esse trabalho não é para mim”. Não dizemos isso aos clientes, sejam eles internos ou externos. Se não somos nós que cuidamos disso, então vamos e ajudamos você a encontrar a pessoa certa que cuida disso, e fazemos uma transferência suave e amigável. Nós não simplesmente dizemos: “Isso não é com a gente”, e ignoramos.

E isso também é interno. Se você liga para a equipe A e acaba falando com a equipe C, a equipe C não diz que é a equipe A. A equipe C leva a questão até a equipe A e pergunta: "Ei, equipe A, vocês cuidam disso? Tudo em ordem?” Já passei por isso e, depois da segunda ou terceira vez que te transferem, você se pergunta: “O que há de errado com essa organização?”

Clarke Rodgers:
Sim, “Eles não são a mesma empresa? Como não estão falando uns com os outros?”

Tom Avant:
Como não estão falando uns com os outros? Exatamente. Por isso mesmo que tomamos essa atitude.

Clarke Rodgers:
Adoro este. E tem aquele outro, que pode exigir um pouco de explicação: “Segurança não é uma sociedade secreta”. Do que se trata?

Tom Avant:
Acho que muitas pessoas que não têm experiência cibernética ou que não trabalharam em áreas altamente tecnológicas acham isso muito intimidante. Elas dizem: “Meu Deus, não consigo aprender isso” ou “Não sei programar”. Eu digo: “Caramba, a maioria das pessoas que eu conheço não sabe programar.” Conheço muitas pessoas que também poderiam programar círculos ao nosso redor.

Existem os dois tipos, mas você precisa de todos os tipos no setor de segurança cibernética, como bem sabemos. Quando dois militares se encontram, principalmente se são do mesmo serviço, em questão de minutos a conversa vira outra língua, cheia de siglas, bases desconhecidas e expressões para convocações e missões.

A mesma coisa acontece no espaço da segurança cibernética. As pessoas chegam e começam a usar todos esses nomes-código e siglas, e, se você perguntar o que significam, vai perceber que faz todo o sentido. Mas, se você não sabe e está apenas ouvindo, soa como R2-D2, sopa de letrinhas. E é tão intimidador que as pessoas pensam: “Ah, eu não consigo fazer isso.” E, na verdade, nada poderia estar mais longe da verdade.

Então, buscamos desmistificar, dizer: “Quer saber? Vamos realmente criar um ambiente onde possamos aprender. Vamos criar um ambiente onde não exista medo.” Pergunte. Eu mostro isso nas reuniões: se você disser uma sigla que eu não conheço, eu vou te perguntar. Não tenho vergonha: “O que isso significa? O que é isso?” Agora eu sei e agora posso contar para alguém. Você ficaria surpreso com a quantidade de vezes que eu perguntei e a pessoa disse: “Ah, eu não sei.”

Clarke Rodgers:
Todo mundo usa isso.

Tom Avant:
Todo mundo se acostuma com a sigla. Coisas assim. Acho que a outra parte é sermos capazes de ser mais... não apenas precisos com nossa linguagem, mas também entender o que e como estamos usando nossos termos e nossas palavras. Isso cria um ambiente em que mais pessoas se sentem bem-vindas e capazes de contribuir. E a vantagem disso, e eu falo sério, a vantagem disso é que há alguém naquela sala que sabe a resposta, ou alguém que pensou em algo que nós não pensamos. E, se o único obstáculo for o medo de se sentirem envergonhadas ou de olharmos para elas de maneira estranha porque não sabem alguma coisa, eu quero que se manifestem. Quero saber o que é isso, porque isso pode mudar completamente a forma como fazemos negócios.

Clarke Rodgers:
Isso ajudaria a AWS, os clientes da AWS e possivelmente mais do que isso, certo?

Tom Avant:
Ajudaria o mundo.

Clarke Rodgers:
Ajudaria o mundo.

Tom Avant:
Com certeza.

Clarke Rodgers:
Foi fantástico, Tom. Agradeço muito pelo seu tempo hoje. Foi um prazer.

Tom Avant:
Muito obrigado por me receber. Fui um prazer para mim também.