Poptávka „potřebujeme člověka na cloudovou bezpečnost“ může skrývat velmi rozdílné problémy. Jedna firma řeší nastavení prostředí a dohled nad jeho změnami. Jiná nedokáže vysvětlit, proč má bývalý člen projektu stále přístup k citlivé aplikaci. Obě situace se týkají bezpečnosti, ale nemusí vyžadovat stejného odborníka. Přesnější popis potřeby usnadní rozhovor s kandidáty i rozhodnutí o rozsahu spolupráce.
Modelový příklad: nový projekt, stará oprávnění
Uvažujme fiktivní firmu, která spustila zákaznickou aplikaci v cloudu. Technické prostředí má svého správce, ale účty vývojářů, externistů a automatických služeb vznikaly postupně. Někdo změnil roli, jiný odešel a část přístupů se přebírala z předchozího projektu. Zadání nezačíná požadavkem na další obecný audit. Začíná otázkou, kdo má jaký přístup, proč jej potřebuje a kdo tento stav potvrzuje. Jde o modelovou situaci, nikoli o zveřejněnou referenci.
Širší prostředí a konkrétní identity
Cloud Security Engineer může řešit bezpečnostní návrh a nastavení cloudového prostředí v domluveném rozsahu. IAM specialista se soustředí na identity a přístupová práva v jejich životním cyklu. PAM vymezuje oblast privilegovaných přístupů. V konkrétním projektu se činnosti mohou překrývat, proto nestačí vybrat člověka podle titulku profilu. Ptejte se na prostředí, za které odpovídal, a na úlohy, které opravdu dokončil.
Co za vás samotný cloud nevyřeší
Microsoft popisuje model sdílené odpovědnosti, ve kterém se hranice liší podle typu služby. Zákazník nadále řeší své informace, identity a správu přístupů. Přesun aplikace do cloudu proto sám o sobě neodpovídá na otázku, kdo má schvalovat oprávnění nebo kontrolovat jejich změny. Podklady Microsoftu k identitám zdůrazňují práci s nejmenšími potřebnými právy a silným ověřováním. Konkrétní návrh však musí zohlednit vaše systémy a provozní potřeby.
Zadání napište jako změnu stavu
Místo obecného „zlepšit bezpečnost“ popište výchozí situaci a požadovaný výsledek. Například chcete mít přehled vlastníků účtů, domluvené schvalování přístupu a postup při změně role člověka. Nebo potřebujete vyřešit konkrétní cloudovou konfiguraci a předat její správu internímu týmu. U každého výsledku určete, kdo jej převezme a jak ověříte, že navržený postup lze skutečně používat v běžném pracovním dni.
Kde se role musí potkat
Pokud změna přístupů ovlivní automatické nasazování, potřebujete součinnost s vývojovým či provozním týmem. Když se mění odpovědnosti, musí být dostupný i člověk, který může rozhodovat za firmu. Specialista nemusí být vlastníkem všech těchto rozhodnutí. V zadání proto oddělte odborný návrh, technické provedení a schválení změny.
Do poptávky uveďte používaný cloud, hlavní systémy, typy identit a konkrétní problém. Nezahrnujte hesla ani jiné přístupové údaje. Meta Ventures s vámi může upřesnit, zda hledat Cloud Security, IAM/PAM nebo kombinaci rolí. Dostupnost a zkušenosti konkrétních lidí ověříme podle dohodnutého rozsahu; samotné zapojení specialisty není garancí bezpečnosti ani regulatorní shody.