7 Skill yang Dibutuhkan Security Engineer — Lebih dari Sekadar Tools
Interview pertama saya untuk posisi security engineer gagal total. Saya masih inget banget: tahun 2019, sebuah startup fintech di Jakarta, posisi junior security engineer. Saya dateng pede banget — udah bisa Burp Suite, Nmap, Metasploit, bahkan udah mulai belajar OSCP. Di kepala saya, saya udah “hacker”. Pas sesi teknis, interviewer-nya nanya: “Coba jelasin apa yang terjadi dari user klik link sampai halaman web tampil, sedetail mungkin.” Saya jawab dengan menyebutkan tools — “Burp Suite bisa intercept request-nya, Nmap bisa scan port-nya.” Dia geleng-geleng. “Saya nggak nanya tools. Saya nanya prosesnya. DNS resolution, TCP handshake, TLS negotiation, HTTP request-response.” Saya diem. Nge-blank. Nggak diterima. Dan dari situ saya sadar bahwa skill yang dibutuhkan security engineer itu bukan tools — tools cuma kendaraan. Yang penting itu kamu ngerti jalanannya, kondisi lalu lintasnya, dan tujuan akhirnya.
Setelah delapan tahun di industri ini — dari IT support, jadi pentester freelance, sampai akhirnya security engineer full-time — saya udah lihat pola yang jelas tentang apa yang beneran dicari perusahaan. Terutama perusahaan Indonesia. Nah, di artikel ini saya akan jabarin 7 skill yang dibutuhkan security engineer — krusial untuk security engineer, kenapa masing-masing penting, dan gimana cara nunjukin skill ini pas interview. Spoiler: beberapa skill terpenting justru bukan teknis.
1. Networking — Ini Harga Mati, Nggak Bisa Ditawar
Networking adalah fondasi dari semua hal di cybersecurity. Nggak peduli kamu spesialisasi apa — pentester, SOC, security engineer, atau bahkan GRC — kamu harus ngerti networking. Ini non-negotiable.
Untuk security engineer, networking skill meliputi lebih dari sekadar hafalan OSI model atau port numbers. Kamu harus ngerti: subnetting dan VLSM (karena kamu akan desain network segmentation), routing protocols (BGP, OSPF — terutama kalau kerja di ISP atau cloud), firewall internals (stateful vs stateless, rule processing order, NAT types), VPN technologies (IPSec, WireGuard, SSL VPN), dan network monitoring (NetFlow, sFlow, packet capture analysis).
Gimana nunjukin skill ini pas interview? Jangan cuma bilang “saya ngerti networking.” Tunjukin dengan contoh konkret: “Di lab rumah saya, saya bikin network segmentation pakai VLAN — management VLAN, user VLAN, IoT VLAN, guest VLAN — dengan ACL rules antar VLAN. Saya juga setup VPN server dengan WireGuard buat akses jarak jauh yang aman.” Kalau kamu bisa cerita gini, interviewer langsung tahu kamu nggak cuma teori.
Sumber belajar: selain Professor Messer, coba Cisco Packet Tracer (gratis) untuk simulasi, GNS3 untuk lab networking yang lebih kompleks.
2. Linux — Terminal Adalah Rumah Kedua Kamu
Kalau networking adalah fondasi, Linux adalah bahasa sehari-hari. Saya bisa hitung dengan jari: security engineer yang jago tapi nggak nyaman di terminal Linux — nggak ada. Semua tools security modern jalan di Linux. Semua server production mayoritas Linux. Semua cloud workload Linux-based. Kalau kamu masih grogi setiap kali buka terminal, prioritas utamamu saat ini.
Skill Linux yang wajib: file system hierarchy (ngerti letak /etc, /var/log, /opt, /tmp dan kenapa penting), permissions management (chmod, chown, ACL, SUID/SGID — ini kritis untuk security hardening), process management (ps, top, htop, nice, signals), service management (systemd — karena semua distro modern pakai ini), networking commands (ip, ss, netstat, tcpdump, iptables/nftables), dan bash scripting (minimal bisa bikin script untuk automasi konfigurasi security).
Satu tips dari pengalaman saya: jangan cuma belajar Linux di VM yang sesekali dibuka. Install Linux sebagai daily driver — pakai Ubuntu, Fedora, atau Arch kalau kamu adventurous. Paksa diri kamu menyelesaikan tugas sehari-hari di Linux. Awalnya frustasi, tapi dalam 3 bulan kamu akan jauh lebih nyaman dibanding setahun belajar di VM.
3. Scripting dan Automation — Malas Itu Baik
Kalau kamu ngerasa malas ngerjain tugas yang repetitif, congratulations — kamu punya insting security engineer yang baik. Automation is the name of the game. Security engineer yang nggak bisa scripting itu ibarat tukang kayu yang nggak punya palu — kerjaan jadi aja, tapi lambat dan nggak presisi.
Python adalah pilihan nomor satu. Kenapa Python? Karena ekosistemnya lengkap: requests untuk HTTP, paramiko untuk SSH, boto3 untuk AWS, pan das untuk data analysis. Dengan Python, kamu bisa automasi security audit, parsing log ratusan megabytes, atau integrasi API antar security tools.
Tapi jangan berhenti di Python. Bash untuk quick and dirty scripting di server. Go kalau kamu butuh performa (banyak security tools modern ditulis di Go). Bahkan sed dan awk — kedengeran kuno, tapi super powerful buat text processing di command line.
Skrip pertama yang saya rekomendasikan buat pemula: bikin script Python yang automate vulnerability scan pakai Nmap, parsing output-nya, dan kirim hasilnya ke Telegram bot. Ini proyek sederhana tapi mencakup banyak skill: scripting, API integration, automation, dan output formatting.
Gimana nunjukin di interview? Taro script-script kamu di GitHub. Nggak perlu yang kompleks — justru script kecil yang solve real problem itu lebih impressive. Contoh: “Saya buat script Python untuk automasi rotasi access key AWS yang udah expired lebih dari 90 hari — sebelumnya tim DevOps ngerjain manual dan suka kelewat.”
4. Cloud Fundamentals — Bukan Opsional Lagi
Dulu, tahun 2016-2018, cloud security itu spesialisasi. Sekarang, di 2024, cloud adalah default. Hampir semua perusahaan yang saya temui — dari startup 10 orang sampai enterprise — workload-nya ada di cloud. Bahkan perusahaan yang “on-premise” pun mulai hybrid. Jadi, cloud fundamentals bukan lagi “nilai plus” — ini basic requirement.
Jangan panik: kamu nggak perlu jago 3 cloud provider sekaligus. Pilih satu — rekomendasi saya AWS, karena paling banyak dipakai di Indonesia dan dokumentasinya paling lengkap. Pelajari: IAM (ini kritis — banyak security incident di cloud karena IAM misconfiguration), VPC dan networking, EC2 dan compute, S3 dan storage (ingat kasus kebocoran data S3 bucket?), CloudTrail dan monitoring, dan basic security services (GuardDuty, Security Hub, WAF).
Cara belajar: AWS Free Tier cukup buat hands-on. Buat lab kecil: deploy aplikasi web sederhana (EC2 + RDS), hardening dengan security group yang ketat, enable logging ke CloudTrail + CloudWatch, dan setup alerting. Dokumentasikan di blog — ini portfolio.
Sertifikasi yang relevan: AWS Certified Security Specialty, atau setidaknya AWS Solutions Architect Associate untuk fundamental cloud.
5. Web Security Fundamentals — Pahami OWASP di Luar Kepala
Ini agak ironis: banyak security engineer yang fokus ke network dan infrastructure security, tapi nggak ngerti web security. Padahal, mayoritas serangan siber modern targeting-nya aplikasi web — bukan network layer. Phishing, SQL injection, XSS, CSRF, broken authentication — semuanya web-based attacks.
Web security fundamentals yang wajib kamu kuasai: OWASP Top 10 (bukan cuma hafal judulnya, tapi paham root cause dan cara mitigasinya), HTTP protocol secara mendalam (methods, headers, cookies, CORS, CSP, HSTS), authentication vs authorization (dua hal yang berbeda — dan kesalahan membedakan ini sumber banyak celah), session management, input validation dan output encoding, dan API security (REST, GraphQL, JWT).
Ini skill yang akan membedakan kamu dari security engineer yang cuma jago network. Banyak perusahaan — terutama tech dan fintech — butuh security engineer yang bisa review kode dan nemuin celah web sebelum production. Kalau kamu bisa ini, value kamu naik signifikan.
Gimana nunjukin di interview? Selain sebutin bahwa kamu paham OWASP, kasih contoh konkret: “Pas saya review aplikasi internal tim development, saya nemu IDOR vulnerability di endpoint /api/user/{id}/profile — nggak ada authorization check, jadi user A bisa akses profil user B. Saya demo dengan PoC dan rekomendasi perbaikannya.” Story kayak gini membuat interviewer yakin kamu nggak cuma baca teori.
6. Komunikasi — Soft Skill yang Lebih Penting dari yang Kamu Kira
Saya serius: kalau saya harus milih antara security engineer yang jago teknis tapi nggak bisa komunikasi, dan yang teknisnya biasa aja tapi komunikasinya bagus — saya pilih yang kedua. Kenapa? Karena security engineer nggak kerja sendirian. Kamu harus bisa jelasin risiko ke manajemen yang nggak teknis, meyakinkan developer untuk nge-fix bug, nulis laporan insiden yang jelas, dan presentasi di depan klien.
Kesalahan terbesar engineer junior: ngejelasin semuanya dengan jargon teknis. “Jadi found-nya SQL injection di parameter id yang nggak di-parameterized, jadi attacker bisa dump database lewat UNION-based query.” Ini mungkin jelas buat sesama engineer — tapi ke manajer produk atau direktur? Mereka denger alien language. Yang harus kamu bilang: “Ada celah yang memungkinkan penyerang mengambil seluruh data pengguna kita — termasuk password dan data pribadi. Dampaknya: kebocoran data, denda regulasi, dan reputasi hancur. Solusinya: tim development perlu benerin cara aplikasi mengakses database, estimasi 2-3 hari pengerjaan.”
Skill komunikasi mencakup tiga hal: report writing (bikin laporan yang terstruktur dengan executive summary, technical details, dan actionable recommendations), oral presentation (bisa presentasi di depan berbagai audience), dan cross-team collaboration (bisa kerja bareng tim development, ops, legal, dan compliance tanpa bikin mereka defensive).
7. Curiosity dan Persistence — Skill yang Nggak Bisa Diajarin
Ini mungkin skill terpenting yang nggak akan kamu temukan di silabus kursus manapun. Curiosity adalah rasa penasaran yang bikin kamu nggak berhenti di “ini work” tapi lanjut ke “kenapa ini work? apa yang terjadi di baliknya? gimana kalau saya coba cara lain?”
Saya kasih contoh dari pengalaman sendiri. Waktu saya nemu bug di aplikasi klien, saya nggak cuma lapor “ini ada XSS.” Saya penasaran: payload apa yang paling efektif? Apa WAF mereka bisa di-bypass? Gimana kalau digabung dengan teknik lain? Saya bisa ngabisin 3-4 jam cuma eksplorasi satu input field — karena curious.
Persistence adalah kemampuan untuk tetap jalan meskipun stuck. Di cybersecurity, kamu akan gagal lebih sering daripada berhasil — dan itu normal. Mesin di OSCP yang bikin stuck 8 jam, bug bounty target yang udah 3 bulan nggak nemu apa-apa, eskalasi yang perlu 4 level exploit chaining — semua butuh persistence.
Ini skill yang paling susah dinilai dalam interview. Tapi interviewer yang baik akan nyari sinyalnya. Mereka mungkin kasih technical problem yang intentionally susah — bukan untuk lihat apakah kamu bisa solve, tapi untuk lihat: apa kamu gampang nyerah? Apa kamu minta hint atau terus nyoba sendiri? Bagaimana approach kamu ketika stuck?
Pengalaman Pahit: Interview Security Engineer Pertama Saya
Saya cerita di awal tentang interview pertama yang gagal. Tapi ada satu lagi yang lebih memorable: interview kedua saya, sekitar 2 bulan kemudian, di perusahaan e-commerce. Kali ini saya lebih siap — setidaknya saya pikir begitu.
Di sesi teknis, interviewer kasih saya sebuah skenario: “Ada alert dari SIEM: traffic mencurigakan dari satu server internal ke external IP di Rusia, di luar jam kerja. Apa yang kamu lakukan?” Saya jawab dengan semangat: “Langsung blokir IP-nya di firewall, isolate server, terus lakukan forensic!” Interviewer diem sebentar. Terus dia bilang: “Servernya production, nge-handle 500 transaksi per menit. Bisnis lagi peak hours. Kamu mau langsung isolate?”
Di situlah saya belajar: security engineering bukan cuma soal “amankan sistem” — tapi “amankan sistem tanpa mematikan bisnis.” Ini balancing act yang kompleks. Kadang kamu nggak bisa langsung blokir — harus ada containment yang gradual, komunikasi dengan business stakeholder, dan risk assessment apakah ancamannya worth the business disruption.
Saya nggak diterima di interview itu. Tapi pelajarannya priceless: tools dan teknik itu penting, tapi judgment dan business understanding itu yang membedakan junior dan senior.
Gimana Mendemonstrasikan Skill Ini di Interview
Sekarang pertanyaan praktisnya: gimana cara nunjukin 7 skill ini dalam waktu interview yang cuma 30-60 menit? Ini strategi yang menurut saya efektif:
Pertama, bawa portfolio. Bukan cuma CV, tapi link GitHub, blog, atau presentasi yang bisa kamu share. Kalau interviewer lihat repo GitHub kamu ada script automation, writeup CTF, atau dokumentasi homelab — itu lebih powerful dari klaim “saya jago networking” di CV.
Kedua, pake metode STAR pas jawab pertanyaan: Situation (konteks), Task (apa yang perlu dilakukan), Action (langkah konkret kamu), Result (hasilnya). Ini membuat jawaban kamu terstruktur dan nunjukin impact, bukan cuma aktivitas.
Ketiga, jujur kalau nggak tahu. Saya dulu selalu mencoba nge-bluff pas ditanya hal yang saya nggak kuasai — hasilnya interviewer makin gali dan saya makin ketauan. Sekarang saya jawab: “Jujur, saya belum pengalaman langsung dengan teknologi itu. Tapi ini yang saya pahami secara konsep… dan ini langkah yang akan saya ambil untuk mempelajarinya.” Interviewer menghargai kejujuran ini — dan itu nunjukin self-awareness.
Keempat, tunjukin antusiasme. Di dunia cybersecurity, passion itu kelihatan banget. Kalau kamu cerita dengan excited tentang CTF yang baru kamu solve atau teknik exploit yang baru kamu pelajari, interviewer ngerasain energi itu. Antusiasme nggak menggantikan skill — tapi di dua kandidat dengan skill setara, yang antusias lebih mungkin diterima.
Gimana Cara Melatih Skill Ini Sehari-hari
Pertanyaan yang sering muncul: gimana caranya ngembangin skill-skill ini tanpa pengalaman kerja? Jawabannya: simulasi. Bikin skenario buat diri sendiri dan selesaikan. Contoh: anggap kamu udah jadi security engineer di sebuah startup. Tiba-tiba ada alert dari tool monitoring bahwa ada koneksi SSH dari IP luar negeri ke server production jam 3 pagi. Apa yang kamu lakukan? Step by step. Kamu harus cek log SSH, identifikasi user yang login, trace IP sumbernya, cek apakah ada file yang dimodifikasi, dan tentuin apakah ini false positive atau insiden beneran.
Latihan kayak gini ngembangin beberapa skill sekaligus: networking (tracing IP, ngecek traffic), Linux (log analysis, command line investigation), scripting (bikin script untuk automasi pengecekan), dan curiosity (nggak berhenti pas nemu jawaban pertama, tapi terus gali). Plus, kamu bisa dokumentasiin skenario ini di blog sebagai portfolio.
Cara lain: ikut kompetisi CTF tapi dengan mindset yang beda. Kebanyakan orang ikut CTF cuma buru-buru nyari flag. Coba approach yang berbeda: selesaikan challenge dengan cara yang paling efisien, terus tulis writeup yang mendalam — bukan cuma sebutin solusinya, tapi kenapa vulnerability itu ada, gimana cara nge-patch di real world, dan apa dampaknya kalau terjadi di production. Writeup model gini yang bikin hiring manager impressed karena nunjukin kamu berpikir kayak security engineer, bukan cuma CTF player.
