Selezione di un SOC Analyst: come valutare competenze, seniority e contesto
Criteri pratici, errori frequenti e segnali di rischio nella ricerca e selezione di un SOC Analyst: capacità di analisi e triage, problem solving operativo, gestione degli incidenti, qualità dell’escalation e affidabilità nel lavoro.
In sintesi
Un SOC Analyst non è un professionista che semplicemente “monitora”: è una figura operativa che deve saper fare triage, correlare segnali, mettere in priorità e prendere decisioni rapide in condizioni di incertezza (pressione temporale, alert noise, dati incompleti).
Una selezione efficace prende in considerazione la conoscenza teorica e la capacità di esecuzione: lettura e interpretazione dei log, gestione di falsi positivi/falsi negativi, escalation corretta, qualità della comunicazione, aderenza alle procedure e tenuta su turni.
Selezionare efficacemente un SOC Analyst
Nell’head hunting IT e Cyber Security, per selezionare bene un SOC Analyst occorre andare oltre l’elenco di strumenti o certificazioni presenti nel CV e valutare la capacità reale di operare in un Security Operations Center. Ciò che fa la differenza è il metodo: saper analizzare un alert, contestualizzarlo rispetto agli asset e al rischio, correlare più segnali e prendere decisioni tempestive in condizioni di incertezza.
Un processo di selezione solido verifica la capacità del candidato di lavorare con rumore elevato, dati incompleti e priorità concorrenti, mantenendo lucidità e rigore operativo. La qualità dell’analisi, la gestione corretta di falsi positivi e falsi negativi, l’uso disciplinato delle procedure e la chiarezza nella comunicazione verso i livelli di escalation, sono indicatori più affidabili della seniority rispetto alla sola anzianità o al numero di tool conosciuti.
Se occorre una panoramica del ruolo, leggi anche la nostra scheda SOC Analyst (attività, competenze e percorso) nel Geek-Lab.
Prima della ricerca: come disegnare correttamente il ruolo
La selezione efficace di un SOC Analyst inizia molto prima della definizione della job description. Disegnare correttamente il ruolo significa chiarire perimetro operativo, responsabilità decisionali e contesto di lavoro, evitando aspettative ambigue che generano mismatch già nelle prime settimane.
In particolare, è fondamentale definire:
- Ambito di intervento: quali domini di sicurezza copre il ruolo (endpoint, network, identity, cloud, OT) e quali sono esclusi.
- Livello di responsabilità: attività di puro triage, investigazione avanzata o gestione dell’incidente; soglie di escalation e autonomia decisionale.
- Stack tecnologico: SIEM, EDR/XDR, SOAR, strumenti di ticketing e fonti di log realmente disponibili, non solo “previste”.
- Modello operativo: SOC interno o MSSP, copertura oraria (8×5, H24), turnazione, reperibilità e carico medio di alert.
- Processi e procedure: playbook, incident response plan, criteri di severità, flussi di handover tra turni.
- Interfacce organizzative: rapporto con IT Operations, Cloud/DevOps, CISO, compliance, fornitori esterni.
Una definizione accurata di questi elementi consente di stabilire la seniority reale richiesta e di valutare i candidati sulla base di competenze coerenti con il contesto. Senza questo lavoro preliminare, il rischio è selezionare profili formalmente qualificati ma non adatti al SOC specifico in cui dovranno operare.
Errori frequenti nella ricerca e selezione di un SOC Analyst
Uno degli errori più comuni è valutare il SOC Analyst quasi esclusivamente sulla base di certificazioni, keyword o tool dichiarati nel CV, senza verificare la reale capacità di analisi operativa. La conoscenza teorica o l’esposizione a una piattaforma SIEM non garantiscono la capacità di interpretare correttamente i log, gestire il rumore o prendere decisioni sotto pressione.
Un secondo errore ricorrente è non distinguere chiaramente i livelli di seniority (L1, L2, L3), assegnando a profili junior responsabilità di investigazione avanzata o, al contrario, impiegando profili esperti in attività di puro triage. Questo genera frustrazione, inefficienza e problemi di retention.
Sono frequenti anche job description eccessivamente generaliste, che mescolano attività di SOC, penetration test, cloud security e compliance. In questi casi il rischio è selezionare candidati formalmente interessanti ma non allineati al lavoro quotidiano del SOC.
Infine, viene spesso sottovalutato l’impatto del contesto operativo: turnazione, volumi di alert, qualità delle fonti di log e maturità dei processi. Ignorare questi fattori porta a inserimenti che falliscono non per mancanza di competenze tecniche, ma per incompatibilità con il modello di lavoro reale.
Cosa valutare in un SOC Analyst
Una selezione efficace si basa su criteri osservabili, non su titoli o certificazioni.
Capacità di analisi e triage
- Classificazione degli alert
- Valutazione della severità
- Riduzione del rumore
- Decisione di escalation
Log e correlazione
- Lettura dei log
- Correlazione tra fonti
- Ricostruzione della timeline
- Identificazione di pattern anomali
Metodo investigativo
- Struttura del workflow
- Formulazione di ipotesi
- Raccolta delle evidenze
- Validazione delle conclusioni
Incidenti ed escalation
- Comprensione delle soglie
- Tempestività nell’escalation
- Completezza delle informazioni
- Aderenza a playbook e runbook
Affidabilità operativa
- Tenuta su turni
- Gestione dei picchi di alert
- Resilienza allo stress
- Continuità operativa nell’handover
Comunicazione
- Qualità dei ticket
- Sintesi e precisione espositiva
- Tracciabilità delle evidenze
- Chiarezza nei report e nei passaggi di consegne
Seniority reale: come distinguerla
Nel SOC la seniority non si misura solo in “anni di esperienza”, ma nella qualità del ragionamento operativo: quanto rapidamente il candidato riesce a passare da un alert a un’ipotesi verificabile, con evidenze, priorità e decisioni coerenti. Per distinguere davvero i livelli, serve osservare cosa fa il candidato quando i dati sono incompleti e il tempo è poco.
Indicatori pratici per riconoscere i livelli (L1, L2, L3)
L1 (Triage)
- applica playbook con disciplina e riduce il rumore;
- raccoglie le evidenze minime utili (host, user, process, hash, IP, timeline);
- capisce quando un alert è “chiudibile” e quando va escalato;
- produce ticket chiari e handover puliti tra turni.
L2 (Investigation)
- correla più fonti (SIEM + EDR + identity + network) e ricostruisce una timeline completa;
- fa enrichment mirato e distingue indizi da evidenze;
- valuta impatto e probabilità (risk-based thinking), non solo la severità “di tool”;
- propone azioni operative (containment di base) e definisce next step.
L3 / Lead (Detection & Response)
- gestisce incidenti complessi e coordina escalation multi-team (IT Ops, CISO, vendor);
- valuta trade-off e decide sotto pressione con responsabilità più ampia;
- migliora il SOC: tuning delle regole, definizione use case, playbook, post-mortem;
- fa mentoring e alza la maturità del processo, non solo “chiude ticket”.
Segnale chiave trasversale: un profilo junior tende a descrivere strumenti e azioni “a lista”; un profilo senior esplicita criteri decisionali, priorità e razionale (“perché lo faccio, cosa mi aspetto di trovare, cosa cambia se lo trovo”).
Domande utili in fase di colloquio
Le domande più efficaci per un SOC Analyst non servono a verificare nozioni teoriche, ma a osservare come ragiona il candidato in uno scenario operativo reale. È utile alternare domande di metodo, casi pratici e domande situazionali, per far emergere priorità, capacità decisionale e qualità dell’escalation.
Sul metodo di lavoro
- “Descrivimi il tuo flusso quando ricevi un alert ad alta severità.”
- “Quali informazioni cerchi per prime prima di decidere se escalare?”
- “Come gestisci più alert concorrenti quando il tempo è limitato?”
Su analisi e correlazione
- “Quali log consideri indispensabili per valutare un possibile account compromise?”
- “Come distingui un falso positivo da un incidente reale?”
- “In che modo costruisci una timeline a partire da fonti diverse?”
Su incidenti ed escalation
- “Raccontami un caso in cui hai escalato troppo tardi: cosa hai imparato?”
- “Quali elementi devono essere sempre presenti in un ticket di escalation?”
- “Come comunichi un incidente critico a stakeholder non tecnici?”
Su contesto operativo
- “Che tipo di turnazione hai gestito e come influisce sulla qualità del lavoro?”
- “Come ti organizzi nel passaggio di consegne tra turni?”
- “Cosa ti mette più in difficoltà nel lavoro di SOC e come lo gestisci?”
Le risposte più indicative non sono quelle più tecniche, ma quelle che rendono espliciti criteri, priorità e decisioni, mostrando un approccio strutturato e coerente con il livello di seniority dichiarato.
Red flags da intercettare durante la selezione
Durante la selezione di un SOC Analyst esistono alcuni segnali ricorrenti che indicano un potenziale rischio di mismatch, anche in presenza di un CV tecnicamente solido. Intercettarli in fase di colloquio o assessment aiuta a prevenire inserimenti fragili in contesti operativi ad alta criticità.
- Approccio eccessivamente tool-centrico, con descrizioni focalizzate sugli strumenti utilizzati più che sul ragionamento e sulle decisioni prese.
- Incapacità di distinguere indizi ed evidenze, con conclusioni affrettate o non supportate da dati verificabili.
- Avversione all’escalation, motivata dal desiderio di “essere sicuri al 100%”, che in ambito SOC aumenta il rischio operativo.
- Scarsa chiarezza comunicativa, soprattutto nella spiegazione di un caso o nella scrittura di un ticket di escalation.
- Rigidità nell’applicazione delle procedure, senza capacità di adattamento quando il playbook non copre il caso specifico.
- Sottovalutazione dell’impatto dei turni e dello stress, con poca consapevolezza delle dinamiche reali di un SOC H24.
- Difficoltà a spiegare concetti fondamentali (networking, log, identity) in modo operativo e contestualizzato.
La presenza di una o più di queste red flags non indica necessariamente incompetenza, ma segnala una non aderenza al contesto SOC specifico o al livello di seniority richiesto, che va approfondita prima di procedere all’inserimento.
Retribuzione e contesto
Nella selezione di un SOC Analyst, la retribuzione non può essere valutata in modo isolato dal contesto operativo. A parità di RAL, fattori come turnazione, carico di alert, qualità degli strumenti e maturità dei processi incidono in modo decisivo sull’attrattività del ruolo e sulla sostenibilità nel tempo.
In particolare, è importante considerare:
- Modello di copertura: 8×5, H24, reperibilità e rotazione dei turni, con relative maggiorazioni e recuperi.
- Volume e qualità del lavoro: numero medio di alert, livello di rumore, affidabilità delle fonti di log.
- Strumenti disponibili: SIEM, EDR/XDR, SOAR e capacità reale di tuning e automazione.
- Processi di sicurezza: chiarezza di playbook, incident response plan, criteri di severità e ruoli decisionali.
- Percorsi di crescita: evoluzione verso L2/L3, Incident Response, Detection Engineering o ruoli di coordinamento.
- Formazione e sviluppo: tempo e budget per training, certificazioni e apprendimento continuo.
Un contesto povero di strumenti, processi o prospettive di crescita richiede spesso una leva economica più alta per compensare la complessità operativa e il rischio di burnout. Al contrario, SOC maturi e ben strutturati riescono ad attrarre e trattenere talenti anche grazie a qualità del lavoro e crescita professionale, oltre alla componente retributiva.
Come riferimento, EgoValeo gestisce un dataset aggiornato delle retribuzioni per ruolo.
| Seniority | Range RAL medio |
|---|---|
| Junior | 25.000 - 30.000 Euro |
| Middle | 35.000 - 40.000 Euro |
| Senior | 45.000 - 50.000 Euro |
| Lead | 60.000 - 70.000 Euro |
Include RAL fissa annua lorda (full time) e non include bonus/MBO, stock, benefit o una tantum. I valori possono variare per area geografica, settore, dimensione aziendale e modalità di lavoro. Non è un’offerta né una previsione individuale.
Guide correlate sulla selezione IT
Per approfondire criteri di valutazione, errori tipici e segnali di rischio nella selezione dei principali ruoli IT, EgoValeo pubblica guide operative pensate per supportare HR e hiring manager nella selezione tecnica: dalla definizione del contesto fino alla calibrazione della seniority e alla costruzione di colloqui più strutturati.
Vai all’elenco completo delle guide di valutazione e selezione IT
Nota di contesto
Quando il ruolo è critico e l’impatto dell’IT sul business è elevato, il supporto di un head hunter IT specializzato consente di ridurre tempi e rischio di errore, mantenendo coerenza tra ruolo, aspettative e seniority reale.
FAQ
Le certificazioni possono essere utili come baseline, ma non sono sufficienti. Nella selezione contano di più metodo operativo, capacità di analisi dei log e gestione dell’escalation rispetto al numero di attestazioni formali.
La differenza emerge osservando il processo decisionale: un profilo junior applica procedure e raccoglie dati, mentre un profilo senior correla segnali, valuta il rischio e motiva le decisioni di escalation o contenimento.
Dipende dal contesto. I profili provenienti da MSSP (Managed Security Service Provider) sono spesso abituati a volumi elevati e processi strutturati; quelli da SOC interno conoscono meglio il contesto aziendale e gli asset critici. La scelta va fatta in base a perimetro, turni e maturità del SOC.
I casi più frequenti sono una definizione poco chiara del ruolo, una valutazione superficiale della seniority reale e la sottovalutazione dell’impatto di turni, stress operativo e qualità degli strumenti disponibili.