Кто такой "безопасник"? Что должен уметь специалист по информационной безопасности?
Кому и зачем стоит пойти в специалисты по компьютерной безопасности?
Понятие "информационная безопасность" стало актуальным с развитием интернета. Виртуальный мир стал во многом похож на реальный: уже сейчас люди общаются в интернете, читают книги, смотрят фильмы, покупают товары и даже совершают преступления. А если есть киберпреступники, значит, должны быть и специалисты, которые занимаются безопасностью объектов в сети. Это специалисты по информационной безопасности.
Почему стоит уделять внимание защите информации?
Представьте, что хакер знает все данные кредитной карты. С помощью этой информации он сможет украсть деньги с карты, не отходя от своего домашнего компьютера. Теперь представьте, что хакеру удалось взломать систему безопасности целого банка. В этом случае размер кражи вырастает в сотни раз. Киберпреступники ради финансовой выгоды могут вывести из строя социальные сети , интернет-сервисы, автоматизированные системы в коммерческих и государственных структурах. Пользователи не смогут зайти на сайт, а владелец сайта будет нести финансовые и репутационные потери, пока сайт не заработает снова. Хакеры могут выкрасть ценную информацию: личные фотографии известного человека, засекреченные военные документы, чертежи от уникальных изобретений. Становится ясно, что ни одна организация или отдельный человек не защищены от кражи важной для них информации, поэтому IT-компании и крупные организации уделяют большое внимание ее защите.
Специалист по информационной или компьютерной безопасности
– это сотрудник компании, который обеспечивает конфиденциальность данных компании и отдельных пользователей, занимается укреплением безопасности информационных систем, предотвращает утечки информации.
✎ Настраивает многоуровневую систему защиты информации (логины и пароли, идентификацию по номерам телефона, по отпечатку пальца, по сетчатке глаза и др.)
✎ Исследует составные части системы (сайта, сервиса, автоматизированной системы в компании) на наличие уязвимостей
✎ Устраняет выявленные поломки и уязвимости
✎ Устраняет последствия взломов, если они произошли
✎ Разрабатывает и внедряет новые регламенты по обеспечению защиты информации
✎ Проводит работу с пользователями системы, чтобы объяснить важность и виды защитных мер
✎ Ведет документацию
✎ Готовит отчеты по состоянию IT-систем
✎ Взаимодействует с партнерами и поставщиками оборудования в сфере обеспечения безопасности
Специалист по компьютерной безопасности работает в команде , и других IT-специалистов. По мнению самих безопасников, они охраняют тыл и прикрывают спины других отделов, которые занимаются развитием IT-инфраструктуры.
Какие универсальные компетенции нужны безопаснику в работе?
✔
Аналитический склад ума
✔
Умение видеть и решать проблему
✔
Терпеливость
✔
Стрессоустойчивость
✔
Умение работать под давлением
✔
Методичность
✔
Любознательность
✔
Постоянное саморазвитие
✔
Обучаемость
✔
Умение работать в команде
✔
Умение принимать решения
✔
Внимательность к деталям
Должность специалиста по информационной безопасности
предполагает высокие риски и постоянный стресс. Они несут основную ответственность в случае нарушения системы безопасности. Из-за того, что технологии взлома и методы работы злоумышленников постоянно меняются, специалисту по информационной безопасности приходится заниматься постоянным самообразованием, следить за новостями в своей области и за новинками в программных и аппаратных средствах защиты, читать техническую литературу на английском языке.
И хотя безопасники – это, в первую очередь, высококлассные технические специалисты, им необходимо развитие коммуникативных навыков. Им приходится много работать с другими сотрудниками организации, чтобы повышать корпоративную культуру в области защиты данных.
Средняя заработная плата
Должность специалиста по информационной безопасность оплачивается относительно высоко в связи с высоким уровнем ответственности:
✔
50 000 – 150 000 в месяц
Где учиться
Чтобы стать специалистом по информационной безопасности, необходимо разбираться как в hard, так и в soft, то есть, уметь работать с комплектующими и с программами. Поэтому начинать свое образование следует еще в школе, тренируясь собирать и разбирать компьютер, устанавливать новые программы и работать паяльником.
Получить по направлению "Информационная безопасность" (10.00.00) можно как в , так и в . Колледжи готовят специалистов по техническому обслуживанию систем безопасности. А в вузах - более квалифицированных инженеров, системных архитекторов, аналитиков информационной безопасности
Вузы:
Академия Федеральной службы безопасности РФ (АФСБ)
Национальный исследовательский университет «Высшая школа экономики» (НИУ ВШЭ)
Московский Авиационный Институт (МАИ)
Московский государственный лингвистический университет (МГЛУ)
Московский городской педагогический университет
Московский государственный технический университет им. Н.Э. Баумана (МГТУ)
Московский государственный технический университет гражданской авиации (МГТУ ГА)
Московский государственный университет геодезии и картографии (МИИГАиК)
Московский государственный университет путей сообщения (МИИТ)
Национальный исследовательский ядерный университет "МИФИ" (МИФИ)
Национальный исследовательский университет "МИЭТ" (МИЭТ)
Московский университет МВД РФ имени В. Я. Кикотя (МосУ МВД)
Московский политехнический университет (Московский государственный машиностроительный университет «МАМИ»)
Московский государственный университет информационных технологий, радиотехники и электроники (МИРЭА)
Московский технический университет связи и информатики (МТУСИ)
Московский физико-технический институт (университет) (МФТИ)
Московский энергетический институт (технический университет) (МЭИ)
Российский государственный гуманитарный университет (РГСУ)
Российский экономический университет имени Г. В. Плеханова (РЭУ)
Технологический университет
Финансовый университет при Правительстве РФ
Колледжи:
Западный комплекс непрерывного образования (бывший ПК № 42)
Колледж автоматизации и информационных технологий № 20 (КАИТ № 20)
Колледж градостроительства, транспорта и технологий № 41 (КГТТ № 41)
Колледж декоративно-прикладного искусства имени Карла Фаберже (КДПИ им. Карла Фаберже)
Колледж космического машиностроения и технологий ТУ (ККМТ ТУ)
Колледж Международного универститета природы, общества и человека «Дубна» (Колледж МУ ПОЧ «Дубна»)
Колледж предпринимательства № 11 (КП № 11)
Колледж связи № 54 (КС № 54)
Колледж современных технологий имени Героя Советского Союза М. Ф. Панова (бывший Строительный техникум № 30)
Московский государственный образовательный комплекс (бывший МГТТиП)
Образовательный комплекс сферы услуг (ОКСУ)
Политехнический колледж № 8 имени дважды Героя Советского союза И. Ф. Павлова (ПК № 8)
Политехнический техникум № 2 (ПТ № 2)
Где работать
Специалист по информационной безопасности востребован:
✔
В крупных организациях
✔
Банках
✔
IT-компаниях
Например, Kaspersky Lab, Центробанк РФ, КРОК, ФСБ РФ
Иногда для работы в сфере информационной безопасности требуется специальная форма допуска к государственной тайне, что накладывает определенные ограничение на сотрудника, в том числе невыезд за границу.
Востребованность
Востребованность специалистов по информационной безопасности на рынке труда сегодня крайне высока. Это связано с тем, что почти каждая компания сталкивается проблемой компьютерных угроз.
Если вы хотите получать свежие статьи о профессиях, подпишитесь на нашу рассылку.
Довольно популярной в современных вузах стала компьютерная безопасность (специальность). На нее поступает очень много абитуриентов по всей России. Только вот ближе к концу обучения многие задумываются над тем, кем же они должны работать. И именно этот момент зачастую приносит множество неприятностей. Тем не менее сегодня мы с вами попытаемся разобраться, какая карьера "светит" выпускникам компьютерной безопасности. На практике многие уверяют, что это направление многогранно - вы сможете работать там, где только пожелаете. Но так ли это? Мы постараемся ответить на данный вопрос.
Инженер
Специальность 10 05 01 (компьютерная безопасность), как правило, подразумевает подготовку студентов-инженеров. То есть вы легко и просто сможете устроиться на данную должность.
Но далеко не каждый выпускник хочет работать самым настоящим инженером. В большинстве случаев свободных вакансий много, а вот заработная плата мала. Особенно если сравнить ее с возлагаемой ответственностью, а также обязанностями и рабочим графиком. Зачастую школьников заманивают специальностью, обещая к выпуску престижную работу, но на деле все получается немного иначе.
Именно по этой причине некоторые абитуриенты сначала пытаются ответить на вопрос: "Компьютерная безопасность (специальность) - что это такое?" Но однозначного ответа они не получают и решаются своими глазами увидеть, с чем им придется иметь дело. И если должность инженера вам не по вкусу, то давайте думать дальше, что может подойти для построения собственной карьеры.
Работа в школе
Очень интересная специальность - "Компьютерная безопасность". Вузы, где преподают ее, обычно умалчивают о том, что с трудоустройством у выпускников могут возникнуть определенные проблемы. И вместо обещанных "золотых гор", придется устраиваться хоть куда-нибудь. Лишь бы зарабатывать.
Например, в школу. Очень часто выпускники данного направления устраиваются работать самыми обычными учителями информатики. И получают за это копейки. Лишь в престижных школах можно действительно достойно зарабатывать. Но об этом, как правило, говорить в вузах не принято. Вот такая неоднозначная "компьютерная безопасность" (специальность). Образовательная программа данного направления дает, если честно, поверхностные знания по многим направлениям, которые в дальнейшем влияют на трудоустройство каждого выпускника. Куда же еще можно пойти работать кроме инженерии и школ?
Оператор связи
Специальность "Компьютерная безопасность" отзывы от выпускников получает довольно неоднозначные. Особенно когда вопрос встает о трудоустройстве по выпуску. Почему так получается? Кто-то может найти себе тепленькое местечко, а кто-то - нет.
Тем не менее некоторые выпускники стараются устроиться работать оператором связи. Или, иными словами, монтажником к какому-нибудь интернет-провайдеру. Там вам гарантируют стабильный заработок и престижную работу. Правда, с графиком все сложнее - он нестабилен. Например, при определенные сбоях и авариях вы рискуете потерять законный выходной.
Зато сама по себе работа у операторов в большинстве случаев не пыльная. Исправить неполадки на линии (для профессионала это не проблема), подключить клиентам оборудование или настроить его - вот то, что придется делать. Вот такая многосторонняя "компьютерная безопасность" (специальность). Вузы, где ее преподают, встречаются везде и всюду. В России вы можете обнаружить данное направление во всех высших учебных заведениях, специализирующихся на информатике и математике. Но это далеко не все популярные вакансии среди выпускников специальности. Куда еще устраиваются?
Охранные системы
Например, мужчины довольно часто устраиваются в разные фирмы по охране объектов. Можно сказать, работают охранниками. Только не теми, что стоят в супермаркетах или в торговых центрах.
Вам интересна "компьютерная безопасность" (специальность)? Где работать по данному направлению по выпуску? В любой охранной службе. Обычно выпускникам рассматриваемого направления достается наиболее приятная работа - монтаж охранного оборудования, а также слежение за объектами при помощи камер.
То есть за среднюю заработную плату вы будете сидеть в кабинете за компьютерами и следить за порядком в том или ином месте. При нарушениях - сообщать соответствующим лицам. Самостоятельно принимать меры придется крайне редко. Где-то и вообще данной обязанности нет. Плюс ко всему, вакансия отличается гибким графиком и возможностью карьерного роста. Так что многие останавливаются именно на работе в службах охраны. Но это еще не все, что можно предложить. Существует очень много разных вакансий, которые открыты перед выпускниками. Какие именно?
Менеджер
По правде говоря, в большинстве случаев для всех специальностей имеются одинаковые вакансии. За небольшим исключением. Так что многие выпускники начинают собственную карьеру с работы менеджером по продажам.
Вообще на данную должность можно устроить работать даже без высшего образования. В последнее время она стала популярна среди школьников (от 16 лет), а также студентов. тут вряд ли предвидится, зато вы будете иметь стабильный заработок. Если удастся попасть в хорошую компанию, то можно будет не менять место работы долгий промежуток времени. А то и вовсе всю жизнь работать в одном месте. И это радует многих.
Только на практике менеджеры требуются всегда и везде. Наблюдается огромная текучка кадров. Ведь со временем хочется как-то развивать свою карьеру, что в качестве менеджера почти невозможно. "Компьютерная безопасность" (специальность) - это не то направление, которое потребует от вас работы менеджером. Ведь не для этого обучаются 5 лет. Хотя бывают и исключения.
Офисный работник
А вот среди девушек, как правило, очень популярна работа в офисе. И тут неважно, какую именно специальность вы получили. Главное - это адекватное начальство, а также стабильный заработок.
"Компьютерная безопасность" (специальность) помогает офисному работнику выполнять сложные задачи. Иногда - даже те, которые он не должен уметь делать в принципе. А значит, это прекрасная возможность для карьерного роста. Вроде бы, все хорошо. Только вот на деле тепленькое местечко не занять без определенных связей.
Получается так, что вы просто будете работать в офисе за компьютером, "разгребать бумажки" и играть в компьютерные игры, пока начальство не видит. За это все вам положен Зато у вас будет стабильный график. Можно поискать престижную фирму, в которой заработная плата окажется выше, чем у других. Но тогда будьте готовы работать с удвоенной энергией.
Колл-центр
Также, получив специальность "компьютерная безопасность", вы можете устроиться работать в колл-центр в какую-нибудь фирму. В зависимости от рода ее деятельности вам придется давать консультации или продавать тот или иной товар. Иногда - информировать о новинках и акциях.
Зачастую такую вакансию выбирают женщины. А фирмы работодателей занимаются продажей оборудования или компьютерами. В крайнем случае - интернет-связью или комплектующими ПК. Тут вам будут платить среднюю зарплату. Только вот колл-центры - это крайне ненадежное место для построения карьеры. Тут наблюдается огромная текучка кадров. Во-первых, зачастую приходится работать столько, что и пообедать нет времени. А во-вторых, никаких перспектив карьерного роста в колл-центрах нет в принципе.
Свое дело
Вам интересна "компьютерная безопасность" (специальность)? Вузы, в которых обучают по данному направлению, обычно умалчивают, что у выпускников будет прекрасная возможность обеспечить себе собственное дело. В большинстве случаев оно будет двигаться в направлении IT-технологий и компьютеров. Таким образом, вы сможете получать хороший заработок.
Индивидуальным предпринимателем может стать абсолютно любой человек. Не обязательно, чтобы у него было высшее образование. Главное - наличие перспективных идей, а также огромная инициатива. Именно это поможет вам продвинуться по карьерной лестнице.
Выпускники по рассматриваемой специальности обычно стараются открывать разнообразные компьютерные сервисы или специализированные магазинчики с комплектующими. Тут есть один существенный минус - огромная конкуренция. Только она способна напугать не всех. Компьютерные сервисы - это то, что должно быть в каждом городе и в больших количествах. А значит, выпускники могут надеяться на огромный успех. Особенно если у них в фирмах будут небольшие цены, а также наличие особых услуг.
Писательская деятельность
Следующую нашу вакансию, если честно, лучше сочетать с каким-нибудь более стабильным заработком. Ведь речь идет о писательской деятельности. Любой выпускник может преуспеть в этой области. Для этого придется обладать фантазией и навыками написания интересных текстов.
Обычно выпускники, обучавшиеся по специальности "компьютерная безопасность", с охотой пишут книги про компьютеры. Специализированная литература довольно популярна. Особенно среди современных подростков. Только с самого начала надеяться на огромный успех не стоит - это бесполезно. Писательство - труд, который потребует от вас огромной работы, а также терпения в ожидании прибыли. По этой причине авторы обычно комбинируют свое призвание с какими-либо другими источниками заработка.
Фриланс
"Компьютерная безопасность" (специальность) - что это такое? На самом деле это направление разных возможностей. Главное - отыскать их. И желательно начать еще во время обучения в вузе. Ведь только такой шаг может гарантировать вам истинный успех в карьерном росте.
Сейчас среди выпускников этой специальности очень популярным стал фриланс. Обычно основанный на написании небольших информационных текстов. Ваша задача - согласно требованиям заказчика написать информацию в интересном для читателя виде. Причем она должна быть полезной и понятной.
Компьютерная безопасность - очень популярная тематика. И никто кроме выпускников данного направления лучше не справится с написанием специализированных статей. Заработок тут, как и в случае с ИП, зависит только от ваших навыков и стремлений. Как правило, фрилансеры получают около 20-25 тысяч в месяц.
Системный администратор
Вам удалось получить специальность "Компьютерная безопасность"? Кем работать по выпуску? Например, можно устроиться в качестве системного администратора. Это очень популярная вакансия среди выпускников, которая будет приносить вам стабильный и хороший доход.
Системный администратор занимается настройкой, подключением и систематизацией работы компьютеров. С данными задачами может справиться любой современный школьник. Плюс ко всему, системным администраторам очень часто предлагают А то и вовсе свободный. Это позволяет работать одновременно в нескольких местах.
Отметим, что системный администратор - это как раз та должность, которая больше всего подходит направлению "компьютерная безопасность".
За последние несколько десятков лет технологического прогресса новым мерилом стала информация. Число людей, занятых в сфере информационных разработок, растет экспоненциально.
Дмитрий Третьяков
MSc Information Systems Security
В связи с высокой стоимостью информации как актива компании в индустрии появляются новые игроки, чьи цели сводятся к незаконному обладанию данными активами. Более того, на защищенность информации влияет человеческий фактор, который приводит к неумышленной утечке, модификации и недоступности информации. В совокупности это рождает потребность в относительно новом виде деятельности - комплексной ИБ.
Можно выделить два основных направления в ИБ: техническое и организационное. К первому относятся специалисты, обладающие следующими знаниями: настройка и администрирование СЗИ, языки программирования, умение "заэксплотировать" распространенные уязвимости, такие как SQL injections, Cross-Site Scripting, Request Forgery, DOS-атака, функционирование ОС Windows, Linux на самом высоком уровне и многое другое.
Образование по специальности/Entrance level
Из-за ускоряющегося технологического прогресса сфера ИБ диктует новые, постоянно меняющиеся требования к своим специалистам. Но специалистов какого уровня на самом деле готовят университеты на Entrance level? Для того чтобы ответить на этот вопрос, были проанализированы учебные программы российских вузов по следующим специальностям:
Специалисты по организационному направлению должны в совершенстве составлять документацию по ИБ, проводить анализ рисков организации, безупречно знать не только отечественные стандарты информационной безопасности, но также ведущие мировые, такие как ISO 2700X, NIST CobiT. Зачастую организации требуют от кандидата знания в обоих направлениях.
- "Комплексное обеспечение информационной безопасности автоматизированных систем" (090105);
- "Организация и технология защиты информации" (090103);
- "Компьютерная безопасность" (090102);
- "Комплексная защита объектов информатизации" (090104);
- "Информационная безопасность" (090303);
- "Информационная безопасность автоматизированных систем";
- "Организация и технология защиты информации" (090905).
Основной упор образовательных программ делается на математический аппарат, включающий в себя знания высшей математики и сложных криптографических алгоритмов, таких как эллиптические кривые и решение уравнений над полями и кольцами вычетов. Большую часть образовательных программ занимают языки и методы программирования. К более профильным модулям относятся такие как:
- "Безопасность операционных систем";
- "Безопасность сетей";
- "Технические средства и методы защиты информации";
- "Программно-аппаратные средства защиты информации";
- "Организационное обеспечение информационной безопасности".
Первые два года студенты активно изучают такие дисциплины, как: "Электротехника и схемотехника", "Аппаратные средства вычислительной техники", "Экономика" и т.д. и т.п. Более того, кадровый состав российских университетов - как правило, люди, получившие образование в далеких 1970-х или раньше. Бесспорно, поучиться есть чему, но если говорить о современных направлениях ИБ, то тут этих знаний уже недостаточно. В итоге на выходе из университета, если человек следует сугубо учебной программе и не занимается самообразованием, мы получаем специалиста, совершенно не готового к реальным требованиям рынка.
Современные требования
Порою смешно смотреть на требования российских работодателей и на предлагаемую ими зарплату. Находятся и такие, которые копируют требования с зарубежных компаний и при этом предлагают зарплату в 5-6 раз ниже. Несмотря на сегодняшнюю недооцененность на российском рынке, с углублением контактов с западным миром отношение к специалисту по информационной безопасности должно измениться в лучшую сторону.
При условии стремительного технологического развития за время обучения будущего специалиста реальная ситуация на рынке труда может много раз в корне измениться. С учетом того что обновление российских образовательных программ происходит крайне редко и с большим трудом, получаем не только неправильно сбалансированную программу, но еще и значительно отставшую от реального прогресса.
А чего же требует рынок от специалистов? Для ответа на этот вопрос был проанализирован внушительный список вакансий на одном из ведущих сайтов по трудоустройству - HeadHunter.ru .
Прежде всего от соискателей требуются навыки в области защиты ПДн, а также знание основных федеральных законов по ИБ, ГОСТов, нормативных документов ФСТЭК и ФСБ. Обязательно знание современных методов и средств защиты информации. Желательны не только знания, но и наличие сертификата по международному стандарту ISO 27001. Уровень английского языка - начиная от уровня чтения технической литературы. Не лишними окажутся навыки работы с сетевым оборудованием Cisco и соответствующие сертификаты. Приветствуются практические знания в поиске и эксплуатации уязвимостей, так же как и участие в хакерских соревнованиях. Но самым нокаутирующим требованием является опыт работы со всем, что написано выше, минимум от двух лет.
Уровень заработной платы
Заработная плата при соответствии соискателя вышеперечисленным требованиям существенно варьируется в зависимости от региона и уровня компании. Основная доля рабочих мест сконцентрирована в Москве. Здесь кандидату будет предложена заработная плата в размере от 40 000 до 60 000 руб. С теми же требованиями в городах Санкт-Петербург, Казань, Уфа, Новосибирск и других миллионниках соискателю будет предложена заработная плата от 30 000 до 40 000 руб. Если рассматривать города с населением меньше миллиона, то тут ситуация омрачается еще сильнее: заработная плата - от 18 000 до 30 000 руб.
Для того чтобы стать востребованным специалистом по информационной безопасности, необходимо вложить в образование минимум 800 000 руб. Но даже это не поможет сразу начать карьеру, так как одним из основных требований является опыт работы в отрасли. Даже если вам повезло и вы сразу устроились на работу в Москве по специальности, окупаемость образования займет 1,5 года, считая все заработанные средства. Для сравнения, в Лондоне образование окупится за четыре месяца.
Следующая ступень карьерной лестницы начинается с практическим опытом работы со специфическими средствами защиты информации, наличием таких сертификатов, как CISSP и CISA. Среди требований часто можно встретить опыт проведения аудита ИБ. Ну и, конечно же, опыт работы в данной сфере от 3-6 лет. Если кандидат соответствует всем этим требованиям, то тут зарплата в Москве составит 60 000-90 000 руб., в регионах - 50 000-70 000 руб. В небольших городах специалисты такого уровня практически не требуются.
По большому счету требования в ИБ не слишком отличаются по всему миру. Разница лишь в знании локального законодательства по ИБ, отдельных средствах защиты, обязательных стандартах, к которым зачастую относится ISO 27001 и COBIT, а также в знаниях и опыте в таких областях, как business continuity plan и disaster recovery plan ISO 22301. Самое большое отличие зарубежных вакансий от отечественных - уровень заработной платы. Для его определения за основу был взят крупнейший зарубежный ресурс по поиску работы - monster.com . Начальный уровень в Лондоне начинается с зарплаты (в переводе на российский рубль) от 150 000 руб. "чистыми" в месяц. При наличии опыта и сертификатов уровень заработной платы повышается до суммы в 60 000-90 000 фунтов в год, что в российском эквиваленте составляет 250 000-375 000 руб. в месяц.
Теперь рассчитаем окупаемость образования специалиста по ИБ.
Высшее образование 400 000-600 000 руб. за 5 лет обучения.
Подготовка и сдача экзамена CISCO CCNA - 25 000-30 000 рублей, CCNP - 37 000-15 000 руб.
ISO 27001 Lead Implementer Training Course - 150 000 руб., ISO/I EC 27001 Lead Auditor Training Course - 150 000 руб.
Certified Information Systems Auditor (CISA) - 90 000 руб., включая сдачу экзамена.
Certified Information Security Manager (CISM) - 90 000 руб., включая сдачу экзамена.
Certified Information Systems Security Professional (CISSP) 100 000 руб., не считая сдачи экзамена, + 5 лет опыта работы.
MSc Information Systems Security - 500 000-1 000 000 руб.
Несмотря на высокую популярность профессии, обилие информационных ресурсов и материалов в открытом доступе рынок испытывает нехватку квалифицированных кадров, особенно связанных с практической информационной безопасностью.
В данной статье будет раскрыта тема востребованности специалистов по информационной безопасности, специфика требований и навыков.
Cтатистика
По статистике одного из HR-агенств, специалистам по информационной безопасности в конце 2015 г. предлагали в среднем на 21% больше, чем в январе 2015 г. Это указывает на то, что даже в условиях кризиса квалифицированные специалисты востребованы, более того, рынок ощущает их нехватку.Действительно, тема информационной безопасности стала как никогда актуальной - это и набирающие обороты (по уровню ущерба и частоте) атаки банковского сектора (SWIFT, корреспондентские счета), увеличивающееся количество таргетированных атак (Advanced Persistent Threat, APT) и т.д.
Даже те компании, штат которых укомплектован специалистами по информационной безопасности, нуждаются в квалифицированной оценке зрелости защитных систем, безопасности периметра, веб-приложений и иных элементов инфраструктуры - показательно всё увеличивающееся количество инициаторов BugBounty программ, причём сумма выплат колеблется от $100 до $20000 за уязвимость.
Вакансии
Исходя из данных, представленных на сайтах по размещению вакансий средний уровень заработной платы специалистов по информационной безопасности с опытом 1-3 года находится на уровне 40.000-70.000 рублей. Это относится к специалистам начальной группы (junior ), с малым опытом работы, по профессиональным требованиям и обязанностям это хорошо видно (здесь и далее представлены «усреднённые» показатели):Обязанности:
- Администрирование межсетевых экранов Cisco ASA и Kerio Connect;
- Администрирования сервера антивирусной защиты, мониторинг состояния клиентов, удаление вирусов, тонкая настройка защиты;
- Поиск уязвимостей с помощью специализированного ПО и их устранение;
- Мониторинг выхода обновлений для ОС, ПО и сетевого оборудования;
- Периодический анализ логов.
- Опыт администрирования ОС Windows от 1-го года;
- Базовые знания ОС Linux от 1-го года, уверенная работа в командной строке;
- Базовые знания работы сетей. IP адресация, статическая маршрутизация, модели ISO OSI, TCP;
- Опыт администрирования Active Directory: настройка групповых политик(GPO), управление правами пользователями;
- Опыт настройки систем защиты от НСД на базе Windows;
- Опыт настройки антивирусных систем;
- Опыт разработки сложных конфигураций межсетевого экрана IPTables;
- Умение настраивать Apache2, nginx, Auditd, MySQL, PostgreSQL, Rsyslog.
Специалисты с опытом 3-6 лет относятся уже к middle . Навыков и опыта требуется больше, но и уровень заработной платы гораздо выше. Эти специалисты, как правило, имеют хороший технический бэкграунд (системное администрирование, поиск узявимостей), хорошо знают приложения, техники и методологию. Этих специалистов условно можно разделить на два направления - нападение и защита. Универсалов на этом уровне (пентестер + специалист по обеспечению ИБ) - практически не бывает в природе (либо это уже уровень senior). Средняя вилка - 70.000-100.000 рублей.
Специалист по защите информации:
Обязанности:
- Настройка и управление подсистемами безопасности;
- Управление инцидентами безопасности;
- Настройка и управление коммутационным оборудованием;
- Написание скриптов оптимизации управления системами безопасности;
- Управление инфраструктурой предоставления доступов;
- Анализ логов-файлов и журналов событий;
- Участие в сопровождении IT-инфраструктуры Заказчика: обеспечение информационной безопасности и защиты персональных данных;
- Мониторинг и контроль функционирования средств обеспечения ИБ;
- Поддержка работоспособности, администрирование и обеспечение бесперебойной работы специальных средств защиты информации;
- Внесение изменений в настройки средств обеспечения безопасного межсетевого взаимодействия при обнаружении признаков атаки на ВС;
- Контроль нештатной активности внутренних пользователей ВС;
- Анализ инцидентов ИБ и их решение;
- Проведение аудитов, подготовка организационно-распорядительной документации и отчетов по ИБ.
- Высшее образование (ИТ, информационная безопасность);
- Знание принципов построения и функционирования сетей и протоколов стека TCP/IP;
- Знание модели ISO/OSI;
- Понимание принципов компьютерной и сетевой безопасности, безопасности web- приложений;
- Знание принципов работы средств обеспечения безопасности (корпоративные антивирусы,WAF, системы обнаружения вторжений и т.д.);
- Windows и Linux на уровне администратора;
- Опыт автоматизации (bash, perl, python);
- Опыт проведения анализа защищенности;
- Профессиональные знания используемого в инфраструктуре работодателя профильного ПО (от корпоративных антивирусов до DLP/IDS/IPS/SIEM и т.д).
Обязанности:
- Выполнение тестирования информационных сред и программных продуктов компании;
- Тестирование информационных систем на отказоустойчивость;
- Инструментальный анализ информационных систем;
- Выявление актуальных угроз по классификации OWASP TOP 10, выработка компенсирующих мер;
- Тестирование на проникновение;
- Анализ безопасности исходных кодов программных продуктов.
- Опыт работы по выявлению уязвимостей систем;
- Опыт работы с Burp Suite, Hydra;
- Опыт работы SQLMap, OpenVAS, Metasploit Framework, Fortify, AppScan;
- Опыт работы Acunetix, w3af, X-Spider, Max-Patrol, Nmap;
- Знание принципов построения и работы веб-приложений;
- Знание типовых угроз и уязвимостей веб-приложений, перечисленных в OWASP Top 10;
- Навыки ручного и автоматизированного тестирования безопасности веб-приложений;
- Опыт проведения тестирования на проникновение;
- Опыт проведения аудита систем ИТ и ИБ.
Cпециалисты с опытом работы от 5-6 лет - senior . Как правило это руководящая должность - начальник отдела анализа защищенности; начальник отдела управления информационной безопасности; аналитик; крупный сейл ИБ-вендора; узскопециализированный пентестер. Уровень заработной платы от 120.000 до 200.000 рублей.
Людей из этой категории довольно мало, и, как правило, они «на слуху» в отрасли. Это специалисты, хорошо разбирающиеся в предметной области, и, как правило, имеющие экспертную квалификацию в узкой специализации. Приветствуется опыт выступления на конференциях либо другая общественная активность - значит кандидат следит за трендами и получает своевременную оценку профессионального сообщества.
Из требований здесь встречаются следующие:
- Высшее ИБ/ИТ образование;
- Наличие сертификатов;
- Наличие публикаций и статей в предметной области;
- Опыт публичных выступлений;
- Знание основных методик, классификаций и международных практик (OSSTMM, OWASP, WASC, NIST SP800-115 и др.);
- Навыки выявления угроз ИБ на основе сведений об уязвимостях (классификация угроз, формирование рекомендаций по устранению уязвимостей и минимизации бизнес-рисков);
- Знание нормативной базы в части защиты информации: законов и иных нормативных правовых актов РФ, регулирующих отношения, связанные с защитой информации ограниченного доступа (не относящейся к гостайне), руководящих документов ФСТЭК, ФСБ, в том числе по защите банковской тайны, АСУ ТП, коммерческой тайны, знание СТО БР ИББС, PCI DSS, ISO 27xxx;
- Английский язык;
- Наличие лидерских качеств, умение добиваться поставленных целей, инициативность, активность, навыки самоорганизации, ответственность;
- Умение программировать на одном или нескольких скриптовых языках;
- Экспертные знания профильного ПО (IBM Qradar, Splunk Enterprise, Imperva DAM, Maxpatrol, Symantec Critical System Protection, Tuffin, Gigamon Networks и Cisco ASA. и т.д);
- Экспертные знания в узкоспециализированных системах: (например SCADA/ERP/SS7/Hardware);
- Опыт разработки собственных средств/утилит/методик;
- Опыт разработки технической и аналитической документации;
- Опыт проведения статистических исследований;
- Опыт расследования инцидентов безопасности, сбор доказательной базы, форензика;
- Опыт участия в крупных проектах по анализу защищенности или аудиту информационной безопасности.
Вершина пирамиды (lead ) - специалисты с опытом от 10 лет. К этой категории относятся CTO, CISO, системный архитектор, team lead. Уровень зарплаты от 200.000. Как правило, это известные люди в отрасли информационной безопасности, с обширным опытом и связями.
Требования/навыки: здесь обычно смотрят на выполненные проекты, направление деятельности. По навыкам могут запросить полный список с предыдущих позиций (а он обычно обширный к этому этапу), либо просто будет указан необходимый результат работы. В случае этих позиций смотрят уже не на знания, а на достижения.
Такие специалисты требуются крупным интеграторам, ИБ-вендорам, крупнейшим технологическим компаниям, финансовой сфере, в государственном секторе.
Подводя итоги
Защита информации для участников рынка становится одной из приоритетных задач. Обеспечить такую защиту только автоматизированными средствами, практически невозможно. Востребованность специалистов в сфере ИБ растет с той же скоростью, с которой развиваются и сами информационные технологии.Проблема образования и дальнейшего трудоустройства заключается в извечной проблеме «нет работы, потому что нет опыта, потому, что нет работы…» и читать эту фразу можно по кругу бесконечно. Общепризнанный факт, что диплом сам по себе не дает приоритета. К моменту выпуска бОльшая часть знаний уже не котируется.
Наиболее быстрый и удачный выход из ситуации – самообразование.
В 2005 году в Красноярске для получения образования в сфере защиты информации, можно было поступить в Красноярский государственный технический университет (теперь Политехнический институт СФУ) или в Сибирский государственный аэрокосмический университет. Я выбрала последний, особенно меня прельщала огромная ракета, нарисованная на фасаде, и слово "космос" в названии. В СибГАУ в свою очередь пришлось выбирать из двух направлений: 090105 "Комплексное обеспечение информационной безопасности автоматизированных систем" и 090106 "Информационная безопасность телекоммуникационных систем" (квалификация в обоих случаях - специалист по защите информации), в Политехе была специальность 090102 "Компьютерная безопасность" (квалификация - математик). Между "комплексной" и "телекоммуникационной" безопасностью я выбрала последнюю и не пожалела. Программы совершенно разные, наше обучение было посвящено в основном изучению основ связи во всех ее проявлениях (радио-, сотовая, проводная связь).
Пять с половиной лет мы строили модели канала связи, рисовали передатчики и приемники, вычисляли характеристики сигналов, изучали помехоустойчивое кодирование. И все это под руководством бывших военных (в этом есть своя романтика). Для тех, кому нравится физика, а особенно раздел "колебания и волны" (наверное, самый сложный в школьной программе), специальность "Телекоммуникационная безопасность" подходила в полной мере. Многие мои друзья и знакомые учились на "Комплексной безопасности" и у нас были некоторые общие занятия, хотя их программа, на мой взгляд, была более земной. Но зато в ней было больше работы с компьютерами и законодательством. Супруг заканчивал политех - у них было очень много математики (как у нас физики).
Что сейчас?
Все поменялось пару лет назад и теперь в СибГАУ можно выучиться на бакалавра по направлению 10.03.01 "Информационная безопасность" и на специалиста по специальности 10.05.02 "Информационная безопасность телекоммуникационных систем" (моя специальность под новым названием) (ссылка) . Направления СФУ указаны . В Томске обучают по информационной безопасности в ТУСУРе ( ссылка ). Сразу отмечу, что специальности закрытые, а это значит, что лиц с гражданством других стран (а также с двойным гражданством) не принимают.
Легко ли учиться?
Я бы сказала, что учиться достаточно сложно, очень много домашней самостоятельной работы, курсовых и типовых. Постоянно приходилось что-то вычислять и считать. Очень много физики и математики. Девчонок раньше училось немного, сейчас гораздо больше. У нас на группу где-то из 27 человек приходилось три девочки. Для тех, кто верит в гороскопы интересная деталь - у всех троих был знак зодиака скорпион, говорят, что есть в этом предрасположенность к техническим наукам. Другой интересный момент - количество золотых и серебряных медалистов - половина группы.
Что общего между обучением и работой?
К сожалению, большинство полученных знаний не пригодилось. Самым полезным было изучение правовых и организационных основ информационной безопасности в рамках полугодового курса. Все предметы по компьютерной безопасности также пригодились, а вот электросвязь - нет. В университете я со второго курса занималась научной работой и ходила на научные семинары, мне кажется, они мне дали больше, чем все предметы:) Остальные знания добирала из книг, журналов, Интернета и производственной практики.
Сложно ли найти работу?
Есть разные мнения, но по своему опыту и опыту своих знакомых и друзей могу сказать, что найти работу сложно, но можно. Я работаю уже на четвертом месте и каждый раз по специальности. Причем первое и второе рабочее место было еще во время учебы, так что даже с неоконченным высшим образованием работу найти реально. Фриланс найти сложно, все-таки для выполнения работ по технической защите информации нужны лицензии, которые даются на организацию и получить их очень тяжело. Но можно найти себе рабочее место в компании, оказывающей услуги по защите информации, тогда зарплата будет напрямую зависеть от количества клиентов. Если хочется стабильности - лучше идти специалистом по защите информации на производство.
Заработная плата
В среднем ниже, чем у программистов и подработку найти сложнее. Но обычно выше, чем у системных администраторов.
Чем занимается специалист?
Направлений работы очень много, даже при одинаковом названии должности. Установка и настройка средств защиты информации, написание инструкций и положений по информационной безопасности, обучение пользователей методам безопасной работы, работа с криптографическими средствами, расследование инцидентов и многое другое.
Минусы
К минусам я бы отнесла:
- небольшой выбор рабочих мест (по сравнению с программистами и другими ИТ-специалистами);
- невысокий размер зарплаты, сложность подработки;
- работа с большим количеством документации.
