Radne obveze stručnjaka za informacijsku sigurnost uključuju:

Praćenje i analiza stanja sustava zaštite informacijske tehnologije poduzeća, priprema preporuka za njihovo unapređenje;
razvoj i provedba politika i propisa za osiguranje informacijske sigurnosti;
pripremu i implementaciju tehničkih rješenja informacijske sigurnosti;
praćenje tehničkog stanja sustava informacijske sigurnosti, pravovremeno otklanjanje novonastalih tehničkih problema;
praćenje usklađenosti svih kategorija korisnika sa zahtjevima informacijske sigurnosti;
savjetovanje i osposobljavanje zaposlenika o mjerama osiguranja informacijske sigurnosti;
analiza izvješća o slučajevima neovlaštenog pristupa, razvoj metoda za borbu protiv kršenja;
sudjelovanje u projektima modernizacije informacijske infrastrukture i nabavi opreme.

Plaće i zahtjevi poslodavca

Prosječna plaća stručnjaka za informacijsku sigurnost u Moskvi je 80.000 rubalja, u Sankt Peterburgu - 64.000 rubalja, u Volgogradu - 38.000 rubalja, u Voronježu - 40.000 rubalja, u Jekaterinburgu - 51.000 rubalja, u Kazanu - 40.000 rubalja, u Krasnojarsku - 46.000. rubalja, u Nižnjem Novgorodu - 44.000 rubalja, u Novosibirsku - 50.000 rubalja, u Omsku - 40.000 rubalja, u Permu - 46.000 rubalja, u Rostovu na Donu - 45.000 rubalja, u Samari - 46.000 rubalja, u Ufi - 40.000 rubalja, u Čeljabinsk - 46 000 rubalja.

Za radno mjesto stručnjaka za informacijsku sigurnost mogu se javiti pristupnici s nezavršenom visokom stručnom spremom tehničkog ili informatičkog smjera. Kandidati moraju poznavati regulatorni okvir, upravljačke dokumente, državne standarde u području informacijske sigurnosti, kao i standarde šifriranja, osnovne tehnologije informacijske sigurnosti, suvremeni softver i hardver za informacijsku sigurnost. Ponude plaća za stručnjake bez iskustva na ovoj poziciji u Moskvi počinju od 35.000 rubalja. , u St. Petersburgu - od 28.000 rubalja.

Drugi raspon plaća je za stručnjake za informacijsku sigurnost s najmanje 1 godinom radnog iskustva. Od pristupnika se također zahtijevaju vještine postavljanja i konfiguriranja suvremenih rješenja informacijske sigurnosti (vatrozidi, sustavi za detekciju i prevenciju napada itd.) te iskustvo u provođenju revizija informacijske sigurnosti. Ponude plaća za kandidate koji ispunjavaju navedene uvjete kreću se od 50.000 do 70.000 rubalja u Moskvi i od 40.000 do 55.000 rubalja u gradu na Nevi.

Veću plaću mogu očekivati ​​stručnjaci informacijske sigurnosti s višom stručnom spremom i radnim iskustvom dužim od 2 godine. Traženo je i iskustvo u izradi propisa i sigurnosnih politika, iskustvo u provođenju istraga vanjskih i unutarnjih incidenata u području informacijske sigurnosti. Stručnjaci s 2 godine radnog iskustva zarađuju u Moskvi do 100.000 rubalja. , u sjevernoj prijestolnici - do 80.000 rubalja.

Maksimalni prihod mogu očekivati ​​kandidati s najmanje 3 godine iskustva na poslovima stručnjaka za informacijsku sigurnost. Potrebni su certifikati o sigurnosti informacija. Potrebno je i iskustvo u implementaciji sustava informacijske sigurnosti u velikim korporativnim mrežama te iskustvo u projektiranju ekskluzivnih sustava i metoda zaštite informacija. Maksimalna plaća za stručnjake za informacijsku sigurnost u Moskvi je 150.000 rubalja. , u St. Petersburgu - 120.000 rubalja.

Regija	Bend I	Raspon II	Raspon III	Raspon IV	Medijan
	(bez iskustva kao stručnjak za informacijsku sigurnost)	(sa radnim iskustvom od 1 godine)	(sa radnim iskustvom od 2 godine ili više)	(sa radnim iskustvom od 3 godine ili više)	(Prosječna plaća)
Moskva	35 000-50 000	50 000-70 000	70 000-100 000	100 000-150 000	80 000
Sankt Peterburg	28 000-40 000	40 000-55 000	55 000-80 000	80 000-120 000	64 000
Volgograd	18 000-25 000	25 000-35 000	35 000-48 000	48 000-70 000	38 000
Voronjež	18 000-25 000	25 000-35 000	35 000-50 000	50 000-75 000	40 000
Ekaterinburg	20 000-32 000	32 000-45 000	45 000-65 000	65 000-95 000	51 000
Kazan	18 000-25 000	25 000-35 000	35 000-50 000	50 000-75 000	40 000
Krasnojarsk	20 000-30 000	30 000-40 000	40 000-55 000	55 000-85 000	46 000
Nižnji Novgorod	18 000-28 000	28 000-40 000	40 000-55 000	55 000-85 000	44 000
Novosibirsk	20 000-32 000	32 000-45 000	45 000-65 000	65 000-95 000	50 000
Omsk	18 000-25 000	25 000-35 000	35 000-50 000	50 000-75 000	40 000
permski	20 000-28 000	28 000-40 000	40 000-55 000	55 000-85 000	46 000
Rostov na Donu	20 000-30 000	30 000-40 000	40 000-57 000	57 000-85 000	45 000
Krilati plod	20 000-30 000	30 000-40 000	40 000-55 000	55 000-85 000	46 000
Ufa	18 000-25 000	25 000-35 000	35 000-50 000	50 000-75 000	40 000
Čeljabinsk	20 000-30 000	30 000-42 000	42 000-58 000	58 000-85 000	46 000

Portret podnositelja zahtjeva

Većina kandidata za mjesto stručnjaka informacijske sigurnosti su muškarci (87%). Kandidati mlađi od 30 godina - 60%. 93% pristupnika ima visoko obrazovanje. 14% stručnjaka za informacijsku sigurnost tečno govori engleski.

Kod za ugradnju bloga

Stručnjak za informacijsku sigurnost

U siječnju 2016. istraživački centar portala Superjob proučavao je ponude poslodavaca i očekivanja kandidata za poziciju „Stručnjaka za informacijsku sigurnost“ u 15 gradova Rusije. Čitaj više...

Tijekom posljednjih nekoliko desetljeća tehnološkog napretka informacija je postala nova mjera. Broj ljudi koji rade u informacijskom razvoju eksponencijalno raste.

Dmitrij Tretjakov
MSc Sigurnost informacijskih sustava

Zbog visoke cijene informacija kao imovine poduzeća, u industriji se pojavljuju novi igrači čiji se ciljevi svode na ilegalno posjedovanje te imovine. Štoviše, na sigurnost informacija utječe i ljudski faktor, što dovodi do nenamjernog curenja, mijenjanja i nedostupnosti informacija. Sve skupa to dovodi do potrebe za relativno novom vrstom aktivnosti - sveobuhvatnom informacijskom sigurnošću.

Dva su glavna područja informacijske sigurnosti: tehničko i organizacijsko. Prva uključuje stručnjake sa sljedećim znanjima: konfiguracija i administracija sustava informacijske sigurnosti, programski jezici, sposobnost "iskorištavanja" uobičajenih ranjivosti, kao što su SQL injekcije, Cross-Site Scripting, Request Forgery, DOS napad, funkcioniranje Windowsa i Linuxa OS na najvišoj razini i još mnogo toga.

Obrazovanje prema specijalnosti/ulaznoj razini

Zbog ubrzanog tehnološkog napretka, područje informacijske sigurnosti diktira nove, stalno promjenjive zahtjeve za svoje stručnjake. Ali koju razinu stručnjaka sveučilišta zapravo obrazuju na ulaznoj razini? Kako bismo odgovorili na ovo pitanje, analizirani su nastavni planovi i programi ruskih sveučilišta u sljedećim specijalnostima:

Organizacijski stručnjaci moraju savršeno sastaviti informacijsku sigurnosnu dokumentaciju, provesti analizu rizika organizacije te izvrsno poznavati ne samo domaće standarde informacijske sigurnosti, već i vodeće svjetske, poput ISO 2700X, NIST CobiT. Organizacije često od kandidata zahtijevaju znanje iz oba područja.

• „Cjelovito osiguranje informacijske sigurnosti automatiziranih sustava“ (090105);
• „Organizacija i tehnologija informacijske sigurnosti“ (090103);
• „Računalna sigurnost“ (090102);
• "Cjelovita zaštita informacijskih objekata" (090104);
• "Informacijska sigurnost" (090303);
• "Informacijska sigurnost automatiziranih sustava";
• „Organizacija i tehnologija informacijske sigurnosti“ (090905).

Glavni naglasak obrazovnih programa je na matematičkom aparatu koji uključuje znanja iz više matematike i složenih kriptografskih algoritama, kao što su eliptičke krivulje i rješavanje jednadžbi nad poljima i prstenovima ostataka. Veliki dio obrazovnih programa zauzimaju programski jezici i metode. Specijaliziraniji moduli uključuju sljedeće:

• "Sigurnost operativnih sustava";
• "Sigurnost mreže";
• "Tehnička sredstva i metode informacijske sigurnosti";
• "Softver i hardver za informacijsku sigurnost";
• "Organizacijska podrška informacijskoj sigurnosti."

U prve dvije godine studenti aktivno studiraju discipline kao što su: “Elektrotehnika i strujno inženjerstvo”, “Računalni hardver”, “Ekonomija” itd. i tako dalje. Štoviše, osoblje ruskih sveučilišta u pravilu su ljudi koji su stekli obrazovanje u davnim 1970-ima ili ranije. Nedvojbeno, postoji mnogo toga za naučiti, ali ako govorimo o suvremenim područjima informacijske sigurnosti, onda to znanje više nije dovoljno. Kao rezultat toga, na izlasku sa fakulteta, ako osoba striktno slijedi nastavni plan i program i ne obrazuje se, dobivamo stručnjaka koji je potpuno nespreman za stvarne zahtjeve tržišta.

Suvremeni zahtjevi

Ponekad je smiješno pogledati zahtjeve ruskih poslodavaca i plaće koje nude. Ima i onih koji kopiraju zahtjeve stranih kompanija, a pritom nude 5-6 puta niže plaće. Unatoč današnjoj podcijenjenosti na ruskom tržištu, s produbljivanjem kontakata sa zapadnim svijetom, odnos prema stručnjaku za informacijsku sigurnost trebao bi se promijeniti na bolje.

S obzirom na brzi tehnološki razvoj tijekom školovanja budućeg stručnjaka, stvarna situacija na tržištu rada može se mnogo puta radikalno promijeniti. Uzimajući u obzir činjenicu da se ažuriranje ruskih obrazovnih programa događa iznimno rijetko i s velikim poteškoćama, dobivamo ne samo neispravno uravnotežen program, već i onaj koji značajno zaostaje za stvarnim napretkom.

Što tržište traži od stručnjaka? Kako bismo odgovorili na ovo pitanje, analiziran je impresivan popis slobodnih radnih mjesta na jednoj od vodećih stranica za zapošljavanje - HeadHunter.ru.

Prije svega, od kandidata se zahtijevaju vještine u području zaštite osobnih podataka, kao i poznavanje osnovnih saveznih zakona o informacijskoj sigurnosti, GOST-ova, regulatornih dokumenata FSTEC-a i FSB-a. Potrebno je poznavanje suvremenih metoda i sredstava informacijske sigurnosti. Nije poželjno samo znanje, već i certifikat prema međunarodnoj normi ISO 27001. Razina engleskog jezika je od razine čitanja stručne literature. Vještine rada s Cisco mrežnom opremom i relevantni certifikati neće biti suvišni. Potiče se praktično znanje u pronalaženju i iskorištavanju ranjivosti, kao i sudjelovanje u natjecanjima u hakiranju. Ali najveći zahtjev za nokautiranje je najmanje dvije godine iskustva sa svime što je gore napisano.

Razina plaća

Plaća, ako kandidat ispunjava gore navedene uvjete, značajno varira ovisno o regiji i razini tvrtke. Većina poslova koncentrirana je u Moskvi. Ovdje će kandidatu biti ponuđena plaća u iznosu od 40.000 do 60.000 rubalja. Uz iste zahtjeve, u gradovima Sankt Peterburgu, Kazanu, Ufi, Novosibirsku i drugim milijunskim gradovima, kandidatu će biti ponuđena plaća od 30.000 do 40.000 rubalja. Ako uzmemo u obzir gradove s manje od milijun stanovnika, onda je situacija još sumornija: plaće se kreću od 18.000 do 30.000 rubalja.

Da biste postali traženi stručnjak za informacijsku sigurnost, morate uložiti najmanje 800.000 RUB u obrazovanje. Ali ni to vam neće pomoći da odmah započnete svoju karijeru, budući da je jedan od glavnih uvjeta iskustvo u industriji. Čak i ako imate sreće i odmah dobijete posao u Moskvi u svojoj specijalnosti, povrat vašeg obrazovanja trajat će 1,5 godine, računajući sav zarađeni novac. Usporedbe radi, u Londonu će se obrazovanje isplatiti za četiri mjeseca.

Sljedeći korak na ljestvici karijere započinje praktičnim iskustvom u radu sa specifičnim alatima za informacijsku sigurnost i dostupnošću certifikata kao što su CISSP i CISA. Među zahtjevima često možete pronaći iskustvo u provođenju revizije informacijske sigurnosti. I, naravno, 3-6 godina iskustva u ovoj oblasti. Ako kandidat ispunjava sve ove zahtjeve, tada će plaća u Moskvi biti 60.000-90.000 rubalja, u regijama - 50.000-70.000 rubalja. U malim gradovima stručnjaci ove razine praktički nisu potrebni.

Općenito, zahtjevi za informacijskom sigurnošću nisu jako različiti diljem svijeta. Jedina razlika je u poznavanju lokalnog zakonodavstva o informacijskoj sigurnosti, pojedinačnih načina zaštite, obveznih standarda, koji često uključuju ISO 27001 i COBIT, kao i znanja i iskustva u područjima kao što su plan kontinuiteta poslovanja i plan oporavka od katastrofe ISO 22301. razlika između stranih slobodnih radnih mjesta od domaćih - visina plaće. Da bi se to odredilo, kao osnova uzet je najveći strani izvor za traženje posla, monster.com. Ulazna razina u Londonu počinje s plaćom (prevedeno u ruske rublje) od 150 000 rubalja. "neto" mjesečno. Ako imate iskustvo i certifikate, razina plaće se povećava na 60 000-90 000 funti godišnje, što je u ruskom ekvivalentu 250 000-375 000 rubalja. na mjesec.

Sada izračunajmo isplativost obrazovanja stručnjaka za informacijsku sigurnost.

Visoko obrazovanje 400 000-600 000 rub. za 5 godina studija.
Priprema i polaganje CISCO CCNA ispita - 25.000-30.000 rubalja, CCNP - 37.000-15.000 rubalja.
ISO 27001 tečaj za vodećeg implementatora - 150.000 RUB, ISO/I EC 27001 tečaj za glavnog revizora - 150.000 RUB.
Ovlašteni revizor informacijskih sustava (CISA) - 90 000 RUB, uključujući polaganje ispita.
Certified Information Security Manager (CISM) - 90 000 RUB, uključujući polaganje ispita.
Certified Information Systems Security Professional (CISSP) 100.000 RUB, ne uključujući ispit, + 5 godina radnog iskustva.
MSc Sigurnost informacijskih sustava - RUB 500,000-1,000,000.

Sada se pripremamo za drugi dio hakerskog turnira. Predviđajući moguća pitanja novinara i ljudi daleko od informacijske sigurnosti, želim vam unaprijed reći zašto krajnji rezultat neće biti hakeri i kako općenito izgleda karijera stručnjaka za sigurnost.

Zaštitar danas, grubo govoreći, može pomicati komade papira, hodati okolo s radio opremom, sastavljati planove za oporavak od katastrofe i izravno se baviti popravljanjem rupa u softveru. Ima puno specijalizacija. Sve ovisi o konkretnoj organizaciji: njezinoj veličini, vrstama informacija koje se štite, korištenim tehnologijama i tako dalje. Jasno je da je najzanimljiviji posao tamo gdje je potrebna stvarna sigurnost, a ne fiktivna (papirnata), visoka je razina automatizacije.

Pogledajmo odakle dolaze takvi stručnjaci i kako se dobivaju.

Obrazovanje

Naravno, da biste postali stručnjak za informacijsku sigurnost, morate imati tehničko obrazovanje. Najbolji izbor je specijalnost koja sadrži riječi "automatizacija", "sigurnost", "programiranje" ili "matematika". Prije nekoliko godina visoko su cijenjeni diplomanti isključivo sa sveučilišta kao što su MEPhI, MVTU, MSU i MIPT. Posljednjih godina pridodano im je nekoliko regionalnih sveučilišta s približno sličnim programima obuke.

Engleski je vrlo važan, pogotovo tehnički. Što prije to počnete učiti, to bolje. Ako ste završili fakultet, ali još ne govorite tečno engleski, isplati se upisati dobre tečajeve.

I u obrazovanju, za različite specijalizacije, važno je “skinuti” kriptografiju (na Courseru postoji jako dobar osnovni tečaj) i matematiku općenito, razumjeti hardver koji se koristi u tvrtki (najčešće je riječ o telefoniji, kamerama, i tako dalje), i imaju vrlo dobro razumijevanje mrežne arhitekture u teoriji i poznaju značajke cjelokupnog hardvera u praksi, imaju iskustva u administraciji sustava za MS i *nix, plus barem nešto iskustva s poslužiteljima s HP-om i IBM-om. Sve se to uči na tečajevima i seminarima za studente iz velikih kompanija, najčešće su besplatni, npr. CROC redovito provodi edukacije za studente iz raznih područja, informacije su dostupne. Brojne stvari, poput sposobnosti rada s lemilom, čisto su kućna praksa. Usput, nećete trebati samo lemilo, ali razumijevanje željeza na niskoj razini je vrlo dobro.

Drugi važan dio posla zaštitara je društvenost. Činjenica je da sigurnosne mjere gotovo uvijek usporavaju procese u tvrtki na ovaj ili onaj način, a ljudi moraju objasniti zašto je to potrebno. Branite svaku odluku, provodite treninge, dokažite svoj slučaj upravi i tako dalje. Drugi aspekt je već spomenuti rad sa, koji jednostavno nužno zahtijeva barem osnovno poznavanje psihologije.

Prvi posao

Kad napusti fakultet, budući sigurnosni heroj ili nikome (općenito) ne treba ili ga se percipira kao izvrsnog pripravnika za veliki biznis. Razlog je što sve u radu ovisi o specifičnom okruženju i specifičnim prijetnjama. Odnosno, možete učiti samo kroz praksu u tvrtki u kojoj se očekuje rast.

Iz toga proizlaze tri zaključka:

• Dobro je veseliti se višegodišnjoj karijeri na jednom mjestu.
• Što prije počnete upoznavati svoju buduću tvrtku, to bolje. Najbolja opcija je odraditi staž upravo tamo.
• Općenito, važno je razviti osobne kvalitete kao što su sustavno razmišljanje i odgovornost - oni će biti korisni u svim uvjetima.

Vrlo je važan mentor-mentor - najvjerojatnije viši stručnjak ili menadžer, koji će sve upoznati, govoriti o praktičnim značajkama i objasniti što je prije bilo. Bez toga ste osuđeni ponovno hodati po njima.

Zatim, općenito, postoje dvije uobičajene opcije: prva je da polako rastete u jednoj tvrtki. Drugi je da se na prvom radnom mjestu namučite i već pretučeni, ali iskusni, cinični i oprezni počnete raditi za veću plaću na drugom mjestu.

Životni stil i izgledi

Prilično često pitanje studenata je "koga preuzeti: administratora sustava ili stručnjaka za sigurnost"? Za iskusne ljude ova usporedba izmami osmijeh: to je kao da uspoređujete toplo s mekim. U početku su zarade približno iste. Profesionalac zaštite ima veće šanse za uspješnu voditeljsku karijeru, ali i veću odgovornost: rana sijeda kosa, kardiovaskularne bolesti i druge posljedice stalnog stresa profesionalni su rizici. Zabrinut je, naravno, i sistemski administrator, ali ako zakaže, stvar se ograničava na gnjavažu i vraćanje iz sigurnosne kopije.

"Napumpani" stručnjak za sigurnost dobiva više plaće jer je, opet, bliži donošenju odluka (i rizicima) tvrtke. U velikom biznisu pravila na ovom području su jednostavna – što više riskirate, to je veći prihod.

Rad stručnjaka za informacijsku sigurnost često ostavlja trag na vašem životnom stilu. Prvo, nije uobičajeno reklamirati zanimanje. Nekoliko vaših prijatelja koji su web dizajneri, administratori sustava, voditelji prodaje ili bilo što drugo mogu biti mnogo viši u hijerarhiji tvrtke - i zapravo rade sigurno. Zapravo, poznajem nekoliko ljudi na Habréu koji na profilu imaju potpuno drugačiji stav nego u stvarnosti.

Drugo, ponekad postoje ograničenja putovanja. Neću ovdje ulaziti u detalje, ali ukratko, za karijeru u brojnim državnim tvrtkama bolje je učiti engleski kod kuće, nego redovito ići na praksu u druge zemlje. Budući da se iskustvo u specijaliziranim državnim agencijama i službama visoko cijeni, bolje je razmisliti o tome unaprijed.

U pravilu ključnim pozicijama u službama informacijske sigurnosti u korporativnom okruženju (u tvrtkama s dugom poviješću) dominiraju ljudi u uniformi ili sličnog iskustva. Ovo je tvoj svijet, tvoje vrijednosti, kriteriji sreće i istine.

Granični specijaliteti

Kada se razvija posao (u mladim strukturama), vrlo često stručnjak za sigurnost izrasta ili iz administratora sustava ili nekoga iz razvoja, na primjer, voditelja projekta. Samo što u jednom trenutku postane jasno da vam treba osoba koja će preuzeti niz obaveza – a nekima to ispadne lakše i jednostavnije. Puno je rjeđe da stručnjak za sigurnost dolazi iz financijskog analitičara (ili nečeg sličnog) ili odvjetnika (usput, ovo je jedna od rijetkih humanitarnih profesija iz koje možete prijeći u informacijsku sigurnost).

Etablirani stručnjak za informacijsku sigurnost može izrasti u stručnjaka za upravljanje rizikom (ovo su financije), ali u praksi je paranoičan, pokazuje gdje i što treba sigurnosno kopirati, plus kako se oporaviti u kojim situacijama. To se događa u velikim tvrtkama, au Rusiji tema oporavka od katastrofe tek počinje dobivati ​​popularnost. Moguć je i obrnuti proces, kada će prvo biti potrebno pokriti rizike tehničke infrastrukture, a tek onda taj proces prijeći u osiguranje sigurnosti u širem smislu.

Održavanje kondicije

Svaki dan trebate izdvojiti oko sat vremena za edukaciju: to je jedina prilika da ostanete općenito spremni na ono što se događa s tehnologijom. Morate stalno čitati pojedinosti o poznatim situacijama hakiranja, svladavati nove sustave - au isto vrijeme uvijek razmišljati kao napadač izvana. Ovo je upravo vrsta obuke za koju je kreiran simulator Cyber ​​​​Readiness Challenge: kreiran od strane Symantecovih visoko iskusnih stručnjaka za kibernetičku sigurnost, simulirana mreža korporacije sadrži tipične detalje za mnoge velike mreže.

Poteškoća je u tome što jednostavno ne možete biti spremni na sve. Ako je prije 15 godina stvarno bilo moguće znati sve značajke vašeg tehničkog okruženja bez iznimke, sada će hakeri napadačke skupine (na primjer, konkurenti ili, češće, prevaranti) prema zadanim postavkama biti spremniji u određenim tehnologijama. To znači da u svom osoblju morate imati virtuozne stručnjake uskih specijalizacija ili ih poznavati kako biste se u slučaju problema s njima mogli brzo konzultirati ili uključiti u rješavanje problema.

Naravno, morate održavati ne samo sebe, već i svoj odjel, kao i sve ljude u tvrtki u formi. Ovdje postoje dva jednostavna principa - revizije i alarmi za obuku.

Konačno

Naravno, gore navedeno opisuje određenu kolektivnu sliku, koja može biti radikalno drugačija od one u vašoj tvrtki. Svatko ima svoje potrebe i povijesna načela, pa pristup sigurnosti može biti vrlo različit.

Budući da postoji akutni nedostatak ljudi s iskustvom u tom području, redovito provodimo razne edukacije. Kao što sam već rekao, sljedeći veliki je CRC turnir (organizira Symantec i mi, CROC).

Unatoč velikoj popularnosti profesije, obilju informacijskih resursa i materijala u javnoj domeni, na tržištu se osjeća manjak kvalificiranog osoblja, posebice onih vezanih uz praktičnu informacijsku sigurnost.

Ovaj će članak pokriti temu potražnje za stručnjacima za informacijsku sigurnost, specifičnosti zahtjeva i vještina.

Statistika

Prema statistici jedne od HR agencija, krajem 2015. stručnjaci za informacijsku sigurnost nudili su se u prosjeku 21% više nego u siječnju 2015. To ukazuje da se iu krizi traže kvalificirani stručnjaci, štoviše, tržište osjeća njihov nedostatak.

Doista, tema informacijske sigurnosti postala je relevantnija nego ikad - to uključuje sve veći tempo (u smislu razine i učestalosti štete) napada u bankarskom sektoru (SWIFT, korespondentni računi), sve veći broj ciljanih napada (Advanced Persistent Prijetnja, APT), itd.

Čak i one tvrtke čije osoblje čine stručnjaci za informacijsku sigurnost trebaju kvalificiranu procjenu zrelosti zaštitnih sustava, sigurnosti perimetra, web aplikacija i drugih infrastrukturnih elemenata – indikativni su sve veći broj pokretača BugBounty programa, a iznosi uplata kreću se od 100 do 20.000 dolara po ranjivosti.

Slobodna radna mjesta

Na temelju podataka predstavljenih na stranicama za oglašavanje poslova, prosječna plaća stručnjaka za informacijsku sigurnost s 1-3 godine iskustva je na razini 40.000-70.000 rubalja. To se odnosi na stručnjake početne skupine (junior), s malim radnim iskustvom, to je jasno vidljivo u pogledu profesionalnih zahtjeva i odgovornosti (u daljnjem tekstu prikazani su “prosječni” pokazatelji):

Odgovornosti:

• Administracija vatrozida Cisco ASA i Kerio Connect;
• Administracija poslužitelja antivirusne zaštite, praćenje statusa klijenata, uklanjanje virusa, fino podešavanje zaštite;
• Traženje ranjivosti pomoću specijaliziranog softvera i njihovo uklanjanje;
• Praćenje izdavanja ažuriranja za OS, softver i mrežnu opremu;
• Periodična analiza trupaca.

Zahtjevi:

• 1 godina ili više iskustva u administraciji Windows OS-a;
• Osnovno poznavanje Linux OS-a od 1 godine, siguran rad na naredbenom retku;
• Osnovno znanje o umrežavanju. IP adresiranje, statičko usmjeravanje, ISO OSI, TCP modeli;
• Iskustvo u administraciji Active Directory: postavljanje grupnih pravila (GPO), upravljanje korisničkim pravima;
• Iskustvo u postavljanju protuprovalnih sustava temeljenih na Windowsima;
• Iskustvo u postavljanju antivirusnih sustava;
• Iskustvo u razvoju složenih konfiguracija IPTables vatrozida;
• Mogućnost konfiguracije Apache2, nginx, Auditd, MySQL, PostgreSQL, Rsyslog.

Kao što je vidljivo iz opisa, radi se više o sistemskom administratoru s naglaskom na informacijskoj sigurnosti nego o “čistom” stručnjaku za sigurnost. Teško je izdvojiti neke specifične vještine. Tko traži kandidate - tvrtke bilo koje vrste, teško je izdvojiti neko područje.

Stručnjaci s 3-6 godina iskustva već su klasificirani kao sredini. Potrebno je više vještina i iskustva, ali je razina plaće puno viša. Ovi stručnjaci u pravilu imaju dobro tehničko iskustvo (administracija sustava, traženje ranjivosti), te dobro poznaju aplikacije, tehnike i metodologiju. Ovi stručnjaci mogu se podijeliti u dva područja - napad i obrana. Generalisti na ovoj razini (pentester + specijalist za informacijsku sigurnost) praktički ne postoje u prirodi (ili je to već viša razina). Prosječna vilica - 70.000-100.000 rubalja.

Stručnjak za zaštitu informacija:

Odgovornosti:

• Konfiguriranje i upravljanje sigurnosnim podsustavima;
• Upravljanje sigurnosnim incidentima;
• Postavljanje i upravljanje sklopnom opremom;
• Pisanje skripti za optimizaciju upravljanja sigurnosnim sustavima;
• Upravljanje pristupnom infrastrukturom;
• Analiza log datoteka i dnevnika događaja;
• Sudjelovanje u podršci IT infrastrukture Korisnika: osiguranje informacijske sigurnosti i zaštite osobnih podataka;
• Praćenje i kontrola rada alata za informacijsku sigurnost;
• Operativna podrška, administracija i osiguranje nesmetanog rada posebnih alata za informacijsku sigurnost;
• Izmjena postavki alata za osiguranje sigurne međumrežne interakcije kada se otkriju znakovi napada na zrakoplov;
• Praćenje neuobičajene aktivnosti internih korisnika zrakoplova;
• Analiza incidenata informacijske sigurnosti i njihovo rješavanje;
• Provođenje revizija, izrada organizacijske i administrativne dokumentacije i izvješća o informacijskoj sigurnosti.

Zahtjevi:

• Visoko obrazovanje (IT, informacijska sigurnost);
• Poznavanje principa izgradnje i rada mreža i protokola TCP/IP steka;
• Poznavanje ISO/OSI modela;
• Razumijevanje principa računalne i mrežne sigurnosti, sigurnosti web aplikacija;
• Poznavanje principa rada sigurnosnih alata (korporacijski antivirusi, WAF-ovi, sustavi za detekciju upada itd.);
• Windows i Linux na administratorskoj razini;
• Iskustvo automatizacije (bash, perl, python);
• Iskustvo u provođenju sigurnosnih analiza;
• Stručno poznavanje specijaliziranog softvera koji se koristi u infrastrukturi poslodavca (od korporativnih antivirusa do DLP/IDS/IPS/SIEM itd.).

Pentester:

Odgovornosti:

• Izvođenje testiranja informacijskih okruženja i programskih proizvoda poduzeća;
• Testiranje informacijskih sustava na toleranciju na pogreške;
• Instrumentalna analiza informacijskih sustava;
• Identifikacija trenutnih prijetnji prema OWASP TOP 10 klasifikaciji, razvoj kompenzacijskih mjera;
• Ispitivanje prodora;
• Sigurnosna analiza izvornih kodova softverskih proizvoda.

Zahtjevi

• Iskustvo u prepoznavanju ranjivosti sustava;
• Iskustvo s Burp Suite, Hydra;
• Iskustvo sa SQLMap, OpenVAS, Metasploit Framework, Fortify, AppScan;
• Iskustvo s Acunetixom, w3af, X-Spider, Max-Patrol, Nmap;
• Poznavanje principa izgradnje i rada web aplikacija;
• Poznavanje tipičnih prijetnji i ranjivosti web aplikacija navedenih u OWASP Top 10;
• Vještine ručnog i automatiziranog testiranja sigurnosti web aplikacija;
• Iskustvo u penetracijskom testiranju;
• Iskustvo u reviziji informatičkih i informacijskih sigurnosnih sustava.

Zahtjevi za takve stručnjake su specifičniji, prilagođeni opsegu primjene u određenom području, uključujući metodologije i vrstu softvera koji se koristi. Predstavnici e-trgovine, financijskog sektora, integratori, velike/distribuirane maloprodajne tvrtke itd. traže takve stručnjake.

Specijalisti sa 5-6 godina iskustva - stariji. U pravilu je to rukovodeća pozicija – voditelj odjela sigurnosne analize; voditelj Odjela za upravljanje informacijskom sigurnošću; analitičar; veliki prodajni tim dobavljača informacijske sigurnosti; visoko specijalizirani pentester. Razina plaće od 120.000 do 200.000 rubalja.

Ima dosta ljudi u ovoj kategoriji, iu pravilu su dobro poznati u industriji. To su stručnjaci koji dobro poznaju predmetno područje i u pravilu imaju stručne kvalifikacije uže specijalizacije. Iskustvo govora na konferencijama ili drugim društvenim aktivnostima je dobrodošlo - to znači da kandidat prati trendove i dobiva pravovremenu ocjenu stručne javnosti.

Zahtjevi ovdje uključuju sljedeće:

• Visoka informacijska sigurnost/IT obrazovanje;
• Dostupnost certifikata;
• Dostupnost publikacija i članaka iz predmetnog područja;
• Iskustvo u javnom nastupu;
• Poznavanje osnovnih metoda, klasifikacija i međunarodnih praksi (OSSTMM, OWASP, WASC, NIST SP800-115, itd.);
• Vještine prepoznavanja prijetnji informacijskoj sigurnosti na temelju informacija o ranjivostima (klasifikacija prijetnji, generiranje preporuka za uklanjanje ranjivosti i minimiziranje poslovnih rizika);
• Poznavanje regulatornog okvira u pogledu zaštite informacija: zakoni i drugi regulatorni pravni akti Ruske Federacije koji uređuju odnose u vezi sa zaštitom ograničenih podataka (ne odnose se na državne tajne), upravljački dokumenti FSTEC-a, FSB-a, uključujući zaštitu bankovna tajna, automatizirani sustavi upravljanja procesima, poslovne tajne, poznavanje STO BR IBBS, PCI DSS, ISO 27xxx;
• Engleski jezik;
• Dostupnost liderskih kvaliteta, sposobnost postizanja ciljeva, inicijativa, aktivnost, vještine samoorganizacije, odgovornost;
• Sposobnost programiranja u jednom ili više skriptnih jezika;
• Stručno poznavanje specijaliziranog softvera (IBM Qradar, Splunk Enterprise, Imperva DAM, Maxpatrol, Symantec Critical System Protection, Tuffin, Gigamon Networks i Cisco ASA itd.);
• Stručno znanje u visoko specijaliziranim sustavima: (na primjer SCADA/ERP/SS7/Hardver);
• Iskustvo u razvoju vlastitih alata/uslužnih programa/metoda;
• Iskustvo u izradi tehničke i analitičke dokumentacije;
• Iskustvo u provođenju statističkih istraživanja;
• Iskustvo u istraživanju sigurnosnih incidenata, prikupljanju dokaza, forenzici;
• Iskustvo u sudjelovanju u velikim projektima sigurnosne analize ili revizije informacijske sigurnosti.

Zahtjevi su prikazani u prosječnoj verziji za gore navedene stručnjake. Stručne vještine kandidata u pravilu su poznate i takvi se ljudi "love" ne za određeni zadatak, već za cijelu fazu ili razinu života tvrtke. Ova vrsta stručnjaka je tražena u financijskom sektoru, IT integratorima, prodavačima informacijske sigurnosti i velikim IT tvrtkama.

Vrh piramide ( voditi) - stručnjaci s više od 10 godina iskustva. Ova kategorija uključuje CTO, CISO, arhitekta sustava, voditelja tima. Visina plaće od 200.000 kn. U pravilu se radi o poznatim osobama u industriji informacijske sigurnosti, s velikim iskustvom i vezama.

Zahtjevi/vještine: ovdje obično gledaju završene projekte, područje djelovanja. Za vještine mogu zatražiti potpuni popis s prethodnih pozicija (i obično je opširan do ove faze) ili će jednostavno biti naznačen traženi rezultat rada. Kod ovih pozicija više se ne gleda na znanje, već na postignuća.

Takve stručnjake traže veliki integratori, prodavači informacijske sigurnosti, najveće tehnološke tvrtke, financijski sektor i javni sektor.

Sumirati

Zaštita informacija za sudionike na tržištu postaje prioritet. Gotovo je nemoguće osigurati takvu zaštitu samo automatiziranim sredstvima. Potražnja za stručnjacima u području informacijske sigurnosti raste istom brzinom kao što se razvijaju i same informacijske tehnologije.

Problem školovanja i daljnjeg zapošljavanja leži u vječnom problemu “nema posla, jer nema iskustva, jer nema posla...” i ta fraza se može čitati u krugovima unedogled. Opće je prihvaćena činjenica da diploma sama po sebi ne daje prednost. Do trenutka objave, većina znanja se više ne citira.

Najbrži i najuspješniji izlaz iz situacije je samoobrazovanje.

Za upis se prihvaća Jedinstveni državni ispit iz matematike kao osnovnog predmeta, ruskog jezika i fizike ili informatike i ICT-a po izboru.

Prolazna ocjena, prema istraživanju koje su proveli Nacionalno istraživačko sveučilište Visoka ekonomska škola i analitički odjel RAEC-a, prosječna prolazna ocjena Jedinstvenog državnog ispita u regijama neznatno varira i značajno se razlikuje između različitih specijalnosti informacijske sigurnosti.

Maksimalni prolazni rezultat na sveučilištima varira od 45 do 86.

Možete odabrati određenu specijalnost, uzimajući u obzir nijanse i specifičnosti područja: specijalnost 10.03.01 “Informacijska sigurnost” - ovdje se pružaju osnovna znanja o instalaciji i radu komponenti sustava informacijske sigurnosti.

• Šifra specijalnosti - možete steći primijenjene vještine u zaštiti tehničke opreme.
• Specijalni kod pruža vještinu za prepoznavanje kanala curenja informacija i sprječavanje slučajeva.
• Kod specijalnosti je razvoj modela prijetnji za baze podataka i stvaranje programa za njihovu zaštitu.
• Šifra specijalnosti je programiranje i sigurnost operativnih, poreznih, financijskih, proračunskih sustava.

Možete studirati s punim radnim vremenom nakon što ste završili 4 godine obuke kako biste postali specijalist. U nekim specijalnostima informacijske sigurnosti postoje magistarski i poslijediplomski studiji. Izvanredni studij nije svugdje dostupan; njegovo trajanje varira od jednog sveučilišta do drugog. U srednjoškolskim obrazovnim ustanovama prolazna ocjena je znatno niža, ali je izbor specijalnosti uzak.

Specijalnost informacijska sigurnost - sveučilišta i visoke škole

Koja sveučilišta nude smjer informacijske sigurnosti?

Obuka stručnjaka u Rusiji provodi se u svim regijama zemlje. Njihova distribucija je, međutim, neravnomjerna.

Najveći broj IT specijalnosti je u USATU, ima ih 19. Slijedi MSTU. N.E. Bauman i SPbNIU ITMO. Općenito, steknite obrazovanje u području informacijske sigurnosti na 145 sveučilišta u Rusiji. Više od 30% njih nalazi se u Središnjem saveznom okrugu.

Specijalnost informacijske sigurnosti - moskovska sveučilišta:

1. Akademija FSB-a Rusije
2. MFJUA
3. Savezna državna proračunska obrazovna ustanova Moskovskog državnog lingvističkog sveučilišta
4. Financijsko sveučilište, Financijsko sveučilište
5. Federalna državna proračunska obrazovna ustanova visokog obrazovanja "Nacionalno istraživačko sveučilište "MPEI"
6. MIIGAiK
7. Savezna državna proračunska obrazovna ustanova visokog obrazovanja "Moskovsko državno inženjersko sveučilište (MAMI)", Sveučilište strojarstva (MAMI), Sveučilište strojarstva
8. Nacionalno istraživačko sveučilište "MIET"; Nacionalno istraživačko sveučilište MIET; MIET
9. JSC "ITMiVT"
10. NRNU MEPhI
11. Akademija državne vatrogasne službe Ministarstva za izvanredne situacije Rusije
12. MSTU GA
13. Savezna državna proračunska obrazovna ustanova visokog obrazovanja RGAU-MSHA nazvana po K.A. Timirjazeva
14. Savezna državna proračunska obrazovna ustanova visokog obrazovanja "Rusko državno geološko istraživačko sveučilište nazvano po Sergo Ordzhonikidze", MGRI - RGGRU
15. MTUSI
16. MSTU im. N.E. Bauman
17. Vojna akademija strateških raketnih snaga nazvana po Petru Velikom ili VA strateških raketnih snaga
18. Moskovsko sveučilište Ministarstva unutarnjih poslova Rusije nazvano po V.Ya. Kikotya, Moskovsko sveučilište Ministarstva unutarnjih poslova Rusije nazvano po V.Ya. Kikotja
19. MIREA, MGUPI

Studenti proučavaju višerazinske sigurnosne sustave Cisco i Oracle, stječu vještine rada sa specijaliziranom opremom koja blokira curenje informacija, vježbaju traženje skrivenih video kamera i radio oznaka, blokiranje odašiljača informacija pomoću različitih kompleksa „Sonata“, „Shtora“, „Barkhan“ .

Specijalnost informacijska sigurnost - za koga raditi

Gdje raditi kao glavni stručnjak za informacijsku sigurnost?

Rad u specijalnosti informacijske sigurnosti uz korištenje vlastitog znanja i ostvarivanje potencijala za studente i diplomante može se ponuditi u IT tvrtkama, državnim tijelima, operaterima telekomunikacijskih sustava, kao i sudjelovanjem na međunarodnim turnirima. Glavni igrači na IT tržištu šalju lovce na glave na takve događaje i potom daju ponude sudionicima.

Grigorij Bakunov, direktor distribucije tehnologije u Yandexu, i Dmitrij Voloshin, direktor odjela za istraživanje i obrazovanje u Mail.ru Group, slažu se da postoji problem nedostatka osoblja.

Cisco je u kolovozu 2016. pokrenuo program stipendiranja kibernetičke sigurnosti u koji je uložio 10 milijuna dolara. Namijenjen je povećanju broja stručnjaka s potrebnom obukom u ovom području. Program će se provoditi zajedno s ovlaštenim partnerima tvrtke za obuku, uključujući mnoga ruska sveučilišta.

Prema rezultatima istraživanja koje su proveli APKIT i VTsIOM, samo 13% diplomanata informatičkih sveučilišta potvrdilo je da se obrazovanje na fakultetu može primijeniti u stvarnim radnim uvjetima. No, kako je rekao Alexey Sokolov, zamjenik ministra komunikacija i masovnih medija, broj proračunskih mjesta povećao se za 70% tijekom 2 godine, a planirano je postići veće povećanje ciljnih brojki upisa.

Postoji nada da će se i kvaliteta obrazovanja u ovom području povećati, iako RAEC smatra da, unatoč sve aktivnijoj podršci informatičkog obrazovanja od strane vodstva zemlje, problemi nedovoljne kompetentnosti informatičara, inertnosti obrazovnih programa i nekompetentnost teoretskih nastavnika i dalje su relevantni.