Чем занимается информационная безопасность
Специалист по информационной безопасности. Что делает и сколько зарабатывает
Специалист по информационной безопасности — не самая простая, зато востребованная ИТ-профессия. Она пугает множеством терминов и своеобразных инструментов, хотя на деле доступна людям без технического бэкграунда. Изучив ИБ, вы будете работать с государственными корпорациями, банками, средним и крупным бизнесом, облачными сервисами и стартапами. Проще говоря, везде, где есть вероятность взлома.
В этой статье подробно рассказываем, кто такой специалист по информационной безопасности, чем он занимается, сколько зарабатывает и как им стать. Бонусом — подборка книг для знакомства с профессией.
Кто такой специалист по ИБ сейчас
Обычно под специалистом по информационной безопасности подразумевают человека, который может внедрить и поддерживать защиту от несанкционированного доступа. Настроить сеть, предусмотреть ошибки и потенциальные баги, развернуть и запустить технологии мониторинга подключений.
Но есть и более узкие специальности уже внутри сферы:
Специалист по информационной безопасности сейчас — этот тот, кто внедряет систему защиты в компанию и поддерживает её от попыток проникнуть извне.
Из-за неустоявшихся терминов есть небольшая путаница и в названиях вакансий — компании ищут специалистов по информационной безопасности, администраторов защиты, инженеров безопасности компьютерных сетей и другие названия, подразумевая одного и того же специалиста.
Чем занимаются специалисты по информационной безопасности
Главные задачи специалиста по ИБ — настраивать инструменты для защиты и мониторинга, писать скрипты для автоматизации процессов, время от времени проводить пентесты, чувствуя себя хакером. Следить за общими показателями системы и администрировать средства защиты информации.
Вот типичные задачи специалиста по ИБ:
Условно, порядка 80–90% времени работы занимает защита от уже известных способов взлома. Еще 10% — это что-то новое, что ещё не прописали в методичках и документации.
Специалист по ИБ — это не всегда творческая профессия. Обычно наоборот, не нужно ничего выдумывать и изобретать велосипед. Специалист берёт готовый чеклист или инструкцию, а затем внедряет систему защиты. Тестирует её, находит баги, исправляет их. И затем новая итерация.
Как стать специалистом по ИБ
Путь в профессию специалиста по информационной безопасности похож на стандартный для ИТ — сначала курсы или самообучение, затем стажировка и перевод на полноценную работу.
Судя по отзывам инженеров на профессиональных площадках, для старта в профессии достаточно 9–12 месяцев, из которых полгода занимает обучение на курсах.
Нужен ли технический бэкграунд
Опыт работы в ИТ и программировании не нужен — это особая профессия на стыке системного администрирования, разработки и консалтинга. Конечно, если вы начинающий разработчик или инженер, будет проще — разбираться в общих принципах процессов в ИТ не придётся. Но ненамного, потому что в любом случае в ИБ есть масса своих тонкостей и технологий.
Идеальный план обучения в сфере ИБ — минимум теории и максимум практики. Просто изучить список популярных уязвимостей бесполезно, нужно попробовать внедрить защиту от них в рабочий продукт и столкнуться с ограничениями системы.
Нужен ли английский язык
На старте хорошее знание языка необязательно — достаточно понимать необходимый минимум, чтобы не потеряться в интерфейсе программы и читать документацию с Google-переводчиком.
Но затем в языке стоит потренироваться. Качественная литература, журналы, блоги и форумы по информационной безопасности в основном зарубежные, хорошие переводы на русский появляются не сразу. Чтобы быть постоянно «в теме», придется обращаться к первоисточникам.
Выбирая курсы обучения по ИБ, обратите внимание, включены ли в них занятия по техническому английскому языку. На таких занятиях вы не будете тратить время на отработку посторонних тем вроде отпуска, кулинарии или чего-то ещё, не имеющего отношения к ИТ. Вместо этого познакомитесь со специальной лексикой, которую используют в тестировании, разработке и чтении документации.
Что нужно знать для старта работы
Проблема многих курсов, которые готовят специалистов по информационной безопасности — акцент на одном из направлений сферы:
То есть и законам, и настройкам сети, и хакингу, и защите от взломов.
Стек навыков
Вот примерный список того, что нужно знать и уметь для старта:
Стек инструментов
Вот что нужно попробовать ещё до устройства на работу стажёром:
Для старта в карьере не обязательно знать все технологии на уровне профессионала. Достаточно иметь общее представление о системе, не теряться в настройках и документации. Если условно — нужно знать, «как» сделать, а не «что» сделать.
Сколько зарабатывают такие специалисты и насколько они востребованы
Средний заработок у специалистов по защите данных по данным «Хабр Карьеры» — порядка 125 тысяч рублей. Но это общая сумма для всех уровней и компаний. Есть те, кто начинает с 50 тысяч рублей, а есть и вакансии руководителей с доходов в 300–400 тысяч.
Рост в зарплате
Вот типичная картина на сайтах с вакансиями:
Востребованность
Спрос на специалистов по информационной безопасности высокий — только на HeadHunter обычно ищут по 800–900 таких людей. Если добавить другие названия профессии, например, администраторов защиты или компьютерных «безопасников», то получается порядка 2 000 вакансий.
В основном предложения от 150 тысяч в Москве или Санкт-Петербурге. В регионах специалист с опытом в 1–2 года может рассчитывать на 50–120 тысяч.
Работать удалённо предлагают только высококлассным специалистам — например, встречаются такие вакансии с доходов по 250–350 тысяч рублей. В основном же инженер защиты работает в офисе.
Пример удалённой высокооплачиваемой вакансии
Что почитать по теме
Вот подборка литературы, которая поможет лучше разобраться со сферой информационной безопасности. Но читать её стоит параллельно с курсами — только на теории дойти до уровня стажёра не получится.
Где учиться на специалиста по ИБ
Получить структурированные знания можно на курсе «Специалист по информационной безопасности» в Нетологии.
Специалист по информационной безопасности. Что делает и сколько зарабатывает
Специалист по информационной безопасности — не самая простая, зато востребованная ИТ-профессия. Она пугает множеством терминов и своеобразных инструментов, хотя на деле доступна людям без технического бэкграунда. Изучив ИБ, вы будете работать с государственными корпорациями, банками, средним и крупным бизнесом, облачными сервисами и стартапами. Проще говоря, везде, где есть вероятность взлома.
В этой статье подробно рассказываем, кто такой специалист по информационной безопасности, чем он занимается, сколько зарабатывает и как им стать. Бонусом — подборка книг для знакомства с профессией.
Разобрался, чем занимается специалист по ИБ, что должен знать и где может работать
Кто такой специалист по ИБ сейчас
Обычно под специалистом по информационной безопасности подразумевают человека, который может внедрить и поддерживать защиту от несанкционированного доступа. Настроить сеть, предусмотреть ошибки и потенциальные баги, развернуть и запустить технологии мониторинга подключений.
Но есть и более узкие специальности уже внутри сферы:
Есть ещё один вариант деления специалистов:
Такое деление — условное. Например, в небольшом бизнесе по разработке мобильных приложений специалист по ИБ будет заниматься всем циклом, начиная от разработки и заканчивая внедрением. А в крупной облачной корпорации вы можете работать только с Kubernetes, не трогая больше ничего.
Важно. Специалист по информационной безопасности сейчас — это тот, кто внедряет систему защиты в компанию и поддерживает её от попыток проникнуть извне.
Из-за неустоявшихся терминов есть небольшая путаница и в названиях вакансий — компании ищут специалистов по информационной безопасности, администраторов защиты, инженеров безопасности компьютерных сетей и другие названия, подразумевая одного и того же специалиста.
Чем занимаются специалисты по информационной безопасности
Главные задачи специалиста по ИБ — настраивать инструменты для защиты и мониторинга, писать скрипты для автоматизации процессов, время от времени проводить пентесты, чувствуя себя хакером. Следить за общими показателями системы и администрировать средства защиты информации.
Вот типичные задачи специалиста по ИБ:
Плюс сферы ИБ — вы можете проработать несколько лет, но так и не столкнуться с чем-то неизвестным и непонятным. Конечно, точной статистики нет, но обычно все уязвимости и способы взлома известны.
Условно, порядка 80–90% времени работы занимает защита от уже известных способов взлома. Ещё 10% — это что-то новое, что ещё не прописали в методичках и документации.
Специалист по ИБ — это не всегда творческая профессия. Обычно наоборот, не нужно ничего выдумывать и изобретать велосипед. Специалист берет готовый чеклист или инструкцию, а затем внедряет систему защиты. Тестирует её, находит баги, исправляет их. И затем новая итерация.
Как стать специалистом по ИБ
Путь в профессию специалиста по информационной безопасности похож на стандартный для ИТ — сначала курсы или самообучение, затем стажировка и перевод на полноценную работу.
Судя по отзывам инженеров на профессиональных площадках, для старта в профессии достаточно 9–12 месяцев, из которых полгода занимает обучение на курсах.
Нужен ли технический бэкграунд
Опыт работы в ИТ и программировании не нужен — это особая профессия на стыке системного администрирования, разработки и консалтинга. Конечно, если вы начинающий разработчик или инженер, будет проще — разбираться в общих принципах процессов в ИТ не придётся. Но ненамного, потому что в любом случае в ИБ есть масса своих тонкостей и технологий.
Идеальный план обучения в сфере ИБ — минимум теории и максимум практики. Просто изучить список популярных уязвимостей бесполезно, нужно попробовать внедрить защиту от них в рабочий продукт и столкнуться с ограничениями системы.
Нужен ли английский язык
На старте хорошее знание языка необязательно — достаточно понимать необходимый минимум, чтобы не потеряться в интерфейсе программы и читать документацию с Google-переводчиком.
Но затем в языке стоит потренироваться. Качественная литература, журналы, блоги и форумы по информационной безопасности в основном зарубежные, хорошие переводы на русский появляются не сразу. Чтобы быть постоянно «в теме», придется обращаться к первоисточникам.
Выбирая курсы обучения по ИБ, обратите внимание, включены ли в них занятия по техническому английскому языку. На таких занятиях вы не будете тратить время на отработку посторонних тем вроде отпуска, кулинарии или чего-то ещё, не имеющего отношения к ИТ. Вместо этого познакомитесь со специальной лексикой, которую используют в тестировании, разработке и чтении документации.
Что нужно знать для старта работы
Проблема многих курсов, которые готовят специалистов по информационной безопасности — акцент на одном из направлений сферы:
Если вы планируете строить карьеру в сфере информационной безопасности, стоит поискать курсы, на которых учат полноценному внедрению системы защиты. Плюс учат использовать уязвимости для пентестов. И обязательно рассказывают о том, как всё это делать законно — нужно разобраться в нормативной базе и особенностях законодательства.
То есть и законам, и настройкам сети, и хакингу, и защите от взломов.
Стек навыков
Вот примерный список того, что нужно знать и уметь для старта:
Что такое информационная безопасность и какие данные она охраняет
Если компания хранит бухгалтерскую информацию, клиентскую базу, анкеты сотрудников или корпоративные тайны, то важно, чтобы эти данные не попали не в те руки, то есть были защищены. Защитой данных занимается информационная безопасность. Разобрались, что это и какие именно данные она защищает.
Что такое информационная безопасность
Информационная безопасность — это различные меры по защите информации от посторонних лиц. В доцифровую эпоху для защиты информации люди запирали важные документы в сейфы, нанимали охранников и шифровали свои сообщения на бумаге.
Сейчас чаще защищают не бумажную, а цифровую информацию, но меры, по сути, остались теми же: специалисты по информационной безопасности создают защищенные пространства (виртуальные «сейфы»), устанавливают защитное ПО вроде антивирусов («нанимают охранников») и используют криптографические методы для шифрования цифровой информации.
За что отвечает информационная безопасность
Она отвечает за три вещи: конфиденциальность, целостность и доступность информации. В концепции информационной безопасности их называют принципами информационной безопасности.
Конфиденциальность означает, что доступ к информации есть только у того, кто имеет на это право. Например, ваш пароль от электронной почты знаете только вы, и только вы можете читать свои письма. Если кто-то узнает пароль или другим способом получит доступ в почтовый ящик, конфиденциальность будет нарушена.
Целостность означает, что информация сохраняется в полном объеме и не изменяется без ведома владельца. Например, на вашей электронной почте хранятся письма. Если злоумышленник удалит некоторые или изменит текст отдельных писем, то это нарушит целостность.
Доступность означает, что тот, кто имеет право на доступ к информации, может ее получить. Например, вы в любой момент можете войти в свою электронную почту. Если хакеры атакуют серверы, почта будет недоступна, это нарушит доступность.
Какая бывает информация и как ее защищают
Информация бывает общедоступная и конфиденциальная. К общедоступной имеет доступ любой человек, к конфиденциальной — только отдельные лица.
Может показаться, что защищать общедоступную информацию не надо. Но на общедоступную информацию не распространяется только принцип конфиденциальности — она должна оставаться целостностной и доступной. Поэтому информационная безопасность занимается и общедоступной информацией.
Главная задача информационной безопасности в IT и не только — защита конфиденциальной информации. Если доступ к ней получит посторонний, это приведет к неприятным последствиям: краже денег, потере прибыли компании, нарушению конституционных прав человека и другим неприятностям.
Защита конфиденциальных данных — главная задача специалистов по информационной безопасности. Сама конфиденциальная информация бывает разной. Например, у оборонной компании это стратегическое расположение средств ПВО. А у ресторана — рецепт секретного соуса.
Баранников Андрей, руководитель отдела ИБ ИТ-компании «Рексофт»
Если с общедоступной информацией все понятно, то о конфиденциальной информации стоит поговорить отдельно, так как у нее есть несколько разновидностей.
Основные виды конфиденциальной информации
Персональные данные. Информация о конкретном человеке: ФИО, паспортные данные, номер телефона, физиологические особенности, семейное положение и другие данные. В России действует 152-ФЗ — закон, который обязывает охранять эту информацию. Мы подробно рассказывали об этом в статье «Как выполнить 152-ФЗ о защите персональных данных и что с вами будет, если его не соблюдать».
Тот, кто работает с персональными данными, обязан защищать их и не передавать третьим лицам. Информация о клиентах и сотрудниках относится как раз к персональным данным.
Коммерческая тайна. Внутренняя информация о работе компании: технологиях, методах управления, клиентской базе. Если эти данные станут известны посторонним, компания может потерять прибыль.
Компания сама решает, что считать коммерческой тайной, а что выставлять на всеобщее обозрение. При этом не вся информация может быть коммерческой тайной — например, нельзя скрывать имена учредителей юрлица, условия труда или факты нарушения законов. Подробнее о коммерческой тайне рассказывает закон 98-ФЗ.
Профессиональная тайна. Сюда относятся врачебная, нотариальная, адвокатская и другие виды тайны, относящиеся к профессиональной деятельности. С ней связано сразу несколько законов.
Служебная тайна. Информация, которая известна отдельным службам, например, налоговой или ЗАГСу. Эти данные обычно хранят государственные органы, они отвечают за их защиту и предоставляют только по запросу.
Государственная тайна. Сюда относят военные сведения, данные разведки, информацию о состоянии экономики, науки и техники государства, его внешней политики. Эти данные самые конфиденциальные — к безопасности информационных систем, в которых хранится такая информация, предъявляют самые строгие требования.
Простыми словами о кибербезопасности – закулисье самой безопасной службы
30 ноября отмечается Международный день защиты информации. Наверное, это хороший повод рассказать об одной из самых закрытых служб любой финансовой структуры. Сразу предупредим: вряд ли откроем Америку тем, кто уже работает в этой сфере. А вот тем, кто с ней ещё незнаком, вполне может быть интересно.
Для начала – чуть-чуть цифр
90% всех мошеннических действий сейчас совершается в киберпространстве.
3 млн незакрытых вакансий в сфере кибербезопасности – столько мы насчитали во всём мире в прошлом ноябре. В этом году не сводили статистику, но что-то подсказывает, что ситуация скорее усугубилась, чем наладилась.
Странное несоответствие, казалось бы? Мошенники уходят в онлайн, а безопасники как будто бы не торопятся туда, где любая компания ждёт их с распростёртыми объятиями.
По опыту можем сказать так: этот разрыв и правда есть. Потребность рынка в специалистах по кибербезопасности существенно выше, чем число людей, которые могут её закрыть. Собственно, поэтому сейчас кибербезопасность – одна из самых перспективных IT-специализаций.
Кто такой специалист по кибербезопасности и что он должен знать?
Сложности начинаются уже здесь. Если говорить коротко, специалист по безопасности – это тот, кто очень хорошо разбирается в технологиях и людях. Стеки технологий здесь не будем указывать, они сильно разнятся от направления к направлению. В целом специалисту по безопасности нужны базовые знания и навыки в следующих сферах:
разработка и тестирование. Безопаснику, который работает в команде разработки, предстоит находить ошибки и исправлять их. Не все ошибки, разумеется, а того характера, которые влияют на устойчивость системы;
построение архитектуры. Специалист по кибербезопасности – один из тех, кто выдвигает требования к архитектуре будущего продукта и следит за их выполнением;
управление рисками. Мало просто знать IT, нужно понимать, какие риски будут возникать при использовании конкретной технологии конечным потребителем;
психология. Далеко не всегда люди обращаются с данными так, как хотелось бы безопаснику. Более того – люди разные. По культуре, образованию, да банально – по возрасту. Нужно не только знать типичное поведение разных групп клиентов, но и суметь предугадать их поведение в определённой ситуации. Речь идёт как о внешних клиентах, так и о внутренних, то есть о сотрудниках. А ещё этих людей нужно убедить обращаться со своими данным в соответствии с требуемым уровнем безопасности;
правовая база. О какой именно базе идёт речь – зависит от специализации. Например, тем, кто борется с интернет-фишингом, нужно знать, в каком случае и как можно принудительно закрыть мошеннический сайт.
Кибербезопасник – это и айтишник, и разработчик, и тестировщик, и риск-менеджер, и психолог, и юрист, и человек, который может рассказать понятным языком о каждой из этих областей знания. Это определение содержит значительную часть ответа на вопрос «Почему таких специалистов остро не хватает?» Потому что найти человека, который разбирается во всём этом, очень сложно.
Чем занимается специалист по кибербезопасности?
Исходя из предыдущего раздела – чем только не занимается. Однако попробуем структурировать его работу, используя примеры наших специалистов. Понятно, что всё перечисленное ниже – не про сотрудника на одной позиции. Специфика работы в кибербезопасности зависит от структуры. Где-то будет больше работы с кодом и архитектурой, где-то с тестированием, где-то вообще с документацией.
Участвует в разработке продуктов
Эксперт по кибербезопасности входит в каждую продуктовую команду. Понятно, что продукты делают люди, а людям свойственно совершать ошибки. Задача эксперта эти ошибки находить и учить людей, чтобы они как минимум не повторялись. Безопасник практически живёт в команде разработки, без его участия не происходит ни один этап – от планирования архитектуры до релиза.
Специалист формулирует требования, контролирует их исполнение, анализирует риски, проходит приёмо-сдаточные испытания, анализирует код и помогает исправить баги. Так каждый наш продукт становится безопасным. Не на 100% (таких не бывает), но на максимально близкое к этому значение.
Участвует в тестировании
Есть внешние и внутренние тестирования.
Внутренние – своего рода «казаки-разбойники» для команды. Есть «злоумышленники», которые, зная внутренности системы, пытаются её взломать, и есть «безопасники», которым нужно сохранить систему в целости и вычислить хакера. И это не только про поиск слабых мест, но ещё и про тренировку команды.
Есть также практика, когда не сама команда разработки делится на «красных» и «синих», а приглашается сторонняя организация. Её специалисты пытаются проникнуть внутрь системы. У нас такой организацией является BI.ZONE – дочерняя компания Сбера. С её помощью легко понять, насколько защищён внешний периметр любого сервиса и отдельной структуры бизнеса.
В большинстве случаев о таких тестированиях заранее известно. И тестировщики, что логично, никогда не доходят до конца. Они находят уязвимость и показывают её – на этом тестирование заканчивается.
Борется с фишингом
В период пандемии Россия вышла на первое место в мире по размещению фишинговых ресурсов и вредоносным рассылкам. За первые шесть месяцев 2021 года предотвращено более 36 млн попыток перехода российских пользователей на различные фишинговые сайты, из них более 300 тысяч попыток перехода пользователей на страницы, мимикрирующие под наиболее крупные финансовые организации.
С этими сайтами идёт работа, в том числе по разделегированию доменных имён. Кстати, фишинговыми ресурсами в том числе занимается BI.ZONE. Однако сколько бы мы ни старались, работа не прекращается: мы закрываем сайты, мошенники создают новые.
Отдельная история – мошенничество по телефону. За первое полугодие 2021-го 57% россиян получали звонки от телефонных мошенников. Каждый десятый россиянин понёс финансовый ущерб. Бороться с телефонным мошенничеством крайне сложно, и ключевая часть работы – обучение клиентов.
Учит сотрудников и клиентов
Часть нашей работы – постоянная тренировка всех сотрудников, чтобы они умели соблюдать кибергигиену. Например, распознавать фишинговые письма. Мы моделируем действия мошенников, например отправляем рассылку с «подпиской» на онлайн-кинотеатр или «промоакцией» от «СберБанк Авиа». Сотрудники банка получают это письмо, а мы наблюдаем за их реакцией.
И понятно, что перед тестированием нужно научить – проверяется не просто общая адекватность, а ещё и применение конкретных правил. Чтобы они проще укладывались в головах, мы придумали специальную программу – «Агент кибербезопасности». По сути, это игра, которая создана на базе правил кибербезопасности. Показательно, что до её внедрения 80% сотрудников открывали фишинговое письмо. Сейчас же таких всего несколько процентов, в основном это новички.
Учить также нужно и внешних клиентов. Есть блок «Безопасность» на нашем сайте, обучающий раздел и канал в мобильном приложении СберБанк Онлайн, посты и активности в соцсетях, публикации в СМИ и многое другое. Во всём этом также участвуют специалисты по кибербезопасности – они готовят контент, проверяют его, а иногда и напрямую общаются с клиентами.
Защищает от внутренних угроз
Бывает и так, что мошенником действительно является сотрудник банка. Никто не застрахован от внутреннего нарушителя.
Поэтому отдельный набор технологий направлен на то, чтобы предотвращать действия таких людей, выявлять их и снижать потенциальный ущерб от их действий. Здесь есть контроль за обращением с данными, контроль сотрудников с привилегированным доступом к информационным системам и ещё ряд мер.
Как понять, что специалист может рассчитывать на трудоустройство в кибербезопасности?
По опыту найма можем сказать, что ценность специалиста по кибербезопасности определяется четырьмя факторами. В порядке убывания важности это:
Большинству кандидатов не хватает как раз экспертизы и опыта. В основном по этой причине от собеседования до приёма на работу доходит только 5% кандидатов. Можем дать несколько рекомендаций тем, кто захочет попробовать себя в этой сфере.
В первую очередь ответьте для себя на вопрос «В чём я эксперт?» При этом помните, о чём мы писали в первом разделе насчёт того, кто такой специалист по кибербезопасности. Может быть, у вас нет серьёзного опыта в разработке и тестировании, но есть опыт в управлении рисками? Это тоже вариант, не стесняйтесь о нём рассказывать.
Второй важный момент: как уже говорилось выше, позиции в кибербезопасности – разные по функционалу. Мы ожидаем, что кандидаты сами скажут, что именно им было бы интересно, и при этом смогут показать и описать то, что сделано их головой и руками. Может быть, в итоге вы окажетесь неподходящим кандидатом на текущую позицию, зато через неделю откроется другая, как раз оптимальная.
Третий момент – это знание технологий, в особенности тех, что доступны клиентам Сбера хотя бы на уровне пользователя. Согласитесь, странно идти развивать безопасность продуктов, о которых нет даже базового представления.
И четвёртое: мы пристально смотрим на умение думать и говорить. Это, кстати, становится характерным требованием для подавляющего большинства позиций в кибербезопасности. По крайней мере для тех, кто хочет вырасти старше джуниора.
Как стать таким специалистом?
Можно поступить в вуз, можно научиться самому – у нас есть разные примеры специалистов. Если смотрите в этом направлении, то ваши ориентиры: профессиональная сертификация и много самообучения.
Кстати, в мире есть понимание, что русская школа программирования и разработки специальных технических средств защиты информации достаточно сильная. И за нашими экспертами в этой сфере идёт определённая охота.
В завершение
Если вы смотрите в сторону кибербезопасности как сферы своей деятельности – учитесь и отсыпайтесь. Учиться вам предстоит всю жизнь и после того, как вы войдёте в эту сферу. А вот отсыпаться будет уже некогда. Враг не дремлет 🙂
Кстати, у нас открыты вакансии в команду Сбера по кибербезопасности – выбирайте подходящее направление и присоединяйтесь к нам!