Мы сейчас готовимся ко второй части хакерского турнира. Предвидя возможные вопросы от журналистов и людей, далёких от ИБ, хочу заранее рассказать, почему на выходе получатся далеко не хакеры, и как вообще выглядит карьера специалиста по безопасности.

Безопасник сегодня, грубо говоря, может и перекладывать бумажки, и ходить по периметру с радиоборудованием, и составлять планы Disaster Recovery, и непосредственно заниматься исправлением дыр в софте . Специализаций очень много. Все зависит от конкретной организации: ее размера, типов защищаемой информации, используемых технологий и так далее. Понятно, что интереснее всего работа там, где необходима реальная безопасность, а не фиктивная (бумажная), есть высокий уровень автоматизации.

Давайте посмотрим, откуда берутся и как получаются такие специалисты.

Образование

Разумеется, для того чтобы стать специалистом по информационной безопасности, нужно иметь техническое образование. Лучше всего - специальность, в которой есть слова «автоматизация», «безопасность», «программирование» или «математика». Несколько лет назад очень ценились выпускники исключительно таких ВУЗов как МИФИ, МВТУ, МГУ и МФТИ. За последние годы к ним добавилось достаточно много региональных университетов с примерно аналогичными программами обучения.

Очень важен английский язык, в особенности - технический. Чем раньше вы его начали учить - тем лучше. Если вы закончили ВУЗ, но ещё не говорите по-английски бегло, стоит записаться на хорошие курсы.

Ещё в образовании для разных специализаций важно «качать» криптографию (очень хороший базовый курс есть на Курсере) и математику в целом, разбираться в используемом в компании железе (чаще всего речь о телефонии, камерах и так далее), очень хорошо понимать архитектуру сети в теории и знать особенности всего железа на практике, иметь опыт системного администрирования как MS, так и *nix, плюс хотя бы какой-нибудь серверный опыт с HP и IBM. Всё это познаётся на курсах, семинарах для студентов от крупных компаний, они чаще всего бесплатные, например, КРОК регулярно проводит обучение для студентов по разным направлениям, информация доступна . Ряд вещей, вроде умения работать с паяльником - это чисто домашняя практика. Кстати, сам паяльник вам не понадобится, но вот понимание железа на низком уровне - очень даже.

Ещё одна важная часть работы безопасника - это некоторая социальность. Дело в том, что меры безопасности практически всегда так или иначе замедляют работу процессов компании, и людям приходится объяснять, почему это необходимо. Отстаивать каждое решение, проводить тренинги, доказывать свою правоту руководству и так далее. Ещё один аспект - это уже упомянутая работа с социальной инженерией , которая просто обязательно требует хотя бы базовых знаний психологии.

Первая работа

На выходе из ВУЗа будущий герой безопасности либо никому не нужен (в целом), либо воспринимается как отличный стажер для крупного бизнеса. Причина в том, что всё в работе зависит от конкретного окружения и конкретных угроз. То есть обучиться можно только на практике именно в той компании, где предполагается рост.

Отсюда три вывода:

• Хорошо рассчитывать на многолетнюю карьеру в одном месте.
• Чем раньше вы начнёте знакомиться с будущей компанией - тем лучше. Оптимально - проходить практику прямо в ней.
• Важно в целом развивать личные качества вроде системного мышления и ответственности - они пригодятся в любых условиях.

Очень важен наставник-ментор - скорее всего, старший специалист или руководитель, который будет вводить в курс всего, рассказывать про практические особенности и объяснять, какие грабли были раньше. Без него вы обречены на повторное хождение по ним же.

Дальше в целом есть два частых варианта: первый - вы медленно растёте в одной компании. Второй - набиваете кучу шишек на первом месте работы, и уже будучи побитым, но опытным, циничным и настороженным, начинаете работать на больший оклад в другом месте.

Образ жизни и перспективы

Достаточно частый вопрос от студентов - «кого качать: сисадмина или безопасника»? У опытных людей это сопоставление вызывает улыбку: это как сравнивать тёплое с мягким. На первых порах заработки примерно одинаковые. У безопасника больше шансов на успешную руководящую карьеру, но и больше ответственности: ранняя седина, сердечно-сосудистые заболевания и другие следствия постоянного стресса - это профессиональные риски. Сисадмин, конечно, тоже волнуется, но в случае его провала дело ограничивается головомойкой и восстановлением из бекапа.

«Прокачанный» безопасник получает больше, поскольку, опять же, ближе к принятию решений (и рискам) компании. В крупном бизнесе правила в этой сфере простые - чем больше на тебе рисков, тем больше доход.

Работа специалиста по ИБ часто накладывает отпечаток на образ жизни. Во-первых, профессию не принято афишировать. Несколько ваших знакомых веб-дизайнеров, сисадминов, менеджеров по продажам или-что-там-ещё могут оказаться куда выше в иерархии компании - и на самом деле работать в безопасности. Собственно, я знаю нескольких человек на Хабре, у которых в профиле написана совсем другая должность, нежели в реальности.

Во-вторых, иногда встречаются ограничения по поездкам. В детали здесь вдаваться не буду, но если коротко - в расчёте на карьеру в ряде государственных компаниях английский лучше учить дома, а не регулярно выезжать на практику в другие страны. Поскольку опыт в профильных государственных структурах и службах ценится высоко, лучше об этом думать заранее.

Как правило, на ключевых позициях в службах ИБ в корпоративной среде (в компаниях с многолетней историей) доминируют люди в погонах или с аналогичным прошлым. Это свой мир, свои ценности, критерии счастья и правды.

Пограничные специальности

При развитии бизнеса (в молодых структурах) очень часто безопасник вырастает или из системного администратора, или из кого-то из разработки, например, проект-менеджера. Просто в какой-то момент становится понятно, что нужен человек, который возьмёт на себя ряд обязанностей - и у кого-то получается легче и проще. Куда реже безопасник получается из финансового аналитика (или чего-то подобного) или юриста (кстати, это одна из немногих гуманитарных профессий, из которой можно перейти в ИБ).

Из оформившегося специалиста по ИБ может вырасти специалист по управлению рисками (это уже финансы), на практике - параноик, показывающий, где и что нужно резервировать, плюс как восстанавливаться в каких ситуациях. Это случается в крупном бизнесе, и в России сейчас тематика Disaster Recovery только начинает приобретать популярность. Возможен и обратный процесс, когда сначала потребуется закрыть риски технической инфраструктуры, а уже потом этот процесс перейдёт в обеспечение безопасности в более широком плане.

Поддержание в форме

Каждый день нужно выделять около часа на образование: это единственный шанс оставаться в целом подготовленным к тому, что происходит с технологиями. Нужно постоянно читать конкретику по известным ситуациям взломов, осваивать новые системы - и при этом всё время думать как злоумышленник снаружи. Именно для такого обучения и создавался симулятор Cyber Readiness Challenge: созданная специалистами Symantec по ИБ с большим опытом, моделируемая сеть корпорации содержит характерные детали для многих крупных сетей.

Сложность в том, что быть готовым ко всему просто нельзя. Если лет 15 назад действительно можно было знать все без исключения особенности своей технической среды, то сейчас хакеры атакующей группы (например, конкурентов или, что куда чаще - мошенников) будут по умолчанию более подготовленными в конкретных технологиях. Это значит, что вам либо нужно иметь в своём штате специалистов-виртуозов с узкими специализациями, либо знать таковых, чтобы в случае проблем иметь возможность быстро с ними посоветоваться или привлечь для решения проблемы.

Разумеется, в форме нужно поддерживать не только себя, но и свой отдел, а также вообще всех людей в компании. Здесь два простых принципа - аудиты-проверки и учебные тревоги.

Напоследок

Разумеется, выше описан некий собирательный образ, который может радикально отличаться от того, что есть в вашей компании. У каждого свои потребности и свои исторически сложившиеся принципы, поэтому подход к безопасности может быть очень разным.

Поскольку в сфере ощущается острый дефицит людей с опытом, мы регулярно проводим разные обучающие мероприятия. Как я уже говорила, ближайшее крупное - это турнир CRC (организаторы - Symantec и мы, КРОК). Приходите участвовать , если хотите максимально применить свои знания.

Этот турнир поможет не только дать знания участникам, но и получит традиционную огласку в СМИ (вот отчёты с прошлых, например). Ожидаем эффекта, который будет ощутимо полезен для сферы.

Исследовательский центр портала сайт в ноябре 2008 года изучил предложения работодателей и ожидания претендентов на позицию «Специалист по информационной безопасности» в 9 городах России.

Современные компании все чаще сталкиваются с необходимостью обеспечить конфиденциальность данных, предотвратить утечку или несанкционированный доступ к информации. Задача обеспечить комплексную защиту информации ложится на плечи специалиста по информационной безопасности, который должен провести аудит существующей системы безопасности, проанализировать информационные риски и в соответствии с этим разработать и внедрить мероприятия по обеспечению информационной безопасности компании, в частности, выбрать, установить и настроить технические средства защиты информации. Процесс защиты информации сопровождается активным составлением нормативно-технической документации. В обязанности специалиста по информационной безопасности также входит постоянный мониторинг системы информационной безопасности и поддержка технических средств ее защиты. Кроме того сотруднику, ответственному за безопасность информации, приходится обучать других сотрудников соблюдению основ информационной безопасности. Конечно, список требований достаточно серьёзен, однако очевидны и преимущества такой сложной профессии – высокая востребованность таких специалистов: в Москве, например, на одну по информационной безопасности приходится только 2 резюме, в Санкт-Петербурге – 4; в остальных городах наблюдается баланс спроса и предложения.

Среднерыночная заработная плата специалистов по информационной безопасности в Москве составляет 55 000 руб. в месяц, в Санкт-Петербурге – 43 000 руб., в Екатеринбурге – 33 000 руб., в Нижнем Новгороде - 28 000 руб., в Новосибирске – 30 000 руб., в Омске 24 000 руб., в Ростове-на-Дону, Самаре и Уфе – 26 000 руб.

Для того чтобы стать специалистом по информационной безопасности, нужно хорошо представлять себе техническую сторону защиты информации. Для карьерного старта в этой области нужно неполное высшее или высшее техническое образование, знание английского языка на уровне чтения технической литературы, понимание основ информационной безопасности. Часто обязанности предотвращения несанкционированного доступа к информации и разработкой технических мер защиты выполняют системные администраторы и инженеры. Поэтому начинать карьеру специалиста по информационной безопасности лучше всего, попрактиковавшись на этом поприще и получив навыки администрирования различных операционных систем, настройки и поддержки антивирусного ПО. Заработок на первых порах составляет для московских специалистов – 25 000-40 000 руб., для петербуржцев – 20 000 -30 000 руб., для жителей Ростова-на-Дону 12 000-17 000 руб., Самары – 12000 – 20 000 руб.

Поработав по специальности от 1 до 3-х лет и получив глубокие знания сетевых протоколов и методов их анализа, усовершенствовав знания международных стандартов по информационной безопасности и современных программных и аппаратных средств защиты информации, специалист по информационной безопасности зарабатывает не менее 40 000 – 65 000 руб. в Москве, 30 000 – 50 000 в Санкт-Петербурге, 25 000 – 40 000 руб. в Екатеринбурге. Данные по другим российским городам, участвовавшим в исследовании, представлены ниже (см. таблицы).

Вы можете смело рассчитывать на более высокую оплату, если работаете специалистом по информационной безопасности более 3-х лет, у Вас есть опыт самостоятельной разработки и внедрения системы информационной безопасности или участия в проектах по созданию системы безопасности для масштабных информационных систем, опыт работы с оборудованием Cisco, а также если Вы поднаторели в составлении нормативно-технической документации. Опытный специалист, работающий в Москве, может претендовать на зарплату от 65 000 до 100 000 руб., в Санкт-Петербурге – от 50 000 до 80 000, в Екатеринбурге – от 40 000 до 60 000 руб.

Типичный представитель профессии «Специалист по информационной безопасности» - мужчина с высшим образованием. Представители сильного пола составляют 93% соискателей. 92% кандидатов на данную позицию получили высшее образование. В такой работе важен не только энтузиазм молодости (кандидаты в возрасте до 30 лет составляют 60%), но и опыт зрелости (специалисты в возрасте от 30 до 40 составляют четверть соискателей). Работа специалиста по информационной безопасности может быть связана с частыми поездками, у 75% кандидатов есть водительские права категории «B».

Выучиться на специалиста по информационной безопасности в Москве можно в следующих ВУЗах:
- , факультет информационной безопасности.
- МГТУ им. Н.Э.Баумана , факультет «Информатика и системы управления».
- , факультет Информационной безопасности.
- , Институт Безопасности Бизнеса НИУ МЭИ
- Российский Государственный Гуманитарный Университет , институт информационных наук и технологий безопасности.

С работой специалиста по информационной безопасности в ноябре связано два профессиональных праздника: 26 ноября - Всемирный день информации и 30 ноября - отмечаемый уже в 20 раз – Международный день защиты информации.

Регионы исследования: гг. Москва, Санкт-Петербург, Екатеринбург, Нижний Новгород, Новосибирск, Ростов-на-Дону, Омск, Самара, Уфа.
Время проведения исследования: ноябрь 2008 г.
Единица измерения: российский рубль.
Объект изучения: предложения работодателей и ожидания претендентов на позицию «Специалист по информационной безопасности».

Типичный функционал:
- Аудит и мониторинг системы информационной безопасности компании
- Анализ информационных рисков
- Разработка и внедрение мероприятий по обеспечению информационной безопасности компании
- Установка, настройка и сопровождение технических средств защиты информации
- Обучение и консультирование сотрудников по вопросам обеспечения информационной безопасности
- Составление нормативно-технической документации.

Требования к позиции: тип занятости - полный рабочий день.

Уровень оплаты труда специалиста определяется благосостоянием компании, перечнем должностных обязанностей, опытом работы по специальности, уровнем развития профессиональных навыков.

Анализ информации по уровням оплаты труда специалиста:
(без учета бонусов, дополнительных льгот и компенсаций)

Регион	Минимальный	Максимальный	Мода	Медиана	Нижний квартиль	Верхний квартиль	Среднее арифметическое	Индекс востребованности (резюме/вакансии)
Москва	25 000	100 000	50 000	55 000	40 000	65 000	56 200	2
Санкт-Петербург	20 000	80 000	40 000	43 000	30 000	50 000	43 700	4
Екатеринбург	15 000	60 000	30 000	33 000	25 000	40 000	33 600	1
Нижний Новгород	13 000	50 000	25 000	28 000	20 000	35 000	28 100	1
Новосибирск	14 000	60 000	30 000	30 000	23 000	37 000	31 400	1
Ростов-на-Дону	12 000	50 000	25 000	26 000	17 000	30 000	26 900	1
Омск	11 000	45 000	20 000	24 000	17 000	28 000	24 100	1
Самара	12 000	50 000	25 000	26 000	20 000	32 000	26 500	1
Уфа	12 000	47 000	25 000	26 000	19 000	31 000	26 300	1

Пояснения к таблице »

Исследование массива данных о заработных платах в исследуемых регионах позволяет выделить несколько основных зарплатных диапазонов, каждый из которых характеризуется определенным типичным набором требований и пожеланий к кандидату. Каждый последующий зарплатный диапазон включает в себя требования, сформулированные для предыдущих.

Регион	Диапазон I	Диапазон II	Диапазон III
Москва	до 40 000	40 000 - 65 000	свыше 65 000
Санкт-Петербург	до 30 000	30 000 - 50 000	свыше 50 000
Екатеринбург	до 25 000	25 000 - 40 000	свыше 40 000
Нижний Новгород	до 20 000	20 000 - 35 000	свыше 35 000
Новосибирск	до 23 000	23 000 - 37 000	свыше 37 000
Ростов-на-Дону	до 17 000	17 000 - 30 000	свыше 30 000
Омск	до 17 000	17 000 - 28 000	свыше 28 000
Самара	до 20 000	20 000 - 32 000	свыше 32 000
Уфа	до 19 000	19 000 - 31 000	свыше 31 000

Пояснения к таблице »

№	Зарплатный диапазон	Требования и пожелания к профессиональные навыкам
1	I	- Образование высшее / неполное высшее (техническое) - Знание английского языка на базовом уровне или на уровне, достаточном, для чтения технических текстов - Знание основ информационной безопасности - Навыки администрирования операционных систем (Windows / Unix) - Навыки настройки и поддержки антивирусного ПО - Опыт работы в сфере IT на технической должности (системный администратор, инженер)
2	II	- Образование профильное высшее - Наличие квалификационных сертификатов приветствуется - Глубокие знания сетевых протоколов и методов их анализа - Знание международных стандартов по информационной безопасности - Знание современных программных и аппаратных средств защиты информации - Опыт работы по специальности 1-3 года
3	III	- Опыт работы с оборудованием Cisco - Опыт разработки нормативно-технической документации - Опыт самостоятельной разработки и внедрения системы информационной безопасности или участия в проектах по созданию системы безопасности для масштабных информационных систем - Опыт работы по специальности от 3-х лет

Статистические данные:

• Возрастной диапазон наиболее востребованных рынком труда специалистов по информационной безопасности 25-50 лет; специалисты по защите информации в возрасте до 30 лет составляют 60% от общего числа специалистов; в возрасте от 30 до 40 лет – 25%, в возрасте от 40 до 50 – 12%;


• 93% специалистов по информационной безопасности – мужчины;


• 78% специалистов по информационной безопасности владеют английским языком на базовом уровне и на уровне, достаточном для чтения специализированной литературы; на разговорном и на свободном уровнях – 17%;


• 92% специалистов по информационной безопасности имеют высшее образование, 5% - неполное высшее;


• 16% специалистов по информационной безопасности прошли специализированные курсы или имеют квалификационные сертификаты;


• 75% специалистов по информационной безопасности имеют водительские права категории «В».

класс твитнуть

Код для вставки в блог

Специалист по информационной безопасности

Исследовательский центр портала SuperJob.ru в ноябре 2008 года изучил предложения работодателей и ожидания претендентов на позицию «Специалист по информационной безопасности» в 9 городах России. Подробнее...

Кем вы сможете работать по окончании факультета информационной безопасности и где набрать опыт? Есть ли смысл учиться на безопасника, если вы живете в маленьком городе? Обо всем этом расскажет Сергей Кручинин - руководитель образовательных проектов GeekBrains. Этот человек руководит работой деканов всех 8 факультетов GeekUniversity и согласует учебные планы.

Сергей, начнем с главного. Специалист по информационной безопасности - это широкое понятие. Чему конкретно вы учите?

Прежде всего хочу сказать, что программа факультета разработана практикующими специалистами. Особая благодарность Никите Ступину - специалисту по информационной безопасности Mail.Ru и декану нашего факультета. Мы будем делиться со студентами лучшими практиками безопасности, которые уже используются в Mail.Ru Group.

Чтоб никто не запутался, надо понимать, что в сфере информационной безопасности (ИБ) есть «бумажная» и практическая работа. «Бумажные» специалисты следят, отвечает ли система безопасности - по документам - требованиям закона. На деле в ней может быть полно дыр, которые никто не ищет и не устраняет, но в документации - все по стандарту.

Не надо так

Мы делаем упор не на «бумажную», а на практическую безопасность веб-приложений, сетей, оборудования и данных. Наши студенты изучат методы и технологии взлома, инструменты хакеров, работу систем, которые предстоит защищать. Все эти знания необходимы для поиска и закрытия уязвимостей.

С «бумажной» стороной ИБ наши студенты тоже кратко познакомятся: научатся составлять регламенты и инструкции для сотрудников предприятия. Стандарты и документация ни в коем случае не бесполезны, но нельзя подменять ими реальную защиту.

- Почему в GeekUniversity выбрали именно такой путь?

Практическая безопасность важнее. Сильному бизнесу интересен прежде всего результат. Я бы советовал начинать с практики еще и потому, что она скорее приведет вас в молодую и прогрессивную IT-команду.

На «бумажные» вакансии чаще идут люди 40–50 лет с особым типом мышления, вузовским образованием и опытом работы в госучреждениях. Они смотрят на вещи формально. Во время аудита они задают вопросы типа «Есть ли у вас система обнаружения вторжений?». Или, чтобы что-то проверить, просят у клиента пароль от root-а. Наш выпускник без пароля посмотрит на среднестатистической машине, что ему нужно, и сам поменяет пароль, если потребуется.

В GeekUnivestity мы готовим специалистов, которые будут востребованы в Mail.Ru Group и аналогичных компаниях - смогут участвовать в обеспечении безопасности крупного почтового сервиса, например.

- Кстати, специалистов по каким направлениям безопасности берут в компанию Mail.Ru Group?

Среди приоритетов - продуктовая безопасность (Application Security), есть даже открытая вакансия . Специалисты в этой области умеют находить уязвимости веб-сервисов, нейтрализовывать инъекции SQL, OS Command injection и другое. Также востребованы специалисты по инфраструктурной безопасности. Их компетенции: защита на уровне сети (L3, L4, TCP/IP, фаерволы), безопасность операционных систем (контроль за обновлением пакетов и ядра), парольные политики, сканирование периметра - перечислять можно долго.

- Для тех, кто только знакомится с терминологией, - что такое инъекции в веб-сервисах?

Это когда вместо ожидаемых приложением данных, таких как идентификатор сообщения, злоумышленник вбивает нужную ему команду, а скрипт ее выполняет. Мошенник получает доступ к конфиденциальным данным или даже к машине, на которой найдена уязвимость.

- Какие еще угрозы вы учите находить?

Бинарные, криптографические. Видов уязвимостей много. Одной только веб-безопасности посвящены первые две четверти учебного года. Это очень важное направление, потому что бизнес из оффлайна переходит в онлайн, а пользовательские данные идут в веб и в облака. Еще 10 лет назад такси заказывали только по телефону. Теперь - в основном через сервисы типа Uber и Яндекс.Такси. И главный вопрос - насколько защищен веб-сервис, которому ты доверяешь свои данные.

Если разработчики сайта не позаботились о безопасности, более-менее продвинутый пользователь может прочитать чужие сообщения, посмотреть фотографии и так далее. Есть набор веб-уязвимостей, рассчитанных на беспечность программиста. Мы объясняем студентам, как злоумышленники находят и эксплуатируют такие уязвимости, к чему это может привести и как это предотвратить.

Знать такие вещи полезно и веб-разработчикам, и руководителям проектов, и всем, кто хочет защищать конфиденциальные данные посетителей своего сайта. Либо нужно привлекать специалиста-практика, который проведет аудит. Выявить угрозы - это меньше чем полдела. Нужно еще придумать, как их устранить, а потом проследить, чтобы защита работала.

Офис GeekBrains: работаем допоздна, лишь бы студенты получили знания

Кроме веб-безопасности наши студенты подробно изучают сетевую безопасность. Эти направления частично связаны, потому что есть угрозы, которые затрагивают не только серверную, но и клиентскую часть сервиса.

Например, некоторые сайты, в том числе крупных организаций, не шифруют трафик. Это позволяет перенаправлять его на подставные машины и перехватывать все, что пользователи хотели отправить на сервер.

А если человек живет в маленьком городе, где нет передовых IT-компаний? Вот он выучился на безопасника-практика. Кем ему работать?

Стек технологий, который мы преподаем, завязан и на системное администрирование, и на другие смежные с ИБ области. Если человек старательно учится, у нас он станет специалистом широкого профиля. Сейчас объясню подробнее.

Хороший безопасник должен уметь админить. Если вы посмотрите на резюме специалистов по информационной безопасности, у многих в карьере был этап сисадминства.

Наши студенты плотно изучают Linux. Кто раньше не работал с этой операционной системой, прежде всего научится ставить ее на виртуальной машине. Дальше студенты осваивают работу в терминале, установку программного обеспечения и решение базовых задач.

Еще мы учим работе с сервисами: как поднять сервер Nginx или Apache, базу СУБД, настроить DNS-сервер BIND и почту. Нужно только помнить, что знания не приходят автоматически после оплаты обучения - придется прикладывать усилия.

- Строить и настраивать сети - тоже учите?

Да. Сетевой инженер - еще одна профессия, с которой перекликается работа безопасника. Надо уметь как минимум настраивать сетевые фильтры, закрывать порты, отслеживать активные соединения.

При изучении компьютерных сетей студенты отработают практические навыки на тренажере Cisco Packet Tracer. Мы его выбрали ради наглядности, но умение работать с оборудованием Cisco - еще и бонус к резюме.

Краеугольная тема сетевой безопасности - TCP/IP. Это модель передачи данных по сети. С разными ее реализациями админы и безопасники работают постоянно. Мы рассказываем, что такое протоколы канального и сетевого уровня, как они работают, зачем нужен MAC-адрес. Мало кто в этом разбирается, хотя именно на канальном уровне выстроены многие типы атак.

Изучаем сетевые технологии

- Вернемся к ситуации «выпускник не хочет переезжать из маленького города». Где работать?

Начнем с того, что везде есть провайдеры. Нашего выпускника они с удовольствием возьмут сетевым инженером. Причем это будет сетевой инженер с очень хорошим пониманием безопасности. В карьерном плане у него будет преимущество перед людьми, которые раньше только прокладывали сети: обжимали витую пару и бегали с ней по чердакам. Нашему инженеру-безопаснику будет проще дорасти до руководителя. У провайдеров есть сайты и какие-то сервисы - здесь тоже можно себя проявить.

Следующий момент - везде нужны сисадмины. Если в компании нет отдельного специалиста по информационной безопасности, его обязанности выполняет системный администратор. И снова - наш выпускник получает преимущество перед админами, которые изучали безопасность сами и поверхностно.

От себя лично добавлю, что если у вас есть возможность переехать в Москву или Санкт-Петербург и поработать в крупной местной или международной компании, оно того стоит. У нас есть студенты, которым это уже удалось.

- А как насчет работы с приложениями? Ведь безопасник должен еще и софт держать под контролем.

Да, мы учим дизассемблированию и анализу приложений, чтобы студенты могли выявлять вредоносный код.

Нужно понимать, что злоумышленники и те, кто с ними борются, используют одни и те же инструменты. «Черные» (плохие) хакеры анализируют программное обеспечение и ищут уязвимости, которыми можно воспользоваться. «Белый» (этичный) хакер ищет ошибки, чтобы закрыть дыры в безопасности.

Мы учим исследовать код. Если программист был неосторожен, при определенных условиях программа может выдать конфиденциальные данные. Например, отправить пользователю кусок оперативной памяти, где хранятся пароли, закрытые ключи и другие интересные вещи.

Мы также учим программировать на языке Python. С ним удобно автоматизировать задачи или писать свои инструменты анализа данных. Эти навыки выводят безопасника на более высокий профессиональный уровень.

Еще у нас есть курс «Операционные системы». Он рассказывает об архитектуре ОС, о том, как отличаются угрозы безопасности в Linux, DOS, Windows, и другое.

Мы объясняем, что такое пространство ядра и пространство пользователя, как работает память, почему одно приложение в современных операционных системах не может изменить данные другого приложения. Чем процесс отличается от потока.

Ближе к концу курса - в четвертой четверти - студенты знакомятся с темой бинарных уязвимостей.

- Ты упомянул, что составлению регламентов и работе с документами студенты тоже учатся.

Мы рассказываем о взаимодействии с силовыми и контролирующими структурами - ФСТЭК и ФСБ. Учим, когда и как применять предусмотренные законом РФ стандарты безопасности.

Есть и еще один важный момент. Мы учим основам социальной инженерии. Потому что злоумышленник никогда без нужды не идет сложным путем. Прежде чем что-то ломать, он пробует выманить пароль или другую нужную информацию у пользователя. Мы рассказываем, как учесть подобные схемы при составлении инструкций для сотрудников компании.

- То есть вы готовите «универсального солдата» безопасности?

Мы готовим человека, который умеет взламывать и защищать. Необходимо понимать методы взлома, чтобы грамотно выстроить информационную систему.

Хороший безопасник обладает теми же навыками, что и злоумышленник. Но применяет их не в корыстных и/или преступных целях, а чтобы защитить систему и, в конечном итоге, - пользователей.

Взломать можно что угодно - это вопрос времени и ресурсов. Но обход хорошо выстроенной защиты может нападающего попросту разорить.

- Как расставлены приоритеты между изучаемыми направлениями?

Главный упор на веб-безопасность. К ней примыкают сетевая инженерия и системное администрирование. По остальным направлением мы даем базовые знания, которые можно развивать в зависимости от интересов учащегося.

Где студенту-безопаснику набирать практический опыт? Какие достижения он по итогам учебы сможет записать себе в резюме? И как прокачаться самому?

Угрозы можно моделировать. Для этого есть специальные инструменты. Начинать лучше с простых вещей: берем и ставим на сайт «глючное веб-приложение» - bWAPP (buggy web application). Оно изначально создано небезопасным, чтобы на нем «этичные хакеры» тренировались находить и блокировать уязвимости.

Еще есть DVL - специальный Linux-дистрибутив с преднамеренными ошибками настройки.

Такие инструменты очень полезны, но они могут студентам быстро надоесть, поэтому мы заготовили более интересные испытания. Например, состязания типа Capture the flag. Вы получаете доступ к удаленной машине, но заранее не знаете ее уязвимостей и должны их найти. Победы в таких конкурсах и соревнованиях на рынке ценятся - их можно смело записывать в резюме. Взломать серьезный тренажер не легче, чем реальный сайт.

Также стоит участвовать в конкурсах типа Bug Bounty. Это когда организация предлагает вознаграждение тем, кто найдет уязвимости в продукте. Мы расскажем, как участвовать в подобных программах. Если у вас прокаченный аккаунт на hackerone, вам будут рады в крупных компаниях, в том числе зарубежных.

Еще наш студент может предлагать владельцам сайтов услуги аудита: находить и закрывать уязвимости. Главное - договориться с хозяином сайта заранее, потому что грань между «черным» и «белым» хакерством очень тонка и за непрошеную помощь можно попасть под статью.

Есть ли смысл предлагать аудит безопасности тем, кто о ней не беспокоится? Бывает, уязвимость видна даже неспециалисту, но ее никто не устраняет...

Пробовать стоит. Некоторым действительно бесполезно писать, но есть и те, кто не задумывался о проблеме. Я одному владельцу сайта объяснил, что он использует HTTP, а пора бы уже на HTTPS перейти, потому что иначе пароли пользователей передаются по незащищенному каналу связи. И человек прислушался. Если сайт приносит доход, владелец заинтересован в его развитии и, скорее всего, пойдет на диалог.

Вот человек победил в конкурсе, провел кому-то аудит, но еще не работал в штате. При поиске работы это проблема?

Нет. Наш выпускник целый год провел с GeekBrains и Mail.Ru Group. Он уже представляет себе работу безопасника в крупной компании, знает весь стек технологий и собрал стартовое портфолио. С точки зрения среднестатистического работодателя это немало.

- Будет чем блеснуть на собеседовании...

Само собой. Не исключено, что выпускник будет разбираться в каких-то вопросах лучше будущего руководителя.

Сергей, спасибо огромное! Теперь у меня целостная картина, чему и зачем учат на факультете информационной безопасности. Если у читателей остались вопросы - надеюсь, они их зададут в комментариях. А мы с тобой еще найдем время так же подробно поговорить о другом факультете - искусственного интеллекта.

О новом факультете и о направлении Data Science действительно многое можно рассказать. Так что до следующего раза.

Специалисты по информационной безопасности принимают непосредственное участие в создании системы защиты информации, ее аудите и мониторинге, анализируют информационные риски, разрабатывают и внедряют мероприятия по их предотвращению. Профессия подходит тем, кого интересует информатика (см. выбор профессии по интересу к школьным предметам).

В их компетенцию также входит установка, настройка и сопровождение технических средств защиты информации. Специалисты по безопасности обучают и консультируют сотрудников по вопросам обеспечения информационной защиты, разрабатывают нормативно-техническую документацию. Эта должность возникла на стыке двух направлений информационных технологий и технологий обеспечения безопасности. Без сотрудников по информационной безопасности сегодня не могут обойтись ни коммерческие структуры, ни ведомственные организации, такие как ФСБ.

Особенности профессии

Эта профессия возникла на стыке двух направлений: информационных технологий и технологий обеспечения безопасности. Без сотрудников по информационной безопасности сегодня не могут обойтись ни коммерческие структуры, ни ведомственные организации. Они предотвращают утечку важной информации, подлог данных и некомпетентность (злой умысел) собственных сотрудников. В государственном масштабе специалисты по информационной безопасности создают системы защиты стратегической информации по обороноспособности страны, формируют секретные базы данных, сохраняют тайну ядерного чемоданчика.

Плюсы и минусы профессии

Плюсы:

• востребованность на рынке труда, так как сфера информационной безопасности стремительно развивается, а значит, спрос на специалистов в этой области будет постоянно расти;
• высокая оплата труда;
• возможность освоения самых передовых технологий защиты информации;
• возможность посещать конференции и семинары;
• общение с разнообразными специалистами, возможность завязать полезные связи.

Минусы:

• высокая ответственность, так как приходится отвечать за сохранность всей информации компании;
• возможны частые командировки.

Место работы

В организациях различных форм собственности, имеющих собственные компьютерные сети и нуждающихся в сохранении корпоративных сведений и важной коммерческой информации.

Важные качества

Коммуникабельность и умение работать в команде. Создание и наладка систем защиты - это коллективная работа нескольких специалистов: руководителя защищаемой компании, аналитика, проектировщиков систем, программистов. Ко всем нужно найти подход и суметь поставить задачу понятным для них языком.

Обучение на Специалиста по информационной безопасности

Высшее образование:

Вузы

Предлагаем вам ознакомиться с нашим перечнем .

Специалист по информационной безопасности должен знать все технологии среды WEB, а также понимать способы взламывания доступов и повреждения сетей и проектов.

Оплата труда

Зарплата на 10.12.2019

Россия 25000—80500 ₽

Москва 40000—200000 ₽

Уровень оплаты труда специалиста определяется благосостоянием компании, перечнем должностных обязанностей, опытом работы по специальности, уровнем развития профессиональных навыков.

Ступеньки карьеры и перспективы

Сама по себе эта позиция уже является одной из высших ступеней карьерного роста в сфере IT, выше только должности начальника отдела или департамента информационной безопасности. Начать карьеру в данной сфере могут IT-специалисты с неполным или законченным высшим образованием, опытом администрирования средств защиты информации и операционных систем Windows или Unix. Требования работодателей к профессиональным навыкам и умениям начинающих специалистов достаточно серьезные: даже претенденты на сравнительно невысокий доход должны знать законодательство РФ по информационной безопасности, принципы работы сетей и средства криптозащиты, современные программные и аппаратные средства защиты информации, а также технологии обеспечения информационной безопасности. Зарплата, на которую могут рассчитывать молодые специалисты в столице, от 40 тыс.руб.

Следующий уровень - специалист с высшим образованием в сфере информационных технологий или защиты информации, имеющий опыт работы в сфере обеспечения информационной безопасности не менее 2 лет. Помимо этого претенденты должны иметь опыт проведения аудита и оценки рисков системы информационной безопасности, навыки разработки нормативно-технической документации по информационной безопасности, знать международные стандарты защиты информации и владеть английским языком на уровне, достаточном для чтения технической литературы. Специалисты, соответствующие вышеуказанным требованиям, зарабатывают в Москве до 80 тыс. руб.

Описание

Во время обучения на данном профиле студентов учат:

• эксплуатировать компоненты подсистем, проводить проверку их технического состояния, ремонтировать и осуществлять техническое обслуживание;
• выполнять адаптацию и установку компонентов подсистем;
• организовывать мероприятия, связанные с охраной труда и техникой безопасности;
• применять программно-аппаратные средства, необходимые, чтобы обеспечивать информационную безопасность в автоматизированных системах;
• проводить мониторинг продуктивности используемых аппаратно-программных средств;
• обеспечивать учет, обработку, передачу и хранение конфиденциальной информации;
• использовать инженерно-техническое оборудование;
• решать частные технические задачи, которые неизбежно возникают в процессе проведения контрольных проверок, аттестации помещений, объектов и технических средств;
• применять правовые нормативные акты, методические рекомендации и документы;
• разрабатывать организационную структуру в комплексной системе обеспечения защиты информации;
• мониторить эффективность комплексных систем, используемых для обеспечения информационной защиты.

Кем работать

Основным направлением в профессиональном росте является обеспечение информационной защиты на предприятиях. К ним относятся крупные корпорации и торговые сети. В подобных услугах нуждаются также различные частные детективные агентства, в которых степень защиты данных должна быть на максимальном уровне. Лидерами по трудоустройству являются различные государственные структуры, в которые регулярно требуются разработчики систем безопасности и диагносты существующих внешних угроз. Для продвижения по службе многие выпускники начинают свою профессиональную деятельность в команде разработчиков на небольших предприятиях. За это время они получают бесценный опыт, наличие которого позволит трудоустроиться в крупные организации на лучших условиях.