Кто такой специалист по защите информации

Особенности профессии

Функциональные обязанности специалиста по информационным системам можно разделить на 3 этапа:

1. Создание и сопровождение информационных систем:

• переговоры с заказчиком с целью выяснения его требований к информационной системе;
• сбор информации для моделирования предметной области проекта и требований будущих пользователей системы;
• составление совместно с заказчиком технического задания на разработку информационной системы;
• разработка информационной системы и взаимодействие со всеми участниками проекта в ходе работы;
• развертывание рабочих мест информационной системы у заказчика;
• установка и настройка прикладного программного обеспечения, необходимого для функционирования системы;
• настройка технического оборудования, участвующего в работе системы;
• интегрирование информационной системы с техническим обеспечением заказчика;
• проведение внутреннего тестирования системы с настройкой параметров;
• опытная эксплуатация информационной системы на предприятии;
• ликвидация претензий пользователей системы после опытной эксплуатации;
• выявление и устранение ошибок в процессе работы.

1. Техническая поддержка:

• проведение инсталляции информационной системы;
• сопровождение системы в ходе эксплуатации;
• кодирование ПО в определенных рамках поставленных задач;
• разработка инструкций по эксплуатации и технической документации.

• обучение пользователей информационной системы приёмам работы с ней; консультирование пользователей информационной системы;
• создание презентаций и демонстрационных версий системы;
• составление отчета по результатам обучения.

На каждом этапе может работать группа специалистов, в зависимости от объёма предприятия и поставленных задач.

Отличие АСУ от других информационных систем

АСУ предназначены для управления физическими объектами – станками, оборудованием – и должны решать задачи планомерной, цикличной работы, избегания аварий. На английском термин АСУ звучит как Industrial Control Systems (ICS) или Industrial Automation and Control Systems (IACS). Индустриальный характер системы вынуждает рассматривать вопросы обеспечения ее безопасности отдельно от других систем, рекомендации для них можно найти в руководстве NIST SP 800-82.

Основные отличия:

• в отличие от обычной ИС АСУ работает в режиме реального времени;
• перезагрузка как метод решения проблем для АСУ неприемлема;
• при управлении рисками АСУ оперирует физическими процессами, ИС – данными;
• для АСУ часто используются специализированные операционные системы с тщательно выверенными параметрами совместимости и контролем обновлений; 
• протоколы коммуникаций для АСУ всегда профессиональны, иногда используются выделенные каналы связи;
• поддержка АСУ осуществляется только производителем и поставщиком;
• АСУ, в отличие от ИС, часто не имеет резервов памяти для реализации функции безопасности;
• жизненный цикл АСУ составляет 15-30 лет, для ИС этот срок равен 3-5;
• компоненты АСУ часто расположены в физически труднодоступных местах, например, на нефтяной вышке в тундре.

Эти особенности показывают, что информационная безопасность АСУ является самостоятельной задачей. 

Место работы и зарплата

Специалист по кибербезопасности может работать в крупных и международных организациях, IT-компаниях, банках. Более высокую зарплату предлагают частные агентства.

Начать карьеру можно еще с неоконченным вузовским образованием, работая на низшей должности под присмотром опытных сотрудников. Новичок может рассчитывать на зарплату 20–30 тыс. руб. Эта ступень важна потому, что именно в этот момент начинается становление специалиста и набирается бесценный практический опыт.

После перехода на более высокую должность человек работает уже самостоятельно и даже обучает младших коллег, находящихся у него в подчинении. Заработная плата ведущего специалиста возрастает до 50–100 тыс. руб.

На руководящем посту в качестве начальника отдела или департамента можно получать до 300 000 руб. Чтобы возглавить отдел, у человека обязательно должны быть весомые достижения в портфолио. Или же специалист может создать собственное агентство, которое специализируется на информационной безопасности.

Кроме этого, на зарплату влияет регион трудоустройства. Если в среднем по России специалисты по кибербезопасности получают от 50 000 до 120 000 руб., то в Москве зарплаты варьируются от 60 000 до 200 000 руб. В регионах можно зарабатывать от 40 до 100 тыс. руб. Также неплохие деньги предлагают иностранные компании.

График работы чаще всего стандартный: 5 рабочих дней и 2 выходных. Но могут возникнуть непредвиденные обстоятельства, и тогда не избежать сверхурочной работы.

Иногда специалистам необходим специальный допуск к работе, если его деятельность связана с государственной тайной. В этом случае не избежать некоторых ограничений, например, нельзя выезжать за границу.

Удаленная работа возможна, но в крайне редких случаях. В основном она доступна востребованным специалистам с приличным стажем. Большая же часть работников трудится в офисах.

С чем предстоит столкнуться специалисту по информационной безопасности в обычной жизни?

Профессия специалист по безопасности сильно отразится и на обычной жизни тинейджера:

Рассказывать о своей должности подростку будет нельзя. Специалисты по информационной безопасности не раскрывают данные о том, где работают, и кем. Чтобы конкуренты их фирмы, например, не поймали подростка на улице. Не выпытали у него пароли от баз данных. Или схемы того, как обойти защиту компании, в которой он работает.
Если подросток устроится на работу в государственную компанию или структуру, то ему могут закрыть выезд из страны

Поскольку он является носителем стратегически важной для государства информации.

Также, подростку предстоит очень много общаться с полицейскими, представителями спецслужб и многими другими специалистами. Дело в том, что в некоторых государственных компаниях и структурах ключевые должности занимают именно эти люди. Они курируют направление информационной безопасности учреждения.

Подростку предстоит учиться, учиться и еще раз учиться

Закончить университет и перестать учиться не получится. Новые технологии появляются каждый год. А изобретения очень стремительно устаревают.

Чтобы оставаться востребованным специалистом, подростку нужно в обязательном порядке изучать новые книги. Получать знания. В частности, он должен в обязательном порядке изучать новые способы взломов. Учиться мыслить, как хакер. Чтобы предотвращать возможность атаки еще до нападения на компанию.

Также, для улучшения своих навыков, специалист по информационной безопасности должен участвовать в так называемых хакатонах. Конкурсах для хакеров. В рамках которых они должны в обязательном порядке взломать определенный код.

Подросток должен иметь связи среди других специалистов по кибербезопасности

У подростка в обязательном порядке должны быть связи среди других специалистов по информационной безопасности. Желательно, среди людей разных специализаций. Это необходимо для того, чтобы специалист-безопасник смог в момент хакерской атаки на компанию позвонить им. И узнать, как справиться с определенной проблемой.

Консультант по кибербезопасности (Cybersecurity Consultant)

Работа консультантом по кибербезопасности означает, что Вы будете нести ответственность за надлежащую защиту данных клиента и защиту от риска кибератак и связанных с ними проблем. Однако, эта роль гораздо более сложная и неотъемлемая часть современного бизнеса, чем можно предположить из этого простого определения.

Независимо от того, работаете ли Вы штатным или внештатным консультантом по кибербезопасности, Вы будете участвовать в различных организационных оценках рисков, проблем и предоставлять для них решения. Иногда Вы можете управлять риском, в том числе консультантом по физической безопасности или ИТ-консультантом, который работает с компьютерными системами, чтобы избежать киберугроз или вредоносных программ.

Консультанты по безопасности предлагают улучшения инфраструктуры и могут представить их высшему руководству. После того, как компания выбирает стратегию, консультант по безопасности наблюдает за внедрением новых мер безопасности и помогает поддерживать их в течение долгого времени. В часто меняющейся сфере консультанты по безопасности должны быть в курсе новейших технологий и факторов риска. Они также могут обучать персонал организации понимать риски информационной безопасности и защищаться от них.

Приведенное выше определение проливает немного больше света на профессию, но нам нужно погрузиться в специфику. Чем занимается консультант по кибербезопасности? Вот список их обязанностей, хотя имейте в виду, что не каждый клиент захочет или будет нуждаться в них всех.

Определение наилучшего способа защиты устройств, сетей, программного обеспечения, данных и полных информационных систем от возможных вторжений и кибератак;

Поиск уязвимостей так же, как это делает хакер в белой шляпе, включая анализ рисков и оценку безопасности;

Исследование современных стандартов и систем безопасности, а также новейших протоколов аутентификации;

Составление сметы расходов на любые необходимые обновления системы безопасности;

Планирование, исследование и проектирование архитектуры безопасности для любого ИТ-проекта;

Предоставление всех результатов тестов с помощью технических отчетов и документов;

Определение, внедрение и поддержание соответствующей корпоративной политики безопасности для организации клиента;

Реагируйте на любые инциденты, связанные с безопасностью, а затем проводите тщательный пост-событийный анализ;

Наблюдение за клиентом, обновляя и модернизируя его системы безопасности по мере необходимости.

ИБ для АСУ

Информационная безопасность для автоматизированных систем управления должна опираться на утвержденные стандарты. Наиболее востребованным является стандарт ISO/IEC 27000 Information Technology, на базе которого разработан и внедрен российский ГОСТ. Также применяется стандарт Международной энергетической комиссии, ISA/IEC 62443 Security for Industrial Automation and Control Systems, ряд частей которого тоже работают в части ГОСТов.

Частично задача безопасности АСУ решается на государственном уровне, они в обязательном порядке лицензируются и сертифицируются, на решение этой задачи приходится до 10 % от стоимости программного обеспечения. Основной задачей при обеспечении ИБ для АСУ становится контроль рисков с их предварительным ранжированием. Риски распределяются по уровням:

• управление предприятием;
• операционное управление производством;
• управление и мониторинг физических процессов;
• локальное управление оборудованием и процессами;
• управление датчиками и системой оповещения.

На каждом из уровней выявляются свои риски, блокировать которые от информационных атак или программных сбоев необходимо для обеспечения безопасности. В полноценной модели защиты АСУ от рисков должны быть реализованы:

• управление идентификацией и аутентификацией;
• контроль использования ресурсов оборудования;
• гарантия целостности системы и связей;
• доступность данных;
• контроль потоков данных, избежание утечек;
• ограниченное время реакции на инциденты.

При соблюдении этих требований можно говорить о том, что информационная безопасность автоматизированной системы управления обеспечена. 

Повышение квалификации по защите информации

Работнику бизнес-компании нужно постоянно повышать квалификацию. Чтобы оставаться ценным сотрудником необходимо изучать сторонние ресурсы, проходить сертифицированные тестирования, подрабатывать частными заказами, читать профильную литературу. Крупные организации устраивают тренинги, конференции, олимпиады и зарубежные поездки для повышения квалификации сотрудников.

На тренинге или олимпиаде есть возможность сравнить и повысить свой уровень знаний

Гиганты IT-сферы расширяют круг специализаций, поэтому стараются набрать штат дипломированных и перспективных работников с малым уроном для организации. Компании ежегодно устраивают хакатоны или профессиональные конкурсы, ярмарки, где удача или знания помогают программистам получить высокооплачиваемую должность. Участникам мероприятий выдают сертификаты, которые существенно увеличивают шансы найти работу.

Функционал специалиста

Как я уже говорила, специалист по кибербезопасности работает в тесном сотрудничестве с другими программистами, в рамках одного IT-отдела. Но именно на нем лежит большая ответственность за компьютерную безопасность на предприятии. Функционал специалиста достаточно широк, но во многом зависит от масштабов компании и сферы ее деятельности – государственные структуры, научные учреждения, коммерческие предприятия. К сфере компетенции специалиста относятся:

• разработка и создание системы безопасности;
• тестирование веб-ресурсов на наличие слабых мест;
• выявление ошибок в работе компьютерной системы;
• устранение последствий взлома веб-ресурса;
• оценка конкурентной ситуации и выявление возможных потенциальных киберпреступников;
• тестирует существующую систему защиты предприятия;
• проводит инструктаж и обучение сотрудников в целях усиления безопасности;
• составляет отчеты для руководства компании.

Объем работы в области безопасности очень большой, и часто, для более эффективного решения проблем, особенно в крупных компаниях, используют не одного специалиста, а целое подразделение.

Где и как учат этому

По современным стандартам студент получает знания за счет самообучения. Преподаватели играют роль направляющего, рекомендуют литературу, держат дисциплину обучающихся. Информационная безопасность – разносторонний и многозадачный технический профиль. Спектр образования в естественно-математических ВУЗах страны затрагивает область программирования, автоматизации и математики. Гуманитарные предметы направлены на расширение кругозора и коммуникации студента. Обязательным условием является уверенное владение английским языком, знание технической и IT-терминологии.

Во время обучения полезно посещать турниры, вебинары и конференции от IT-компаний – помогают увидеть индустрию технологического мира в целом. Здесь же можно получить интересное предложение от работодателя. Дополнительно к обучению в отечественном университете студенты проходят дистанционные курсы криптографии от зарубежных ВУЗов. Сторонние дисциплины и технические курсы доступны в открытом доступе на платформах Edx,Opened,Coursera, что улучшает качество разговорного иностранного языка.

Российские университеты с бюджетными местами:

• МГТУ имени Баумана, МФТИ;
• Национальный исследовательский университет «Высшая школа экономики», МИФИ;
• СПбГУ, СПбГУ имени Петра Великого, МГЛУ.

Профессии на IT-платформах GeekBrains, JavaRush, в онлайн-университетах Mail.Ru, AcademyYandex не предусматривает бюджетных мест, но срок обучения в учреждениях значительно короче 4 лет. Практика в ВУЗах предоставляется в малом количестве, техникумы тоже не отличаются подобным, поэтому практические навыки студенты должны отрабатывать самостоятельно. В онлайн-университетах предусмотрена стажировка, университеты страны предоставляют компаниям контрактных студентов. Средняя стоимость образования варьируется от 200 до 450 тысяч в год.

В университете вы можете получить основные, базовые знания по профессии, а чтобы быть востребованным специалистом нужно обновлять багаж знаний повседневно

На курсе изучают:

• высшая математика, физика;
• информатика, ООП, курс программирования;
• БД, языки программирования, иностранный язык;
• ОС, БСБД, методы программирования;
• криптография, история, философия, русский язык – 2 или 3 семестра.

Почему профессии, связанные с кибербезопасностью, востребованы на рынке труда

Мировая цифровизация экономики идет сверхвысокими темпами. Информационные системы растут и развиваются, без их использование немыслимо развитие бизнеса, финансового сектора, торговых отношений и прочего. С недавних пор сетями связаны не только компьютеры в разных уголках мира, но и смартфоны, автомобили и даже бытовые приборы. Через Интернет передается огромное количество информации, в виртуальном пространстве создаются новые ценности, которые могут иметь большую стоимость в реальности.

Именно эти ценности и пытаются украсть хакеры из киберпространства. Ценным может быть все: уникальные разработки, произведения, компрометирующие данные, виртуальная валюта, активы, электронные деньги. Также они занимаются подменой данных, портят их или используют в своих собственных целях.

Чем шире охватывают информационные сети мир, тем чаще и опаснее кибератаки и тем более востребованными становятся специалисты по кибербезопасности. Они работают в крупных банках, IT-компаниях, государственных структурах, оборонных ведомствах, где занимаются профилактикой хакерских атак и обеспечением безопасной работы общественно важных систем.

Оператор

А вот женская половина выпускников, как правило, испытывает больше проблем с трудоустройством. Ведь тем, кто выбрал направление «Информационная безопасность автоматизированных систем» придется изрядно постараться, чтобы найти себе работу. Везде уже или есть сотрудники, или нужны мужчины.

Поэтому многие устраиваются работать самыми обычными операторами. В зависимости от деятельности фирмы придется или оказывать консультации, или продавать товары и услуги. Плюс ко всему, многие операторы обязаны обзванивать клиентов (в том числе потенциальных) с целью оповещения их о проводимых акциях и бонусах.

На самом деле это вполне нормальное место работы для молодой девушки. Но никак не для мужчины. Ведь заработок тут средний, а рабочий график — довольно напряженный. Зато отсутствует полностью физическая нагрузка. Так что дипломированные специалисты могут встретиться вот в таких, даже не самых престижных местах работы.

Обучение

Специалист по IT-безопасности должен иметь вузовское образование в области информационных технологий или по направлению “Компьютерная безопасность”.

Самостоятельно освоить эту специальность тяжело, т. к. это затратно по времени и можно пропустить важные детали. Необходимые знания и навыки можно приобрести с помощью курсов по кибербезопасности. Их проходят как в качестве дополнительного обучения, так и в качестве основного, если нет возможности пойти в вуз.

Прохождение курсов позволит изучить актуальную, структурированную и полезную информацию, а также можно будет пообщаться и расспросить опытных специалистов, которые уже работают в сфере IT-безопасности и защиты.

Идеален тот способ обучения, при котором минимальное количество необходимой теории сочетается с максимумом практических занятий. Просто изучить список потенциально возможных угроз недостаточно

Важно применить знания в деле и испытать на себе кибератаку

Такие платформы, как Skillbox, Нетология, GeekBrains и SkillFactory предлагают программы, в которых теория подкрепляется большим объемом практики:

• Профессия специалист по кибербезопасности
• Специалист по кибербезопасности
• Специалист по информационной безопасности
• Основы кибербезопасности
• Факультет информационной безопасности
• Кибербезопасность и цифровая грамотность
• Основы безопасности и анонимности в сети
• Специалист по информационной безопасности
• Профессия Этичный хакер

Познакомиться с полным перечнем курсов по информационной безопасности можно в отдельной статье на блоге iklife.ru.

Новоиспеченным специалистам по кибербезопасности не помешают знания английского языка. Сразу они могут не пригодиться, т. к. достаточно будет понимать лишь интерфейс программы. Но чем сложнее будут рабочие задания, тем более глубокие знания английского понадобятся.

Можно выбрать курс, в программу которого включены занятия по иностранному языку. Так не придется отвлекаться на посторонние темы, а изучение будет направлено на специальную лексику, которая понадобится в работе.

Также английский понадобится для самообразования, ведь многие полезные книги, журналы, статьи и лекции по IT-безопасности не переведены на русский язык.

Кого можно назвать специалистом по информационной безопасности

В представлении многих людей информационная безопасность — область романтической борьбы с киберпреступниками, захватывающие расследования, хитрые ловушки. На самом деле значительная часть работы в информационной безопасности — предотвращение потери данных в результате обычной беззаботности, например, пренебрежения регулярным резервным копированием.

Однако комплекс профилактических мер включает и шифрование, и поиск уязвимостей в системе, поэтому специалист по информационной безопасности должен иметь соответствующий бэкграунд: образование в области информатики, математики, программирования; знание языков программирования; возможно, опыт работы системным администратором.

Важно!

Крупные компании любят нанимать на эту должность перспективных студентов и выращивать из них специалистов самостоятельно.

Сейчас в России, как считают специалисты, практически негде получить хорошее образование в области программирования.

Связано это с тем, что традиционно российские вузы делают упор на теорию, а программирование, системное администрирование, информационная безопасность больше связаны с практической деятельностью.

Другая причина — инертность образовательной системы, что критично для такой быстро развивающейся отрасли. Пока студенты учатся, полученные ими знания успевают устареть.

В результате молодые специалисты выходят на рынок труда, но у них есть только теоретические знания сомнительной актуальности, и полностью отсутствуют практические навыки.

Приходится немало поработать на низкой зарплате, параллельно набивая шишки и посвящая свободное время изучению специальной литературы (подавляющее большинство которой не имеет хороших переводов на русский, так что читать приходится на английском языке).

Поэтому тем, кто не хочет долго топтаться на старте карьеры, а планирует сразу бодро идти в гору, необходимо серьезно задуматься о том, где получить образование.

Традиционно сильное образование дают вузы США и Великобритании. Но обучение в них, если нет гранта — серьезное финансовое испытание. Учеба в этих странах платная и, в основном, очень дорогая.

К сожалению, уровень интеллекта и таланта студента никак не связан с финансовым положением его семьи. Но есть способ получить качественное высшее образование за рубежом бесплатно — поступить в немецкий вуз. Здесь учеба бесплатная; взимают только небольшой семестровый взнос.

В последние годы немецкие вузы сравнялись с английскими и американскими по престижности и качеству обучения; многие из них входят в мировые рейтинги.

Успешные немецкие вузы получают внушительное государственное финансирование, благодаря чему постоянно развивают свою базу и могут предоставить студентам фантастические условия обучения.

Немецкое образование в области точных наук считается эталонным.

Есть и еще одно преимущество для тех, кто желает посвятить свою жизнь программированию: большое количество практики, обязательное для всех студентов. Благодаря этому правилу студент в процессе обучения успевает поработать в крупных компаниях, столкнуться с реальными задачами, заняться решением практических проблем. На этом этапе талантливый студент может найти работу, ведь многие компании выращивают своих безопасников самостоятельно, в соответствии с собственными требованиями.

В любом случае, выпускаясь из немецкого вуза, молодой специалист уже имеет за плечами опыт работы и может конкурировать на рынке труда.

Важно!

Тем, кто задумывается о карьере специалиста по ИБ за рубежом, важно определиться в планах заранее и получать образование в той стране, в которой хотелось бы работать. Это связано с комплаенсом — требованиями и законодательными нормами в области защиты информации, в которых безопасник обязан хорошо ориентироваться, а они в разных странах разные

Советуем изучить: Подбор программ обучения в вузах Германии