Информационная безопасность — что нужно знать и уметь, чтобы считаться хорошим специалистом по ИБ?

[AlexUl]

Интересно

не по мотивам ли моего общения в данной статье эта статья? =)

В любом случае, спасибо, за аналитику, подтвердила многие мои ощущения от текущего состояния рынка:

• Не смотря на заявления о «важности» ИБ и кадровом голоде — зарплаты ощутимо ниже чем у разработчиков.
• Разброс зарплат — он существенный
• Упор делается на направления по защите web-app, этичному хакингу и анализу безопасности кода

Спасибо что упомянули про знание руководящих документов, как один из основных столбов ИБ.

Жалко что не указали такие направления как непосредственно «Администратор информационной безопасности средств защиты информации», «Аудитор», «Аналитик информационной безопасности», «Оператор SOC», «Оператор SIEM» и «Инженер по информационной безопасности со стороны интеграторов». Я понимаю, что таких вакансий достаточно мало, за пределами Москвы, но именно с них по хорошему необходимо переходить на «универсальных солдат».

Не раскрывается тема, что в наше стране «Специалист по ИБ» должен вырасти из «сисадмина» иначе, за исключением некоторых направлений, он просто не сможет даже претендовать на начальные позиции, если конечно их найдет.

Говориться про важность актуализации собственных знаний, но было бы не плохо, назвать крупные отечественные и зарубежные ресурсы, которые занимаются не только распространением специфических новостей, но и предоставляют собственную аналитику. В том же ключе можно было бы указать вендоров, которые дают интересную/полезную/актуальную (нужное подчеркнуть) информацию в собственных блогах.

Но, НО!, все равно очень полезная статья, хорошо в общем описывает специфику профессии, а все что я тут подокапывался только мои индивидуальные хотелки и вообще не авторитетны. Однозначно информативней недавней статьи.

P.S.

Понимаю что статья написана в партнёрстве с GeekBrains, но думаю можно было бы упомянуть и другие компании занимающиеся обучением специалистов этой сферы. Ну хотя бы самые популярные факультеты отечественных ВУЗов. =)

[sigmatik]

• зарплаты ощутимо ниже чем у разработчиков.

Зарплаты разработчиков всегда были выше остальных в Айти просто потому что порог вхождения гораздо выше и само направление сложнее чем то же сисадминство и ИБ, проще говоря админом может стать каждый второй, ИБэшником каждый 5, а хорошим разработчиком один из 10.

• Не раскрывается тема, что в наше стране «Специалист по ИБ» должен вырасти из «сисадмина»

Как мне кажется это вообще что то само собой разумеющееся. Как человек может защищать информацию, если не знает и не понимает каким образом она обрабатывается в ИС и какие технологии/ сервисы / оборудование / протоколы / приложения в ней используются?

[intrud3r]

Не пойму как вы так лёгким движением пальцев определили что программирование сложнее чем ИБ и про каждого 5, каждого 10, это что вообще за бред? Вы явно не имеете представления о работе инженера ИБ.

[screwer]

Пусть попробует самостоятельно реализовать эксплоит под известную уязвимость, например 2017-7533. С активными kaslr, smep, smap. С удовольствием посмотрю на результат, и как изменится отношение к сложности

[AlexUl]

Зарплаты разработчиков всегда были выше остальных в Айти просто потому что порог вхождения гораздо выше и само направление сложнее чем то же сисадминство и ИБ

Даже если просто сравнить курсы на популярных площадках онлайн-обучения получается что обучение на ИБ/Сисадмина дешевле, а на мой взгляд спрос на них меньше, чем на популярные сейчас курсы по программированию

GeekBrains
Факультет ИБ
geekbrains.ru/geek_university/security
12 месяцев — 12 500 ₽ / месяц (~ 150 000 ₽ в общем) или 76,22 ₽ /час
Требования: никаких, базис набирается на включенных бесплатных курсах
Факультет Python
geekbrains.ru/geek_university/python
12 месяцев — 12 500 ₽ / месяц (~ 150 000 ₽ в общем) или 76,22 ₽ /час
Требования: никаких, базис набирается на включенных бесплатных курсах
Факультет Java
geekbrains.ru/geek_university/java
12 месяцев — 12 500 ₽ / месяц (~ 150 000 ₽ в общем) или 76,22 ₽ /час
Требования: никаких, базис набирается на включенных бесплатных курсах
Программист Python
geekbrains.ru/professions/python_developer
9 месяцев — 7 666 ₽ / месяц (~ 68 994‬ ₽ в общем) или 46,74 ₽ /час
Требования: никаких, базис набирается на включенных бесплатных курсах
Программист Java
geekbrains.ru/professions/java_developer
7 месяцев — 5 712 ₽ / месяц (~ 39 984‬ ₽ в общем) или 34,83 ₽ /час
Требования: никаких, базис набирается на включенных бесплатных курсах
Системный администратор (нет профессии по ИБ)
geekbrains.ru/professions/sys_admin
7 месяцев — 5 853 ₽ / месяц (~ 40 971‬ ₽ в общем) или 35,69 ₽ /час

Нетология
Python-разработчик
netology.ru/programs/python#/presentation
6 месяцев — 56 900 ₽ или 57,83 ₽ /час
Frontend-разработчик с нуля
netology.ru/programs/front-end#/presentation
10 месяцев — 79 900 ₽ или 48,72 ₽ /час

PentestIT
«Zero Security: A»
www.pentestit.ru/courses/zerosecurity-a
14 дней — 35 000 ₽ или 312,5 ₽ /час
Требования: Общее представление о функционировании сетей, сетевых служб и веб-приложений
www.pentestit.ru/courses/corp-lab
«ПРОФИ»
21 день — 58 500 ₽ или 348,21 ₽ /час
«ЭКСПЕРТ»
29 дней — 97 500 ₽ или 420,26 ₽ /час
«RedTeam»
36 дней — 133 500 ₽ или 463,54 ₽ /час
Требования: Базовые знания функционирования сетей (уровень CCNA или аналогичный);
Понимание принципов работы и построения веб-приложений;
Умение читать техническую документацию;
Опыт разработки и скриптинга будет полезным;

ИНФОРМЗАЩИТА
(Не нашел курсов по пентесту, что напрямую сравнить, но для наглядности возьму комплексные)
Профессиональная переподготовка по направлению «Информационная безопасность»
itsecurity.ru/catalog/pp01
512 часов (~3 месяца) — 120 000 ₽ или 234,38 ₽ /час
Требования: Не нашел
Профессиональная переподготовка по направлению «Информационная безопасность. Техническая защита конфиденциальной информации
itsecurity.ru/catalog/pp03
360 часов (~2 месяца) — 98 000 ₽ или 272,22 ₽ /час
Требования: К освоению Программы допускаются лица, имеющие высшее образование по направлению подготовки (специальности) в области математических и естественных наук, инженерного дела, технологий и технических наук.

Специалист.ru (УЦ при Бауманке)
CEH. Этичный хакинг и тестирование на проникновение (без сертификата)
www.specialist.ru/course/ceh?src=anons
40 ак.ч (~5 дней) — 99 990 ₽ или 2 499,75 ₽ /час
Экзамен Certified Ethical Hacker Exam
www.specialist.ru/exam/312-50
4 часа — 111 310 ₽

Я уже не говорю, о том что курсы по программированию зачастую не требуют никаких базовых знаний и вышки/специалитета за спиной. Да, для того чтобы стать «хорошим разработчиком» понадобится многому научиться, но и чтобы стать хорошим «ИБшником» тоже придется многое познать. И вообще молчу

о...

том что работа в ИБ, если за пределами одного этичного хакинга, придется постоянно учиться за деньги и сдавать сертификаты за деньги, чаще всего эти сертификаты еще и приходиться через небольшой промежуток времени пересдавать за деньги, потому что специфика работы «ИБшником» не предполагает возможность показать свою работу с прежнего места работы, да и на текущем месте тебя не пустят на собеседовании к внутренним системам, а развернутая CentOS+WinServ2012 где-нибудь в облаке с одним антивирусом не расскажет о твоем опыте, а на целый сервер с «нормальной» демо-инфраструктурой нежны деньги и не малые.

Да и в целом, я про разность зарплат сказал только из-за упоминания про важность Информационной безопасности и кадровый голод.

Выплеск эмоций, абсолютно субъективен и ни на кого не направлен!

Серьезно, личный батхёрт, ибо накипело

Ну я предупредил

Знаю что ИБ не приносит добавочной стоимости, нас этому в первый день универа учили, но когда видишь что зп junior разработчика крутиться вокруг 80 тыс.₽, а для ИБ это уровень middle, то мне становится обидно. Ведь вложив те же, или даже меньшие деньги, в свое образование, можно за пол (год, если туго дается предмет) года стать junior разработчиком, нежели доходить до этой же суммы за 3 года, без учета вуза, попутно вкладывая «тонны зелени», либо работая «за еду и сертификаты».

Как мне кажется это вообще что то само собой разумеющееся. Как человек может защищать информацию, если не знает и не понимает каким образом она обрабатывается в ИС и какие технологии/ сервисы / оборудование / протоколы / приложения в ней используются?

Согласен, но далеко не на всех направлениях по «Информационно безопасности» этому учат, еще живо понятие «бумажная безопасность». Да не про то я возмущался, а про то, что «ИБшнику» нужно реально иметь первую работу «сисадмином», иначе будет очень сложно, ибо после ВУЗа максимум может повезти попасть на «госслужбу».

[sigmatik]

Знаю что ИБ не приносит добавочной стоимости, нас этому в первый день универа учили, но когда видишь что зп junior разработчика крутиться вокруг 80 тыс.₽, а для ИБ это уровень middle, то мне становится обидно. Ведь вложив те же, или даже меньшие деньги, в свое образование, можно за пол (год, если туго дается предмет) года стать junior разработчиком, нежели доходить до этой же суммы за 3 года, без учета вуза, попутно вкладывая «тонны зелени», либо работая «за еду и сертификаты».

Извините за грубость, но всем насрать на ваши эмоциональные переживания, это простые законы рынка — хороших разработчиков не очень много и они востребованы, грубо говоря спрос немного выше предложения — так и формируется цена товара ( кадра ) на рынке ( труда ). Отсюда и кадровый голод в сфере ИБ — геморроя и ответственности много, а платят не очень. Потому и желающих работать в этой сфере не так много. Впрочем что касается РФ, в последнее время наблюдаю постепенный рост востребованности специалистов именно в госсекторе. Связано это скорее всего с усилением контроля требований законов о защите информации, персональных данных и относительно нового 187-ФЗ о КИИ. Как минимум нужны люди, которые эти законы понимают и знают как сделать так, чтобы все их требования были выполнены.

[Tollanin]

Присоединяюсь к суждению, что специалист ИБ должен вырасти из сисадмина или девелопера, иначе он всё равно будет вынужден на них паразитировать. И в этом смысле весьма огорчает многочисленность ВУЗ-ов, обучающих по данной специальности, опошлив её до уровня популярного «менеджера по туризму».

[AlexRed]

Интересно, но очень узко. ИБ — это не только пентест и аппсек, а, как указывали выше в комментарии, и аналитика и методология и администрирование и т.д.

[DmitryKoterov]

Сотрудникам коммерческих организаций проще — здесь можно работать с инструментами от Cisco, Palo Alto

Мне вот что интересно: это и правда такая компания есть, “Palo Alto”, или в кадр ворвались куки, спамы, троянские кони?

[intrud3r]

Да есть, при том это одна из Топ компаний по ИБ решениям и не только, я имею ввиду аналитику, всякие исследования и т п