Квалификационные требования к специалисту по защите информации

Квалификационные требования к специалисту по защите информации

I. Общие положения

1. Раздел «Квалификационные характеристики должностей руководителей и специалистов по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, противодействию техническим разведкам и технической защите информации» Единого квалификационного справочника разработан в соответствии с Законом Российской Федерации от 21 июля 1993 г. N 5485-1 «О государственной тайне» (Собрание законодательства Российской Федерации, 1997, N 41, ст. 4673), Законом Российской Федерации от 5 марта 1992 г. N 2446-1 «О безопасности» (Ведомости Съезда народных депутатов Российской Федерации и Верховного Совета Российской Федерации, 1992, N 15, ст. 769), Федеральным законом от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (Собрание законодательства Российской Федерации, 2006, N 31 (ч. I), ст. 3448), Федеральным законом от 27 декабря 2002 г. N 184-ФЗ «О техническом регулировании» (Собрание законодательства Российской Федерации, 2002, N 52 (ч. I), ст. 5140), Федеральным законом от 8 августа 2001 г. N 128-ФЗ «О лицензировании отдельных видов деятельности» (Собрание законодательства Российской Федерации, 2001, N 33 (ч. I), ст. 3430), Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 «Вопросы Федеральной службы по техническому и экспортному контролю» (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541) и иными нормативными правовыми актами Российской Федерации и состоит из трех разделов: I — «Общие положения»; II — «Должности руководителей»; III — «Должности специалистов».

2. Квалификационные характеристики должностей руководителей и специалистов по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, противодействию технической разведке и технической защите информации (далее — квалификационные характеристики) предназначены для решения вопросов, связанных с регулированием трудовых отношений, управления персоналом организаций в сфере компетенции Федеральной службы по техническому и экспортному контролю (ФСТЭК России) независимо от форм собственности и организационно-правовых форм.

Квалификационные характеристики призваны способствовать правильному подбору и расстановке кадров, повышению их деловой квалификации, рациональному разделению труда, созданию действенного механизма разграничения функций, полномочий и ответственности между указанными категориями работников, а также установлению единых подходов в определении их должностных обязанностей и предъявляемых к ним квалификационных требований.

3. Квалификационные характеристики могут применяться в качестве нормативных документов или служить основой для разработки должностных инструкций, содержащих конкретный перечень должностных обязанностей работников с учетом особенностей организации производства, труда и управления, а также их прав и ответственности. При необходимости должностные обязанности, включенные в квалификационную характеристику определенной должности, могут быть распределены между несколькими исполнителями.

При разработке должностных инструкций допускается уточнение перечня работ, которые свойственны соответствующей должности в конкретных организационно-технических условиях, и установление требований к необходимой специальной подготовке работников.

4. Квалификационная характеристика каждой должности имеет три раздела: «Должностные обязанности», «Должен знать», «Требования к квалификации».

В разделе «Должностные обязанности» установлены основные трудовые функции, которые могут быть поручены полностью или частично работнику, занимающему данную должность, с учетом технологической однородности и взаимосвязанности работ, позволяющих обеспечить оптимальную специализацию служащих.

В разделе «Должен знать» содержатся основные требования, предъявляемые к работнику в отношении специальных знаний, а также знаний законодательных и иных нормативных правовых актов, положений, инструкций и других документов, методов и средств, которые работник должен применять при выполнении должностных обязанностей.

В разделе «Требования к квалификации» определены уровень профессиональной подготовки работника, необходимый для выполнения должностных обязанностей, требования к прохождению повышения квалификации и квалификационной аттестации, а также требования к стажу работы. Уровни требуемой профессиональной подготовки, указанные в разделе «Требования к квалификации», приведены в соответствии с Законом Российской Федерации «Об образовании» от 10 июня 1992 г. N 3266-1 (Собрание законодательства Российской Федерации, 1996, N 3, ст. 150).

Квалификационные характеристики предусматривают сертификацию соответствия руководителей и специалистов по видам их деятельности требованиям законодательных и иных нормативных правовых актов.

5. В квалификационных характеристиках должностей специалистов предусматривается в пределах одной и той же должности без изменения ее наименования внутридолжностное квалификационное категорирование по оплате труда.

6. Применение должностного наименования «старший» возможно при условии, если работник наряду с выполнением обязанностей, предусмотренных по занимаемой должности, осуществляет руководство подчиненными ему исполнителями. Должность «старшего» может устанавливаться в виде исключения и при отсутствии исполнителей в непосредственном подчинении работника, если на него возлагаются функции руководства самостоятельным участком работы. Для должностей специалистов, по которым предусматриваются квалификационные категории, должностное наименование «старший» не применяется. В этих случаях функции руководства подчиненными исполнителями возлагаются на специалиста I квалификационной категории.

Должностные обязанности «ведущих» устанавливаются на основе квалификационных характеристик соответствующих должностей специалистов. Кроме того, на них возлагаются функции руководителя и ответственного исполнителя работ по одному из направлений деятельности организации или ее структурных подразделений либо обязанности по координации и методическому руководству группами исполнителей, создаваемыми в отделах (бюро), с учетом рационального разделения труда в конкретных организационно-технических условиях. Требования к стажу работы повышаются на 1 — 2 года по сравнению со стажем, предусмотренным для специалистов I квалификационной категории.

Должностные обязанности, требования к знаниям и квалификации заместителей руководителей структурных подразделений определяются на основе характеристик соответствующих должностей руководителей.

Специалист по защите информации

Должностные обязанности. Выполняет сложные работы, связанные с обеспечением комплексной защиты информации на основе разработанных программ и методик, соблюдения государственной тайны. Проводит сбор и анализ материалов учреждений, организаций и предприятий отрасли с целью выработки и принятия решений и мер по обеспечению защиты информации и эффективному использованию средств автоматического контроля, обнаружения возможных каналов утечки сведений, представляющих государственную, военную, служебную и коммерческую тайну. Анализирует существующие методы и средства, применяемые для контроля и защиты информации, и разрабатывает предложения по их совершенствованию и повышению эффективности этой защиты. Участвует в обследовании объектов защиты, их аттестации и категорировании. Разрабатывает и подготавливает к утверждению проекты нормативных и методических материалов, регламентирующих работу по защите информации, а также положений, инструкций и других организационно-распорядительных документов. Организует разработку и своевременное представление предложений для включения в соответствующие разделы перспективных и текущих планов работ и программ мер по контролю и защите информации. Дает отзывы и заключения на проекты вновь строящихся и реконструируемых зданий и сооружений и другие разработки по вопросам обеспечения защиты информации. Участвует в рассмотрении технических заданий на выполнение эскизных, технических и рабочих проектов, обеспечивает их соответствие действующим нормативным и методическим документам, а также в разработке новых принципиальных схем аппаратуры контроля, средств автоматизации контроля, моделей и систем защиты информации, оценке технико-экономического уровня и эффективности предлагаемых и реализуемых организационно-технических решений. Определяет потребность в технических средствах защиты и контроля, составляет заявки на их приобретение с необходимыми обоснованиями и расчетами к ним, контролирует их поставку и использование. Осуществляет проверку выполнения требований межотраслевых и отраслевых нормативных документов по защите информации.

Должен знать: законодательные акты, нормативные и методические материалы по вопросам, связанным с обеспечением защиты информации; специализацию учреждения, организации и особенности их деятельности; технологию производства в отрасли; оснащенность вычислительных центров техническими средствами, перспективы их развития и модернизации; систему организации комплексной защиты информации, действующую в отрасли; методы и средства контроля охраняемых сведений, выявления каналов утечки информации, организацию технической разведки; методы планирования и организации проведения работ по защите информации и обеспечению государственной тайны; технические средства контроля и защиты информации, перспективы и направления их совершенствования; методы проведения специальных исследований и проверок, работ по защите технических средств передачи, обработки, отображения и хранения информации; порядок пользования реферативными и справочно-информационными изданиями, а также другими источниками научно-технической информации; достижения науки и техники в стране и за рубежом в области технической разведки и защиты информации; методы и средства выполнения расчетов и вычислительных работ; основы экономики, организации производства, труда и управления; основы трудового законодательства; правила и нормы охраны труда.

Смотрите так же:  Как изменилась страховка на автомобиль

Требования к квалификации.

Специалист по защите информации I категории: высшее профессиональное (техническое) образование и стаж работы в должности специалиста по защите информации II категории не менее 3 лет.

Специалист по защите информации II категории: высшее профессиональное (техническое) образование и стаж работы в должности специалиста по защите информации или других должностях, замещаемых специалистами с высшим профессиональным образованием, не менее 3 лет.

Специалист по защите информации: высшее профессиональное (техническое) образование без предъявления требования к стажу работы.

Комментарии к должности

Приведенные выше квалификационные характеристики должности «Специалист по защите информации» предназначены для решения вопросов, связанных с регулированием трудовых отношений и обеспечением эффективной системы управления персоналом в различных организациях. На основе этих характеристик разрабатывается должностная инструкция специалиста по защите информации, содержащая права и ответственность работника, а также конкретный перечень его должностных обязанностей с учетом особенностей организации и управления деятельностью предприятия (учреждения).

При составлении должностных инструкций руководителей и специалистов необходимо учесть общие положения к данному выпуску справочника и введение с общими положениями к первому выпуску справочника должностей.

Обращаем ваше внимание на то, что одинаковые и схожие наименования должностей могут встречаться в разных выпусках ЕКС. Найти схожие названия можно через справочник должностей (по алфавиту).

ЕКСД — Специалист по технической защите информации

ЕКСД 2018. Редакция от 9 апреля 2018 года (в т.ч. с изменениями вступ. в силу 01.07.2018)
Для поиска утвержденных профстандартов минтруда РФ используйте справочник профстандартов

Специалист по технической защите информации

Должностные обязанности. Выполняет работы по технической защите информации в организациях. Проводит работы по выявлению угроз безопасности информации, определению возможности технической разведки и проведению мероприятий технической защиты информации. Участвует в категорировании объектов информатизации, выявлении угроз безопасности информации и технических каналов утечки информации, работах по проведению специальных проверок и специальных исследований объектов информатизации. Разрабатывает предложения по размещению основных и вспомогательных технических средств и систем с соблюдением установленных норм технической защиты информации. Организует и проводит (при необходимости) мероприятия по технической защите информации при размещении сторонних организаций в пределах контролируемой зоны. Участвует в обследовании объектов информатизации, их категорировании и аттестации. Разрабатывает и готовит к утверждению проекты нормативных и методических документов, регламентирующих работу по технической защите информации, акты проверки, протоколы испытаний, предписания на право эксплуатации, а также положения, инструкции и другие организационно-распорядительные документы. Участвует в определении потребности в средствах технической защиты информации, составляет заявки на их приобретение с необходимыми обоснованиями и расчетами к ним, контролирует их поставку и использование. Осуществляет проверку выполнения требований нормативных документов по технической защите информации.

Должен знать: законы и иные нормативные правовые акты Российской Федерации, регулирующие отношения, связанные с защитой государственной тайны и иной информации ограниченного доступа, нормативные и методические документы по вопросам, связанным с обеспечением защиты информации, методы и средства выявления угроз безопасности информации, способы выявления каналов утечки информации, специализацию, основы технологических процессов производства организации и последствия их нарушения, структуру управления, связи и автоматизации, оснащенность объектов информатизации организации основными и вспомогательными техническими средствами и системами, перспективы их развития и модернизации, достижения науки и техники в стране и за рубежом в области технических разведок и технической защиты информации, перспективы и направления развития технических и программно-аппаратных средств защиты информации, порядок и содержание специальных исследований и контрольных проверок, работ по категорированию, аттестации объектов информатизации и других работ по технической защите информации, методы планирования работ по технической защите информации, методы проведения научных исследований, разработок по технической защите информации, документацию, разрабатываемую на объектах информатизации по технической защите информации, правила разработки и подготовки к утверждению проектов нормативных и методических документов, регламентирующих работу по технической защите информации, составления актов проверки, протоколов испытаний, предписаний на право эксплуатации средств технической защиты информации, а также положений, инструкций и других документов в области технической защиты информации, структуру, назначение, задачи, полномочия отдела по вопросам технической защиты информации, порядок применения штатных средств технической защиты информации и контроля ее эффективности, подсистемы разграничения доступа, подсистемы обнаружения атак, методы анализа результатов проверок, учета нарушений требований по технической защите информации, порядок подготовки предложений, методы и средства выполнения вычислительных работ в интересах планирования, организации и проведения работ по технической защите информации, порядок создания защищенных каналов между взаимодействующими объектами через систему общего пользования с использованием выделенных каналов связи, порядок осуществления аутентификации взаимодействующих объектов, проверки подлинности отправителя и целостности передаваемых через систему общего пользования данных, порядок пользования реферативными и справочно-информационными изданиями, а также другими источниками научно-технической информации, достижения науки и техники в стране и за рубежом в области технической разведки и технической защиты информации, основы трудового законодательства, правила по охране труда и пожарной безопасности.

Требования к квалификации.

Специалист по технической защите информации I категории: высшее профессиональное образование по специальности «Информационная безопасность» и стаж работы в должности специалиста по технической защите информации II категории не менее 3 лет.

Специалист по технической защите информации II категории: высшее профессиональное образование по специальности «Информационная безопасность» и стаж работы в должности специалиста по технической защите информации или на других должностях, замещаемых специалистами с высшим профессиональным образованием, не менее 3 лет.

Специалист по технической защите информации: высшее профессиональное образование по специальности «Информационная безопасность» без предъявления требования к стажу работы.

Вакансии для должности Специалист по технической защите информации по общероссийской базе вакансий -> Найти

Требования к специалистам по информационной безопасности

Сгруппировал с hh.ru требования. Пробежал дет 40-50 вакансий по нашему профилю с зп выше 50к рублей. Убрал стаж (почти везде 1 или 2 года) и образование (почти везде высшее профильное). Еще много где требовался английский язык на уровне понимания тех.документации. Ну и убрал всякие там «коммуникабельности». В сумме что-то такое получилось:

1. Знание основных требований:
— ГОСТ-ов 34.х
— ГОСТ-ов 19.х
— документов МО РФ
— ЕСКД
— ЕСПД
— СниП, к проектной документации и др. стандартов оформления документов
— РД ФСТЭК
— РД ФСБ
— РД по ИСПДн
— СТО БР ИББС
— ISO 27.x
— ISO 17799
— ISO 13335

Должностная инструкция специалиста по защите информации

I. Общие положения

— специалиста по защите информации назначается лицо, имеющее высшее профессиональное (техническое) образование без предъявления требований к стажу работы;

— специалиста по защите информации II категории — лицо, имеющее высшее профессиональное (техническое) образование и стаж работы в должности специалиста по защите информации или других должностях, замещаемых специалистами с высшим профессиональным образованием не менее 3 лет;

Смотрите так же:  Имеет ли право полицейский задержать

— специалиста по защите информации I категории — лицо, имеющее высшее профессиональное (техническое) образование и стаж работы в должности специалиста по защите информации II категории не менее 3 лет.

2. Назначение на должность специалиста по защите информации и освобождение от нее производится приказом директора предприятия по представлению начальника отдела по защите информации.

3. Специалист по защите информации должен знать:

3.1. Законодательные акты, нормативные и методические материалы по вопросам, связанным с обеспечением защиты информации.

3.2. Специализацию предприятия и особенности его деятельности.

3.3. Технологию производства в отрасли.

3.4. Оснащенность вычислительных центров техническими средствами, перспективы их развития и модернизации.

3.5. Систему организации комплексной защиты информации, действующей в отрасли.

3.6. Методы и средства контроля охраняемых сведений, выявления каналов утечки информации, организацию технической разведки.

3.7. Методы планирования и организации проведения работ по защите информации и обеспечению государственной тайны.

3.8. Технические средства контроля и защиты информации, перспективы и направления их совершенствования.

3.9. Методы проведения специальных исследований и проверок, работ по защите технических средств передачи, обработки, отображения и хранения информации.

3.10. Порядок пользования реферативными и справочно-информационными изданиями, а также другими источниками научно-технической информации.

3.11. Достижения науки и техники в стране и за рубежом в области технической разведки и защиты информации.

3.12. Методы и средства выполнения расчетов и вычислительных работ.

3.13. Основы экономики, организации производства, труда и управления.

3.14. Основы трудового законодательства.

3.15. Правила и нормы охраны труда, техники безопасности, производственной санитарии и противопожарной защиты.

4. Специалист по защите информации подчиняется непосредственно (начальнику отдела по защите информации; гласному специалисту по защите информации)

5. На время отсутствия специалиста по защите информации (отпуск, болезнь, пр.) его обязанности исполняет лицо, назначенное в установленном порядке. Данное лицо приобретает соответствующие права и несет ответственность за надлежащее исполнение возложенных на него обязанностей.

II. Должностные обязанности

Специалист по защите информации:

1. Выполняет сложные работы, связанные с обеспечением комплексной защиты информации на основе разработанных программ и методик, соблюдения государственной тайны.

2. Проводит сбор и анализ материалов учреждений, организаций и предприятий отрасли с целью выработки и принятия решений и мер по обеспечению защиты информации и эффективному использованию средств автоматического контроля, обнаружения возможных каналов утечки сведений, представляющих государственную, военную, служебную и коммерческую тайну.

3. Анализирует существующие методы и средства, применяемые для контроля и защиты информации, и разрабатывает предложения по их совершенствованию и повышению эффективности этой защиты.

4. Участвует в обследовании объектов защиты, их аттестации и категорировании.

5. Разрабатывает и подготавливает к утверждению проекты нормативных и методических материалов, регламентирующих работу по защите информации, а также положений, инструкций и других организационно-распорядительных документов.

6. Организует разработку и своевременное представление предложений для включения в соответствующие разделы перспективных и текущих планов работ и программ мер по контролю и защите информации.

7. Дает отзывы и заключения на проекты вновь строящихся и реконструируемых зданий и сооружений и другие разработки по вопросам обеспечения защиты информации.

8. Участвует в рассмотрении технических заданий на проектирование, эскизных, технических и рабочих проектов, обеспечивает их соответствие действующим нормативным и методическим документам, а также в разработке новых принципиальных схем аппаратуры контроля, средств автоматизации контроля, моделей и систем защиты информации, оценке технико-экономического уровня и эффективности предлагаемых и реализуемых организационно-технических решений.

9. Определяет потребность в технических средствах защиты и контроля, составляет заявки на их приобретение с необходимыми обоснованиями и расчетами к ним, контролирует их поставку и использование.

10. Осуществляет проверку выполнения требований межотраслевых и отраслевых нормативных документов по защите информации.

Специалист по защите информации имеет право:

1. Знакомиться с проектами решений руководства предприятия, касающихся его деятельности.

2. Вносить на рассмотрение руководства предложения по совершенствованию работы, связанной с предусмотренными настоящей инструкцией обязанностями.

3. В пределах своей компетенции сообщать своему непосредственному руководителю о всех выявленных в процессе осуществления должностных обязанностей недостатках в деятельности предприятия (его структурных подразделениях) и вносить предложения по их устранению.

4. Запрашивать лично или по поручению своего непосредственного руководителя от специалистов подразделений информацию и документы, необходимые для выполнения его должностных обязанностей.

5. Привлекать специалистов всех (отдельных) структурных подразделений к решению задач, возложенных на него (если это предусмотрено положениями о структурных подразделениях, если нет — то с разрешения их руководителей).

6. Требовать от своего непосредственного руководителя, руководства предприятия оказания содействия в исполнении им своих должностных обязанностей и прав.

Специалист по защите информации несет ответственность:

1. За ненадлежащее исполнение или неисполнение своих должностных обязанностей, предусмотренных настоящей должностной инструкцией — в пределах, определенных действующим трудовым законодательством Российской Федерации.

2. За правонарушения, совершенные в процессе осуществления своей деятельности — в пределах, определенных действующим административным, уголовным и гражданским законодательством Российской Федерации.

3. За причинение материального ущерба — в пределах, определенных действующим трудовым и гражданским законодательством Российской Федерации.

// Должностная инструкция предоставленна порталом www. it-rabota .ru

Квалификационные требования к специалисту по защите информации

Несмотря на высокую популярность профессии, обилие информационных ресурсов и материалов в открытом доступе рынок испытывает нехватку квалифицированных кадров, особенно связанных с практической информационной безопасностью.

В данной статье будет раскрыта тема востребованности специалистов по информационной безопасности, специфика требований и навыков.

По статистике одного из HR-агенств, специалистам по информационной безопасности в конце 2015 г. предлагали в среднем на 21% больше, чем в январе 2015 г. Это указывает на то, что даже в условиях кризиса квалифицированные специалисты востребованы, более того, рынок ощущает их нехватку.

Действительно, тема информационной безопасности стала как никогда актуальной — это и набирающие обороты (по уровню ущерба и частоте) атаки банковского сектора (SWIFT, корреспондентские счета), увеличивающееся количество таргетированных атак (Advanced Persistent Threat, APT) и т.д.

Даже те компании, штат которых укомплектован специалистами по информационной безопасности, нуждаются в квалифицированной оценке зрелости защитных систем, безопасности периметра, веб-приложений и иных элементов инфраструктуры — показательно всё увеличивающееся количество инициаторов BugBounty программ, причём сумма выплат колеблется от $100 до $20000 за уязвимость.

Исходя из данных, представленных на сайтах по размещению вакансий средний уровень заработной платы специалистов по информационной безопасности с опытом 1-3 года находится на уровне 40.000-70.000 рублей. Это относится к специалистам начальной группы (junior), с малым опытом работы, по профессиональным требованиям и обязанностям это хорошо видно (здесь и далее представлены «усреднённые» показатели):

Обязанности:

  • Администрирование межсетевых экранов Cisco ASA и Kerio Connect;
  • Администрирования сервера антивирусной защиты, мониторинг состояния клиентов, удаление вирусов, тонкая настройка защиты;
  • Поиск уязвимостей с помощью специализированного ПО и их устранение;
  • Мониторинг выхода обновлений для ОС, ПО и сетевого оборудования;
  • Настройка и управление коммутационным оборудованием;
  • Написание скриптов оптимизации управления системами безопасности;
  • Управление инфраструктурой предоставления доступов;
  • Периодический анализ логов.

Требования:

  • Опыт администрирования ОС Windows от 1-го года;
  • Базовые знания ОС Linux от 1-го года, уверенная работа в командной строке;
  • Базовые знания работы сетей. IP адресация, статическая маршрутизация, модели ISO OSI, TCP;
  • Опыт администрирования Active Directory: настройка групповых политик(GPO), управление правами пользователями;
  • Опыт настройки систем защиты от НСД на базе Windows;
  • Опыт настройки антивирусных систем;
  • Опыт разработки сложных конфигураций межсетевого экрана IPTables;
  • Умение настраивать Apache2, nginx, Auditd, MySQL, PostgreSQL, Rsyslog.
Смотрите так же:  Можно оформить кредитную карту в сбербанке

Как видно из описания это скорее системный администратор с уклоном в ИБ, нежели «чистый» безопасник. Какую-то определенную конкретику в навыках выделить сложно. Кто ищет кандидатов — компании любой направленности, выделить область сложно.

Специалисты с опытом 3-6 лет относятся уже к middle. Навыков и опыта требуется больше, но и уровень заработной платы гораздо выше. Эти специалисты, как правило, имеют хороший технический бэкграунд (системное администрирование, поиск узявимостей), хорошо знают приложения, техники и методологию. Этих специалистов условно можно разделить на два направления — нападение и защита. Универсалов на этом уровне (пентестер + специалист по обеспечению ИБ) — практически не бывает в природе (либо это уже уровень senior). Средняя вилка — 70.000-100.000 рублей.

Специалист по защите информации:

Обязанности:

  • Настройка и управление подсистемами безопасности;
  • Управление инцидентами безопасности;
  • Настройка и управление коммутационным оборудованием;
  • Написание скриптов оптимизации управления системами безопасности;
  • Управление инфраструктурой предоставления доступов;
  • Анализ логов-файлов и журналов событий;
  • Участие в сопровождении IT-инфраструктуры Заказчика: обеспечение информационной безопасности и защиты персональных данных;
  • Мониторинг и контроль функционирования средств обеспечения ИБ;
  • Поддержка работоспособности, администрирование и обеспечение бесперебойной работы специальных средств защиты информации;
  • Внесение изменений в настройки средств обеспечения безопасного межсетевого взаимодействия при обнаружении признаков атаки на ВС;
  • Контроль нештатной активности внутренних пользователей ВС;
  • Анализ инцидентов ИБ и их решение;
  • Проведение аудитов, подготовка организационно-распорядительной документации и отчетов по ИБ.

Требования:

  • Высшее образование (ИТ, информационная безопасность);
  • Знание принципов построения и функционирования сетей и протоколов стека TCP/IP;
  • Знание модели ISO/OSI;
  • Понимание принципов компьютерной и сетевой безопасности, безопасности web- приложений;
  • Знание принципов работы средств обеспечения безопасности (корпоративные антивирусы,WAF, системы обнаружения вторжений и т.д.);
  • Windows и Linux на уровне администратора;
  • Опыт автоматизации (bash, perl, python);
  • Опыт проведения анализа защищенности;
  • Профессиональные знания используемого в инфраструктуре работодателя профильного ПО (от корпоративных антивирусов до DLP/IDS/IPS/SIEM и т.д).

Пентестер:

Обязанности:

  • Выполнение тестирования информационных сред и программных продуктов компании;
  • Тестирование информационных систем на отказоустойчивость;
  • Инструментальный анализ информационных систем;
  • Выявление актуальных угроз по классификации OWASP TOP 10, выработка компенсирующих мер;
  • Тестирование на проникновение;
  • Анализ безопасности исходных кодов программных продуктов.

Требования

  • Опыт работы по выявлению уязвимостей систем;
  • Опыт работы с Burp Suite, Hydra;
  • Опыт работы SQLMap, OpenVAS, Metasploit Framework, Fortify, AppScan;
  • Опыт работы Acunetix, w3af, X-Spider, Max-Patrol, Nmap;
  • Знание принципов построения и работы веб-приложений;
  • Знание типовых угроз и уязвимостей веб-приложений, перечисленных в OWASP Top 10;
  • Навыки ручного и автоматизированного тестирования безопасности веб-приложений;
  • Опыт проведения тестирования на проникновение;
  • Опыт проведения аудита систем ИТ и ИБ.

В требованиях к таким специалистам больше конкретики, заточенной на область применения в той или иной сфере, включая методологии и тип используемого программного обеспечения. Таких специалистов ищут представители e-commerce, финансового сектора, интеграторы, крупные/распределенные ритейл-компании и т.д.

Cпециалисты с опытом работы от 5-6 лет — senior. Как правило это руководящая должность — начальник отдела анализа защищенности; начальник отдела управления информационной безопасности; аналитик; крупный сейл ИБ-вендора; узскопециализированный пентестер. Уровень заработной платы от 120.000 до 200.000 рублей.

Людей из этой категории довольно мало, и, как правило, они «на слуху» в отрасли. Это специалисты, хорошо разбирающиеся в предметной области, и, как правило, имеющие экспертную квалификацию в узкой специализации. Приветствуется опыт выступления на конференциях либо другая общественная активность — значит кандидат следит за трендами и получает своевременную оценку профессионального сообщества.

Из требований здесь встречаются следующие:

  • Высшее ИБ/ИТ образование;
  • Наличие сертификатов;
  • Наличие публикаций и статей в предметной области;
  • Опыт публичных выступлений;
  • Знание основных методик, классификаций и международных практик (OSSTMM, OWASP, WASC, NIST SP800-115 и др.);
  • Навыки выявления угроз ИБ на основе сведений об уязвимостях (классификация угроз, формирование рекомендаций по устранению уязвимостей и минимизации бизнес-рисков);
  • Знание нормативной базы в части защиты информации: законов и иных нормативных правовых актов РФ, регулирующих отношения, связанные с защитой информации ограниченного доступа (не относящейся к гостайне), руководящих документов ФСТЭК, ФСБ, в том числе по защите банковской тайны, АСУ ТП, коммерческой тайны, знание СТО БР ИББС, PCI DSS, ISO 27xxx;
  • Английский язык;
  • Наличие лидерских качеств, умение добиваться поставленных целей, инициативность, активность, навыки самоорганизации, ответственность;
  • Умение программировать на одном или нескольких скриптовых языках;
  • Экспертные знания профильного ПО (IBM Qradar, Splunk Enterprise, Imperva DAM, Maxpatrol, Symantec Critical System Protection, Tuffin, Gigamon Networks и Cisco ASA. и т.д);
  • Экспертные знания в узкоспециализированных системах: (например SCADA/ERP/SS7/Hardware);
  • Опыт разработки собственных средств/утилит/методик;
  • Опыт разработки технической и аналитической документации;
  • Опыт проведения статистических исследований;
  • Опыт расследования инцидентов безопасности, сбор доказательной базы, форензика;
  • Опыт участия в крупных проектах по анализу защищенности или аудиту информационной безопасности.

Требования представлены в усредненном варианте для вышеперечисленных специалистов. Профессиональные навыки соискателя, как правило, известны и таких людей «хантят» не под определенную задачу, а под целый этап или уровень жизнедеятельности компании. Такого рода специалисты востребованы в финансовой сфере, ИТ-интеграторах, ИБ-вендорах, крупных ИТ-компаниях.

Вершина пирамиды (lead) — специалисты с опытом от 10 лет. К этой категории относятся CTO, CISO, системный архитектор, team lead. Уровень зарплаты от 200.000. Как правило, это известные люди в отрасли информационной безопасности, с обширным опытом и связями.

Требования/навыки: здесь обычно смотрят на выполненные проекты, направление деятельности. По навыкам могут запросить полный список с предыдущих позиций (а он обычно обширный к этому этапу), либо просто будет указан необходимый результат работы. В случае этих позиций смотрят уже не на знания, а на достижения.

Такие специалисты требуются крупным интеграторам, ИБ-вендорам, крупнейшим технологическим компаниям, финансовой сфере, в государственном секторе.

Защита информации для участников рынка становится одной из приоритетных задач. Обеспечить такую защиту только автоматизированными средствами, практически невозможно. Востребованность специалистов в сфере ИБ растет с той же скоростью, с которой развиваются и сами информационные технологии.

Проблема образования и дальнейшего трудоустройства заключается в извечной проблеме «нет работы, потому что нет опыта, потому, что нет работы…» и читать эту фразу можно по кругу бесконечно. Общепризнанный факт, что диплом сам по себе не дает приоритета. К моменту выпуска бОльшая часть знаний уже не котируется.

Наиболее быстрый и удачный выход из ситуации – самообразование.