Кто такие специалисты по информационной безопасности и где их искать

Особенности профессии, обзор рынка и каналов подбора

Продолжаем серию материалов об особенностях найма IT-профессионалов. На этот раз разобрались в тонкостях подбора специалистов по информационной и кибербезопасности. В этом нам помогли основатель кадрового агентства SmartyHR Ольга Теленова и Technical Talent Acquisition Specialist в F.A.C.C.T. Ульяна Тарасевич.

Эту статью мы выпустили в двух частях. Перед вами первая часть, где мы рассказываем, чем занимаются специалисты по инфобезу и где их искать. А во второй части углубимся в детали найма и оценки навыков кандидатов.

Специалисты по инфобезу обеспечивают конфиденциальность, целостность и доступность данных. Например, они могут заниматься защитой информации от утечек или несанкционированного доступа.

При этом часть специалистов по информационной безопасности напрямую с IT-сферой не связаны. Физический архив с ценными бумагами тоже нуждается в правильной защите. Для этого разрабатываются нормы и стандарты, за соблюдением которых также следит специалист по информационной безопасности.

В этом материале мы будем говорить о людях, которые защищают цифровые данные и работают в IT-сфере.

Можно выделить две основные группы таких сотрудников:

Схематично взаимоотношений этих сфер деятельности можно изобразить так:

Специалистов по информационной безопасности можно разделить и по другому принципу:

В этой статье Ольга поделилась экспертизой в подборе специалистов по «бумажной безопасности» в системные интеграторы, а Ульяна рассказала, как искать и собеседовать специалистов по практической безопасности для работы в штате компании.

Ольга Теленова:

На специалистов по информационной безопасности крайне высокий спрос. Даже существующие образовательные программы не справляются с поставкой кадров. Во многом ажиотаж объясняется опубликованным в мае 2022 указом президента «О дополнительных мерах по обеспечению информационной безопасности РФ». Этот указ требует от компаний ужесточить политики информационной безопасности, а для этого нужны соответствующие специалисты.

Джунов с опытом от года обычно нанимают во внутренние команды компаний с выстроенной системой наставничества. В системные интеграторы ищут опытных самостоятельных специалистов, которых не придется обучать с нуля. Обычно это профессионалы уровня «джун+» и выше. Они должны уметь быстро переключаться между проектами, погружаться в новые вводные данные, работать в высоком темпе, уверенно чувствовать себя в переговорах.

Специалист из системного интегратора может перейти в любую компанию и легко там адаптироваться. Такие сотрудники обладают универсальным опытом: они взаимодействуют с разными клиентами, работают в высоком темпе, знают много нормативных актов, пишут различную документацию — модели угроз, политики инфозащиты. Консультанты проводят аудит на соответствие требованиям:

В обратную сторону переходы происходят довольно редко. Один из наших заказчиков рассказал, что лишь 10% сотрудников перешли в компанию-интегратор с инхаус-позиций.

Ульяна Тарасевич:

Кроме необходимости ужесточать политики безопасности, многим компаниям приходится открывать внутренние SOC — Security Operation Center. Для этого требуются квалифицированные специалисты.

Сейчас на рынке спрос значительно выше предложения: нанять хорошего разработчика проще, чем специалиста по кибербезопасности. Предполагаю, что из-за дефицита кадров будут увеличиваться зарплатные вилки и перегреется рынок.

В кибербезопасности постоянно появляются новые роли: к SOC-аналитикам, DevSecOps или пентестерам добавляются позиции вроде threat hunter.

Ульяна Тарасевич:

Программы подготовки специалистов по информационной безопасности есть как минимум в 50 вузах России, а также колледжах и техникумах.

В некоторых вузах студенты учатся на направлении «Информационная безопасность» по несколько устаревшим технологиям и доучиваются самостоятельно. В других университетах есть лаборатории от IT-компаний, где они разворачивают свое ПО, а их сотрудники читают лекции и обучают студентов на реальных кейсах. Для студентов также организуют стажировки в этих компаниях с возможностью получить приглашение в штат на позицию джуна. Например, в нашей компании стажировку сейчас проходят 15 человек.

Готовят специалистов и онлайн-школы:

Выпускников онлайн-университетов можно рассматривать на начальные роли в инхаус. Например, мы сотрудничаем с известной образовательной платформой: приглашаем на стажировки людей, которые закончили там обучение. При этом даже с сертификатом о прохождении курсов всем выпускникам требуется усиленная самоподготовка, чтобы претендовать даже на самые младшие позиции. Рекомендую обращать на это внимание при подборе.

Ольга Теленова:

Оклад специалиста по ИБ зависит от компании, опыта работы и компетенций. При этом общий доход консультанта складывается не только из оклада, но и весомых проектных премий.

Приведу примерные оклады по каждому грейду без учета премий:

Ульяна Тарасевич:

В каждом направлении кибербезопасности по-разному определяют необходимый уровень для перехода с грейда на грейд. Я не поддерживаю идею определять уровень специалиста по количеству лет в профессии. Будем говорить о полноте знаний и навыков, применимых к конкретным ролям.

Оклады сильно разнятся в зависимости от задач и проектов. Поэтому я назову очень приблизительные вилки инхаус-специалистов:

Ольга Теленова:

Как правило, мы начинаем подбор в традиционной рекрутерской триаде: Хедхантер, Линкедин, Хабр. Используем внутренний поиск и пишем булевые запросы.

При поиске специалистов по ИБ важно сразу задействовать и другие каналы: конкуренция за кандидатов слишком высока, поэтому надо расширять воронку подбора.

Где еще можно искать кандидатов:

Можно придумывать любые нетривиальные способы. Однажды мы искали кандидатов так:

Особенность поиска специалистов по информационной безопасности в том, что кандидаты могут по-разному называть свое резюме:

Если искать специалистов по названию должности, в выдаче будет много нерелевантных результатов. Поэтому я рекомендую в запросе использовать названия конкретных законов и нормативных актов, которые должны знать такие кандидаты. Например, в качестве ключевого слова можно использовать «152-ФЗ» или «№ 152 ФЗ „О персональных данных“». Можно использовать и формулировки из описания должностных обязанностей, например, «разработка модели угроз».

Ульяна Тарасевич:

Расскажу о нетривиальных каналах поиска.

Часто на позиции сениоров или выше требуются единороги — специалисты, которые хорошо разбираются в определенной области, пишут статьи, отчеты и книги-бестселлеры на эти темы. Приходится искать их контакты через знакомых и профессиональные комьюнити, а потом писать им напрямую.

CTF-соревнования — это состязания по спортивному хакингу. Обычно в таких состязаниях участвуют команды из разнопрофильных специалистов: один решает OSINT-задачи, другой занимается реверсным анализом, третий пишет код, четвертый отвечает за инфраструктуру.

Бывали случаи, когда мы нанимали специалистов целыми командами: выходили на контакт с одним из участников, а он звал за собой всех остальных. Найти команды можно на сайтах соревнований. Самое крупное и горячо любимое мной соревнование — VolgaCTF.

Следите за анонсами и рассылками конкурентов о том, какие технологии они осваивают и что разрабатывают. Например, вы узнали, что некая компания использует такое же решение в сфере инфобеза, что и ваша. Тогда можно попробовать схантить ее сотрудников, если их опыт кажется вам релевантным. Здесь важно, чтобы хантинг был этичным.

Общайтесь со специалистами, которых недавно наняли, узнавайте у них слухи и новости индустрии: кто собирается переходить в другую компанию, кто с какими технологиями работает.

Полезно общаться «на будущее». Если сейчас у вас нет подходящей вакансии, ничего не мешает подружиться с кандидатом, познакомить его с компанией, чтобы оставаться на связи и пригласить на интервью позже.

Наш блог читают более 50 000 рекрутеров и профессионалов HR-индустрии. Подкасты, интервью, тематические статьи и экспертные мнения.

#hr #рекрутинг #hrm #recruiting #найм_сотрудников #подборперсонала #hrm #huntflow #itrecruitment #itrecruiter #recruitment