Как перейти в информационную безопасность из другой ИТ-специальности

Информационная безопасность — одно из самых востребованных направлений в ИТ, и перейти в неё из смежной специальности (системное администрирование, разработка, сети, DevOps, поддержка) вполне реально: значительная часть базы у вас уже есть. Но у ИБИнформационная безопасность — Состояние защищённости информации и поддерживающей инфраструктуры от угроз. своя специфика — модель угроз, криптография и, что важно для России, нормативные требования регуляторов. Разберём, какой минимум знаний нужен, какие направления бывают, какое переобучение и переподготовку проходят и какие требования предъявляют к специалистам по ИБ.

Почему ИТ — хороший старт для ИБ

Информационная безопасность строится поверх ИТ-инфраструктуры, поэтому опыт в смежной области переносится напрямую:

• системные администраторы уже знают операционные системы, управление доступом, резервное копирование — это основа защиты;
• сетевые инженеры понимают TCP/IP, маршрутизацию, межсетевые экраны — почти готовый фундамент для сетевой безопасности и мониторинга;
• разработчики знают, как устроены приложения, — это путь в безопасную разработку и анализ защищённости;
• инженеры DevOps и поддержки знакомы с автоматизацией и эксплуатацией — это база для центра мониторинга (SOC) и реагирования на инциденты.

То есть переходят не «с нуля»: меняется не вся профессия, а угол зрения — с «как заставить работать» на «как защитить и что может пойти не так».

Минимальный набор знаний для входа в ИБ

Чтобы начать, стоит подтянуть несколько блоков:

• Основы ИБ. Триада конфиденциальность — целостность — доступность, понятия угрозы, уязвимости и риска, принципы минимизации привилегий и разграничения доступа.
• Модель угроз и уязвимости. Как строится модель угроз ФСТЭК, что такое банк данных угроз (БДУ) и как работать с уязвимостями.
• Сетевая и системная безопасность. Межсетевые экраны, VPN, средства обнаружения вторжений, защита операционных систем, журналирование и мониторинг событий.
• Прикладная криптография. Зачем нужны шифрование и электронная подпись, что такое СКЗИСредство криптографической защиты информации — Шифровальное (криптографическое) средство; применение и учёт регулируют приказы ФСБ. и ключевые документы — без глубокой математики на старте.
• Российская нормативная база. Это важная особенность профессии в России: 152-ФЗ о персональных данных, приказы ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. (№21 для ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств., №117 для ГИСГосударственная информационная система — Информационная система, созданная на основании закона или НПА госоргана; меры защиты — по приказу ФСТЭК., №239 для КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ.), требования по СКЗИ (Инструкция ФАПСИ №152), Указ Президента №250. Российский специалист по ИБ должен знать не только технику, но и регуляторные требования.

Какое направление в ИБ выбрать

ИБ — это не одна профессия, а несколько направлений. Под свой бэкграунд удобно выбрать подходящее:

• Защита информации и комплаенс (документы, ИСПДн, ГИС, КИИ, аттестация, готовность к проверкам) — близко аналитикам и администраторам.
• Техническая защита информации (ТЗКИ) — настройка и сопровождение средств защиты — для сетевых и системных инженеров.
• Мониторинг и реагирование (SOC) — системы сбора событий (SIEMСистема управления событиями информационной безопасности — Класс решений для сбора и корреляции событий ИБ (Security Information and Event Management).), расследование инцидентов — для инженеров DevOps и сетевиков.
• Анализ защищённости и тестирование на проникновение — для тех, кому интересно внутреннее устройство систем.
• Безопасная разработка — естественное продолжение для программистов.
• Криптография и СКЗИ — учёт и эксплуатация криптосредств, электронная подпись — для тех, кто уже работает с ЭПЭлектронная подпись — Информация в электронной форме, присоединённая к документу и подтверждающая подписанта (63-ФЗ). и VPN.

Переобучение и переподготовка: что и сколько

Дополнительное профессиональное образование (ДПО) бывает двух видов, и их важно не путать:

• Профессиональная переподготовка даёт новую квалификацию — это и есть «вход в профессию» для тех, у кого высшее по другому направлению. Минимальный объём программы — 250 часов (порядок ДПО, приказ Минобрнауки №499), а в области ИБ на практике программы рассчитаны на больший объём — порядка 504 часов.
• Повышение квалификации обновляет знания в рамках уже имеющейся квалификации (минимум 16 часов, обычно от 72 до 216 часов). Подходит, когда профильное образование уже есть и нужно освоить конкретную тему.

Если планируете работать в защите информации, на значимых объектах КИИ или у лицензиата ФСТЭК и (или) ФСБФедеральная служба безопасности — Регулятор криптографической защиты информации и взаимодействия с ГосСОПКА., выбирайте программы из перечня организаций, согласованного с ФСТЭК России (публикуется на сайте ФСТЭК России). Примеры таких программ: переподготовка «Информационная безопасность. Техническая защита конфиденциальной информации» (504 часа), «Информационная безопасность. Обеспечение безопасности значимых объектов критической информационной инфраструктуры» (504 часа), повышение квалификации «Обеспечение безопасности персональных данных при их обработке в информационных системах персональных данных» (72 часа). Диплом организации из перечня закрывает образовательную часть требований — и при лицензировании (где помимо образования важны стаж, штат и оснащение), и при проверке соответствия требованиям к специалистам.

Основные требования к специалистам по ИБ

Требования зависят от роли и места работы:

• Профессиональные стандарты Минтруда задают ориентир по образованию и опыту: «Специалист по защите информации в автоматизированных системах», «Специалист по технической защите информации», «Специалист по безопасности компьютерных систем и сетей» и другие. По ним удобно понимать, какой специалист нужен под конкретные задачи.
• Силы безопасности значимых объектов КИИ (приказ ФСТЭК №235): профильное высшее образование по ИБ либо иное высшее с профессиональной переподготовкой по ИБ; повышение квалификации не реже одного раза в 3 года.
• Заместитель руководителя по ИБ (Указ №250 и типовое положение ПП №1272): высшее образование по направлению в области ИБ либо переподготовка по этому направлению.
• Работа у лицензиата: лицензионные требования предполагают штатных специалистов с профильным образованием или переподготовкой и стажем. Для лицензии ФСТЭК по технической защите информации переподготовка — не менее 360 часов; у лицензиата ФСБ по криптосредствам действуют свои требования.

Для многих коммерческих ролей жёсткого требования к диплому именно по ИБ нет, но профильная переподготовка серьёзно повышает шансы и становится обязательной, как только речь заходит о защите информации, КИИ или лицензируемой деятельности. Подробный разбор норм — в статье о квалификационных требованиях к специалистам по ИБ.

С чего начать: пошагово

• подтянуть базу ИБ — триаду, модель угроз, работу с уязвимостями и БДУБанк данных угроз безопасности информации ФСТЭК — Государственный реестр угроз (УБИ) и уязвимостей на bdu.fstec.ru; используется при построении модели угроз., сетевую и системную безопасность;
• изучить российскую нормативную базу — 152-ФЗ, приказы ФСТЭК, требования по СКЗИ (в этом помогут База знаний и библиотека НПА);
• выбрать направление под свой бэкграунд (комплаенс, ТЗКИ, SOC, безопасная разработка, СКЗИ);
• пройти профессиональную переподготовку по ИБ — по программе из перечня ФСТЭК, если планируете работать в защите информации, на КИИ или у лицензиата;
• набирать практику — домашняя лаборатория, стажировки, участие в проектах и разборах инцидентов;
• поддерживать квалификацию — повышение квалификации (для сил безопасности КИИ — не реже одного раза в 3 года).

Главное

Перейти в информационную безопасность из другой ИТ-специальности реально: базовые знания о системах и сетях переносятся напрямую, а добавить нужно основы ИБ (триада, модель угроз, криптография) и — обязательно для России — знание нормативных требований. Для входа в профессию тем, у кого высшее по другому направлению, служит профессиональная переподготовка по «Информационной безопасности» (от 250 часов, в ИБ на практике порядка 504), а формальные требования к специалистам задают профстандарты Минтруда и отраслевые нормы (приказ ФСТЭК №235 для КИИ, Указ №250 для заместителя руководителя по ИБ, лицензионные требования). Программы лучше выбирать из перечня, согласованного с ФСТЭК. Что именно требуется по нормам — в статье о квалификационных требованиях к специалистам по ИБ.