Один из топовых вопросов, который сейчас звучит на всех уровнях, начиная с вице-премьера и министра цифровизации, это – острая нехватка кадров в ИТ и ИБ отраслях. О кадровых проблемах в ИБ говорят практически на всех конференциях за последние 3 года, в том числе на тех шести, на которых я побывал в феврале-апреле. Предлагаю явно сформулировать тезисы про основные кадровые проблемы в ИБ, изложить их системно.

Кадровые проблемы в ИБ — что на слуху

А на слуху два основных:

1. Нехватка кадров.
2. Нехватка квалифицированных кадров или претензии к уровню подготовки выпускников.

Второй вопрос я бы разделил, так как, строго говоря, это не одно и то же, ведь далеко не все вакансии закрываются выпускниками и даже самый квалифицированный из выпуска может через несколько лет оказаться не соответствующим новым требованиям.

Но многие проблемы, являющиеся причинами или следствием этих двух, можно и важно выделить, сформулировать.

Решительно размежеваться

А в каких конкретно областях и направлениях ИБ есть проблемы с кадрами? И для каких специальностей? 
Про нехватку каких специальностей мы не слышим? На какие должности практически не бывает вакансий?

Для чего это важно?

Выделить специальности (должности, вакансии) по образованию и профессии важно, чтобы верно посчитать и сопоставить предложение и спрос на рынке труда.

Нехватка — как измерили?

Действительно, как? Сравнили количество выпускников за определенный период (в соответствии с образовательными стандартами по ИБ) с вакансиями на hh и других подобных сайтах?

То есть вузы и ссузы выпускают меньше чем необходимо? Для каких отраслей?

Объявлений о поиске работы меньше, чем вакансий? Причем с разбивкой по специальностям.

Кстати, как с заполняемостью вакансий в гос-органах и еще ряде отраслей, которые подают заявки в соответствующую комиссию и на базе этих заявок формируются планы по бюджетным местам в образовательных учреждениях?

Считали, сколько людей, разместивших вакансию, отказывается от собеседований или не приходит второй раз?

Сколько откликнувшихся на вакансию не приглашают или не приглашаются после собеседования?

Считают по времени, когда свыше определенного периода не могут заполнить вакансию ИБ?

Какая в организациях и отраслях текучка кадров ИБ? Какие причины?

Я сталкивался с ситуациями, когда:

• выпускники кафедр ИБ идут не в ИБ, а в разработку, потому, что там больше платят и больше перспектив роста;
• опытные специалисты не идут в ИБ, особенно из ИТ, потому, что не хотят стать «козлами отпущения» — они прекрасно понимают, что на первом месте бизнес или реализация основного функционала организаций, потом уже — безопасность, даже есть ресурсы — у них не приоритет, а в случае инцидента чаще всего увольняют именно безопасников.

После того, как задали вопросы, посмотрим какие есть специальности.

Кого считать?

Важно отделить ИТ от ИБ, понимая, что в общественном понимании пересечение здесь получается в части защиты автоматизированных (информационных, компьютерных) систем, ИТКС от несанкционированного доступа (компьютерной безопасности, кибербезопасности).

Отделить, например, через профессиональные (ПС) и образовательные стандарты, хотя в полной мере все профессии что в ИБ-отрасли, что в ИТ-отрасли они не описывают.

К тому же, есть специальности вне отрасли или подходящие для обеих. Например, разработчик ПО. Считать её в ИТ? А если разработчик работает у вендора СЗИ, имеющего соответствующие лицензии ФСТЭК России и/или ФСБ России? 
То есть возможно разделение как по стандартам — то есть по направлению обучения или обязанностям (вместе с требованиями к уровню знаний, умений и навыков), так и по объекту (предмету) приложения сил.

Перечень образовательных стандартов можно найти в различных источниках, кроме того, вместе с интересными данными исследования он представлен в аналитическом отчёте центра кибербезопасности НТИ Энерджинет в 2023 году.

Также к ИБ в рамках её раздела «техническая защита информации» относятся профессии, связанные с противодействием утечке информации по техническим каналам.

По сути, специальности в ИБ, еще точнее, в ТЗИ в терминах ПП-79, ПП- 171 и ПП-313, можно разбить с точки зрения объектов:

• средства обеспечения ИБ, в т.ч. средства защиты информации (не буду здесь спорить и пояснять, но, например, антифрод и антифишинг впрямую к ТЗИ не отнесешь);
• объекты информатизации (АС, ЗП и т.д.), в состав которых входят СИБ (СЗИ).

И по направлениям лицензирования деятельности.

С моей точки зрения, разбивать профессии удобнее с точки зрения жизненного цикла системы, причём получается захватить и нелицензируемые виды деятельности. Предложу на таком уровне абстракции.

Для СИБ (СЗИ) это:

• Архитектор;
• Разработчики;
• Тестировщики:
  - внутренние;
  - совместимость с другими СЗИ, ОС и т.п.;
  - внешние — пен-тесты.
• Специалисты по сертификации;
• Специалисты по уязвимостям (классификация, управление и т.п.);
• Внедренцы (обычно, как практики, так и методисты со стороны вендора);
• Специалисты по технической поддержке.

Классификация высокоуровневая и довольно условная, те же знания и навыки работы с уязвимостями требуются и специалистам по сертификации, и тестировщикам, и разработчикам. Но для исследования по нехватке кадров и сопоставления с вакансиями вполне подойдёт, специфические по объектам, языкам и т.п. вакансии будут попадать в укрупненные группы.

Для объектов информатизации:

• Проектировщики подсистем ИБ/ЗИ или систем в защищенном исполнении (сюда же отнесу специалистов по разработке требований к системам, т.к. обычно всё ложится на них, от заказчиков в лучшем случае поступают акты классификации и модели угроз).
• Внедренцы (установка, монтаж, настройка, наладка и т.п. ПО, ПАК, в т.ч. вспомогательных технических средств).
• Испытания (приёмка, совместимость, аттестация).
• Эксплуатация, в т.ч. SOC, администраторы СЗИ и подсистем защиты информации.
• Контроль защищенности — отдельно от эксплуатации, т.к. контролировать должны другие люди и подразделения. Здесь и спецы по мониторингу, и по пентестам, и по противодействию утечке по техническим каналам (измерения).

Этапы, связанные с модернизацией и выводом систем из эксплуатации не предполагают наличие отдельных специальностей, хотя там имеется функционал с определенной спецификой.

ИБ-специальности, не впрямую связанные с жизненным циклом СЗИ или ОИ:

• Руководитель подразделения по обеспечению ИБ в организации (защиты информации).
• Заместитель руководителя организации по ИБ или безопасности, но в чьи обязанности входит обеспечение ИБ организации, кому подчиняется ИБ-подразделение.
• Специалисты по созданию системы обеспечения ИБ в организации, в т.ч. по внедрению СМИБ (ISO 27002. …) или отраслевых стандартов, по консалтингу, разработке локальных нормативных актов и т.п..
• Аудиторы СМИБ (ISO 27001) или отраслевых стандартов.
• Криминалисты (компьютерная форензика, экспертиза).
• Специалисты в сфере правоохранительной деятельности.

За кадром оставим кросс-платформенные специальности:

• продажи;
• продакт-менеджмент;
• маркетинг;
• руководители проектов;
• аналитики
• технические писатели.