Анна открывает очередь событий в начале девятого и первым делом смотрит на то, что накопилось за ночь. Игорь в это же время читает заявку со склада: новому подрядчику нужен доступ к папке с документами по отгрузкам. Марина сидит в переговорной с руководителем отдела продаж и объясняет, почему в договоре с партнёром появился пункт о том, какие данные компания вправе передавать.

Все трое работают в одной компании и на вопрос о профессии ответят одинаково: информационная безопасность. Но если поменять их местами, ничего не получится: Анна не помнит, как устроены правила на межсетевом экране, Игорь не станет читать договор, а Марина не отличит подозрительный вход в систему от обычного. У них разные инструменты, разные поводы для тревоги и разные представления о том, что считать хорошо сделанной работой.

Поэтому фраза «я работаю в информационной безопасности» сообщает о человеке примерно то же, что «я работаю в медицине», — почти ничего. За ней стоят разные профессии, и тот, кто выбирает ИБ «в целом», выбирает на самом деле воздух. Дальше разберём, как эти профессии устроены, где проходит граница между ними и что остаётся общим, сколько бы раз человек ни менял направление.

Почему одного названия мало

Привычная картина выглядит просто: есть ИТ-отдел, который делает так, чтобы всё работало, и есть безопасники, которые делают так, чтобы никто не сломал. В этой картине безопасность — одна работа, просто техническая и слегка загадочная. Картина удобная, но она ломается на первом же реальном проекте.

Потому что «чтобы никто не сломал» достигается тремя разными способами. Можно не пустить — выстроить защиту так, чтобы атака не дошла до цели. Можно заметить — увидеть, что что-то происходит, и успеть остановить. А можно доказать — показать, что компания сделала всё требуемое и сделала это вовремя. Первое требует проектирования, второе — наблюдательности и скорости, третье — аккуратности в формулировках и умения собирать доказательства.

Из этого следует, что внутри одной профессии живут люди с разным складом характера. Тот, кто любит доводить схему до идеала, вряд ли будет счастлив в круглосуточной смене, где каждые несколько минут нужно решать по неполным данным. И наоборот: человеку, который хорошо действует в пожаре, скучно неделю согласовывать формулировку в политике. Ни один из них не лучше другого — они просто заняты разными вещами.

Отсюда главная мысль, которую дальше мы будем проверять на примерах: информационная безопасность — это не одна профессия, а несколько разных. И выбор внутри неё важнее самого входа. Войти в ИБ — значит выбрать область. Выбрать внутри ИБ — значит выбрать, из чего будут состоять ваши будни.

Пять семейств, пять разных работ

Направления удобнее делить не по названиям должностей, а по вопросу, на который человек отвечает каждый день. Тогда получается пять семейств, и внутри каждого — свои роли. Роли мы будем называть по ходу: их всё равно больше, чем помещается в один список, и заучивать их по порядку бессмысленно. Важно другое — понять, какие решения человек принимает и с чем ему приходится жить.

Первое — защита инфраструктуры. Вопрос звучит так: «что должно быть настроено, чтобы атака не дошла?» Здесь работают с сетью, серверами, облаками, устройствами сотрудников и доступами: решают, какие соединения пропускать, кому и на что давать права, что обновлять в первую очередь. Игорь из нашего примера — как раз отсюда, и рядом с ним в вакансиях встречаются инженеры по защите информации, администраторы средств защиты, специалисты по управлению доступами. Названия гуляют от компании к компании, а суть одна: сделать среду такой, чтобы в ней было трудно ошибиться.

Второе — мониторинг и реагирование. Здесь вопрос другой: «что происходит прямо сейчас и насколько это опасно?» Это семейство живёт в центре мониторинга безопасности, который в вакансиях сокращают до SOC: за этой аббревиатурой стоит простая вещь — дежурная служба, которая круглосуточно смотрит на события, отделяет шум от сигнала и останавливает то, что уже началось. Кроме аналитиков первой линии есть те, кто разбирает сложные инциденты, те, кто восстанавливает картину по цифровым следам, и те, кто изучает нападающих, чтобы понимать, чего ждать дальше. Анна работает именно здесь, и её день устроен не так, как день Игоря.

Третье — проверка. Вопрос: «где у нас слабое место, о котором мы пока не знаем?» Сюда приходят, чтобы испытать защиту на прочность с разрешения владельца системы. Пентестеры ищут способ обойти защиту и описывают путь, которым это удалось; аудиторы сверяют настройки и документы с требованиями; аналитики защищённости смотрят на картину целиком и расставляют приоритеты, что закрывать первым. Работа выглядит эффектной только в кино — большую часть времени занимают подготовка, методичные проверки и отчёт, который кто-то должен понять и принять.

Четвёртое — правила и документы. Вопрос: «как должно быть, кто за это отвечает и чем мы докажем, что сделали?» Здесь пишут политики и регламенты, разбирают требования законов и стандартов, готовят документы к проверкам, оценивают риски и решают, что закрывать в первую очередь. Марина работает в этом семействе, и её главный инструмент — не консоль, а текст: договор, инструкция, заключение. Ошибка здесь выглядит менее драматично, чем открытый порт, но живёт дольше: неверная формулировка может годами разрешать то, что запрещено.

Пятое — защита кода и продуктов. Вопрос: «как сделать так, чтобы программа была написана без слабых мест?» Это семейство работает вместе с разработчиками: проверяет код, встраивает автоматические проверки в сборку, разбирает найденные проблемы и объясняет команде, почему нельзя иначе. Здесь недостаточно найти ошибку — нужно, чтобы её перестали повторять. Поэтому хороший специалист по безопасности приложений умеет не только искать, но и убеждать.

Отдельно стоят редкие направления: защита промышленных систем, криптография, безопасность искусственного интеллекта, юридическая работа с инцидентами. Вакансий там меньше, и приходят туда обычно из смежной области, уже имея опыт. Но именно поэтому людей мало, а задачи часто интереснее, чем кажется со стороны.

Один день: как расходятся их решения

Ночью в системе компании произошло событие: учётная запись кладовщика вошла в систему и скачала архив с документами по отгрузкам. Утром Анна видит это в очереди и должна решить, что это было. Случай не учебный: такие истории происходят постоянно, и именно на них видно, чем на самом деле отличаются профессии, — люди смотрят на одни и те же данные и принимают несовместимые решения.

Её решение — про интерпретацию и приоритет. Скачивание архивов бывает обычной работой, а бывает подготовкой к утечке, и различить их по одному событию нельзя. Анна смотрит, откуда был вход, что ещё делала эта учётная запись, не было ли похожих сигналов раньше, и решает, поднимать ли тревогу сейчас или собрать ещё данные. Её главный риск — проглядеть атаку, но не меньший — поднять на уши всю компанию из-за рутинной выгрузки.

Игорь получает от неё задачу: закрыть доступ. И здесь его решение совсем другое — про цену меры. Заблокировать учётную запись — значит остановить работу склада, где без этой записи не отгрузят товар. Заблокировать диапазон адресов — значит отрезать ещё и подрядчиков, которые ходят через тот же узел. Игорь выбирает, что именно отключить, кого предупредить и как сделать так, чтобы через час его правку не отменили «потому что всё встало». Его работа — найти меру, которая защищает и при этом не ломает производство.

Марина подключается третьей, и её решение — про доказательства и последствия. Она выясняет, кто имел право на эту папку, по какой процедуре выдавался доступ и что компания обязана сообщить, если данные всё-таки ушли. Она же формулирует то, что потом пойдёт руководителю: что произошло, кто отвечает, что уже сделано и что нужно изменить в правилах. Её главный риск — не пропустить срок или сказать лишнее, потому что её текст читают и внутри компании, и снаружи.

На утренней встрече они спорят, и это не признак развала. Анна хочет немедленно заблокировать всё, что связано с этой учётной записью, Игорь напоминает, что склад встанет, а Марина просит сначала зафиксировать факты, иначе в отчёте будет нечего предъявлять. Каждый прав в своей системе координат, и общее решение появляется только потому, что все трое говорят о разных сторонах одного события. Если бы в компании был только один из них, решение всё равно приняли бы — но вслепую.

Дальше выясняется неприятное: учётной записью пользовались вдвоём, потому что подрядчику не завели отдельный доступ. Анна добавляет правило, которое поймает повтор, Игорь закрывает техническую дыру, Марина пишет норму, по которой у каждого подрядчика будет свой доступ. Ни один из них не решил задачу целиком, и это не изъян схемы, а её смысл: граница между семействами — не стена, а разделение решений.

Лестница: что меняется от стажёра до архитектора

Внутри любого из семейств есть уровни, и различаются они не количеством инструментов в резюме, а тем, какую неопределённость человеку доверяют и какую цену его ошибки компания готова нести. Проще всего увидеть это на той самой ночной истории с учётной записью кладовщика. Человек на каждом уровне повёл бы её по-разному, и разница оказалась бы не в скорости работы, а в том, сколько он берёт на себя.

Стажёр выполняет задачи по инструкции и учится не мешать. От него ждут аккуратности и готовности спрашивать, а не самостоятельности: если он сделает «как лучше» без согласования, это может закончиться инцидентом. Следующая ступень — младший специалист: он уже решает простые задачи сам, но пока плохо понимает границы своей компетенции и потому зовёт старших рано и часто. Это нормально и даже полезно: гораздо дешевле лишний раз позвать на помощь, чем тихо сломать то, что работало.

Специалист среднего уровня ведёт задачу целиком: от постановки до результата, с обоснованием каждого шага. Разница между ним и младшим не в том, что он знает больше команд, а в том, что умеет объяснить, почему сделал именно так и что будет, если сделать иначе. Старший специалист берёт задачи, которые никто не смог сформулировать: «разберитесь, почему после переезда в новое облако всё стало медленнее и подозрительнее». Он видит последствия своих решений на несколько шагов вперёд и умеет сказать «это делать не надо» так, чтобы его услышали.

Дальше начинается другая ответственность. Ведущий специалист или архитектор отвечает не за задачу, а за направление: какие меры компания внедряет, от каких отказывается, как эти решения переживут смену технологий и людей. Его главный навык — выбирать, чего не делать, потому что ресурс всегда ограничен, а соблазн закрыть все риски сразу велик. В вакансиях эти ступени часто подписаны по-английски — junior, middle и senior, — но суть от названия не меняется.

Полезно увидеть эту лестницу на знакомых людях. Анна на старте поднимала почти каждое событие, а через пару лет половину закрывает сама и оставляет короткую записку с объяснением — и это не уменьшение работы, а рост ответственности. Игорь сначала настраивал по инструкции производителя, а потом начал проектировать так, чтобы ошибка коллеги не превращалась в инцидент. Марина сначала проверяла пункты списка, а потом научилась спорить с директором и выигрывать, потому что за её словами стоят документы.

С названиями должностей всё сложнее, и это стоит знать заранее. В небольшой компании «руководитель службы безопасности» может быть единственным человеком, который сам настраивает, сам дежурит и сам пишет отчёты. В крупной тот же титул означает управление людьми, бюджетом и отношениями с руководством. Поэтому смотреть нужно на задачи и на то, какую неопределённость человеку доверяют, а не на строку в трудовой книжке.

Что объединяет всех — и во что не стоит верить

Есть вещи, которые не зависят от семейства и уровня, и первая из них — ответственность за чужие данные. Специалист по ИБ почти никогда не работает с информацией, которая принадлежит ему лично: это данные клиентов, водителей, сотрудников и партнёров. Цена ошибки ложится на человека, который на неё не соглашался, и это меняет отношение к работе сильнее, чем любой регламент.

С этим связана неприятная особенность профессии, о которой редко предупреждают. Хорошая работа здесь выглядит как отсутствие событий: если ничего не произошло, никто не придёт с благодарностью, а если произошло — спросят, почему не заметили. Поэтому специалисту приходится самому придумывать, как измерять свою пользу, иначе через несколько лет появляется ощущение, что он только мешает людям работать. Опытные руководители это понимают и обсуждают с командой не только инциденты, но и то, что удалось предотвратить.

Вторая общая черта — необходимость объяснять. Технически безупречное решение, которого никто не понял, не будет внедрено: его отменят, обойдут или забудут. Поэтому Анна объясняет складу, почему доступ заблокировали, Игорь объясняет разработчикам, почему их схема небезопасна, а Марина объясняет директору, почему дешевле изменить процесс, чем платить за последствия. Умение говорить с инженером и с директором на их языках — не мягкий навык, а рабочий инструмент.

Третья — документы. Работа в этой области почти всегда оставляет след: заявку, запись в журнале, заключение, отчёт. Это не бюрократия ради бюрократии. Разница между «мы сделали» и «мы можем доказать, что сделали» проявляется ровно в тот момент, когда приходит проверка или случается разбор, и от этой разницы зависит, чем закончится разговор.

Четвёртая — постоянная учёба, но не в том смысле, в каком об этом говорят курсы. Инструменты меняются быстро, и знание конкретной панели устаревает. Зато остаются основы: как устроены сети, почему ломается доверие, как думать про риск. Тот, кто выучил только инструмент, через несколько лет начинает заново; тот, кто понял принципы, переносит их на новое.

Теперь про мифы, которые мешают выбирать. Первый — «нужно быть гением». На практике нужны любопытство, дисциплина и готовность разбираться в скучном: гениальность не требуется, а вот усидчивость — да. Второй — «надо уметь ломать». Большинство специалистов никогда ничего не ломают: они строят, проверяют и объясняют, а «ломать» без письменного разрешения владельца системы — не навык, а правонарушение.

Третий миф — «это профессия для мужчин». В аудите, комплаенсе, защите данных и управлении рисками женщин много, и в технических направлениях тоже; стереотип держится на фильмах, а не на отделах. Четвёртый — «обязательно высшее образование». В некоторых организациях диплом действительно обязателен, особенно там, где требования жёсткие; в других смотрят на навыки и проекты. Диплом помогает пройти первый фильтр, но не заменяет практику — и наоборот.

Главная мысль

Информационная безопасность — это не одна профессия, а набор разных работ под общим названием: защищать инфраструктуру, замечать и останавливать, проверять, отвечать за правила, встраивать защиту в код. У них разные инструменты, разные будни и разные люди, которым там хорошо. И всё же это одна область, потому что все пять семейств отвечают на один вопрос: можно ли доверять этим данным и этой системе.

Из этого следует практический вывод. Вход в профессию — только первый выбор, и он почти не определяет, как сложится жизнь. Гораздо важнее второй: какое семейство вы выберете и какие решения будете принимать каждый день. Человек, который ошибся с направлением, но понял это через несколько месяцев, потерял меньше, чем тот, кто годами делает работу, которую не любит, потому что «так начал».

Поэтому не спешите называть себя специалистом по ИБ и считать вопрос закрытым. Сначала посмотрите на три разных дня — хотя бы на день Анны, Игоря и Марины — и спросите себя, какой из них вам ближе. Следующий шаг — как выбрать направление. Если хочется сначала увидеть рабочий день изнутри, прочитайте про смену аналитика SOC; если вы уже решили и готовитесь к первому собеседованию — про резюме и вход без опыта. И загляните в план входа в профессию, чтобы не собирать его из случайных советов.