В семь утра Павлу пишет бухгалтер: программа для отчётности не открывается, а через час сдавать документы. Павел уже знает, что будет дальше: он проверит сервер, потом сеть, потом найдёт причину — скорее всего, закончилось место на диске или обновление легло криво, — и к девяти всё заработает. Так проходит почти каждое его утро, и в этом есть своя прелесть: понятно, что делать, и видно результат.

Но последние месяцы его цепляет другое. В журналах он замечает попытки входа в учётные записи, которые ничем не заканчиваются; бухгалтеру приходит письмо с просьбой «срочно подтвердить доступ к папке»; на одном из компьютеров появляется программа, которую никто не устанавливал. Каждый раз Павел закрывает дыру и идёт дальше, но всё сильнее чувствует, что настоящая работа — не в том, чтобы чинить последствия, а в том, чтобы их не было.

Так он решает перейти в информационную безопасность. И почти сразу делает то, что делает большинство: выбирает направление по самому яркому образу. Тестирование на проникновение — это же интересно: находить слабые места, обходить защиту, быть тем специалистом, о котором пишут. Он покупает курс, открывает первый модуль и через несколько вечеров закрывает вкладку.

Почему «хочу в ИБ» — ещё не выбор

Курс оказывается про веб-приложения. Нужно уверенно читать чужой код, понимать, как устроены современные фреймворки, и подолгу сидеть в одном запросе, прежде чем найдётся что-то интересное. Павлу, который привык к серверам, сетям и командной строке, это даётся тяжело, а главное — не затягивает. Через несколько вечеров он делает вывод, который на его месте делают почти все: «наверное, безопасность — это не моё».

Вывод неверный, и ошибка в нём очень человеческая. Павел проверил не профессию, а одно её направление, причём самое нетипичное: здесь много кода и мало инфраструктуры, а его сила как раз в инфраструктуре. Если бы он так же быстро закрыл вкладку с курсом по мониторингу, он потерял бы направление, где его опыт даёт преимущество с первого дня.

Откуда берётся этот яркий образ? О нём рассказывают фильмы, о нём пишут новости, когда кто-то находит серьёзную уязвимость, и о нём же говорят курсы, которые продают вход в профессию. В результате самое заметное направление кажется самым типичным, хотя внутри области оно скорее исключение. Павел выбрал его не потому, что ему нравились задачи, а потому, что ему нравился образ, — и это самая частая причина разочарования.

Отсюда главная мысль этой статьи: выбор направления — это не экзамен на всю жизнь, а проверяемая гипотеза. У гипотезы есть формулировка, способ проверки и право оказаться неверной; экзамен сдают один раз и потом живут с оценкой. Разница в том, что экзамен страшно завалить, а гипотезу интересно опровергнуть, потому что каждое опровержение сужает поиск. Именно так выбирают те, кто в итоге находит своё место, — не угадывают с первого раза, а быстро проверяют.

Дальше разберём, как это устроено: сначала карта направлений, потом вопросы к себе, потом короткий эксперимент. Без карты любой выбор превращается в лотерею, а лотерею нельзя проверить. Поэтому начнём с того, что вообще бывает в этой профессии.

Пять семейств: что вы будете делать каждый день

Направлений в безопасности много, и названия в вакансиях не совпадают. Чтобы не тонуть в них, полезно свести всё к пяти семействам — по вопросу, на который человек отвечает ежедневно. Для Павла это не абстракция: каждое семейство по-разному использует то, что он уже умеет, и это важнее любого рейтинга «лучших профессий».

Первое — защита инфраструктуры, вопрос «что настроить, чтобы атака не дошла». Это сети, серверы, облака, устройства сотрудников и доступы: какие соединения пропускать, кому и на что давать права, что обновлять первым. Павел уже наполовину здесь, и это одновременно плюс и ловушка. Плюс в том, что он знает свою сеть лучше любого приходящего специалиста; ловушка в том, что администрирование отвечает на вопрос «чтобы работало», а безопасность — на вопрос «чтобы работало и не открывало лишнего». Разница не в инструментах, а в критерии, по которому принимается решение.

Второе — мониторинг и реагирование, вопрос «что происходит прямо сейчас и насколько это опасно». Это семейство живёт в центре мониторинга безопасности, который в вакансиях сокращают до SOC. За этой аббревиатурой скрывается дежурная служба, которая круглосуточно смотрит на события, отделяет шум от сигнала и останавливает то, что уже началось. Павлу знакомы журналы, сети и странности в поведении машин, поэтому он быстрее поймёт, что видит перед собой. Но у направления есть цена, о которой лучше узнать заранее: смены, ночные дежурства и много однообразной проверки вместо погонь за злоумышленником.

Третье — проверка, вопрос «где у нас слабое место, о котором мы пока не знаем». Сюда входят тестирование на проникновение, аудит и анализ защищённости. Работа требует разрешения владельца системы, методичности и умения писать так, чтобы отчёт поняли и приняли. Павел сюда уже заглядывал и понял, что это не его, — но его вывод касался одного задания в одном курсе, а не всего семейства, и это разные вещи.

Четвёртое — правила и документы, вопрос «как должно быть, кто за это отвечает и чем мы докажем, что сделали». Здесь пишут политики, разбирают требования законов и стандартов, оценивают риски, готовят документы к проверкам. Павел легко представляет, как объясняет директору, почему копии паспортов клиентов нельзя держать в общей папке, — и понимает, что это тоже работа, причём немалая. Она требует терпения к формулировкам и готовности спорить — одного знания здесь мало.

Пятое — защита кода и продуктов, вопрос «как сделать так, чтобы программа была написана без слабых мест». Здесь работают вместе с разработчиками: проверяют код, встраивают автоматические проверки, разбирают найденные проблемы и объясняют команде, почему нельзя иначе. Павел пишет скрипты для автоматизации, но разработкой никогда не занимался, поэтому вход сюда для него длиннее — и это честная причина отложить направление, а не признак профнепригодности.

Отдельно стоят редкие направления: защита промышленных систем, криптография, безопасность искусственного интеллекта, юридическая работа с инцидентами. Вакансий там меньше, и приходят туда обычно из смежной области, уже имея опыт. Если что-то из этого откликается, держите как вторую цель, а не как первый шаг.

Есть ещё одна вещь, которая видна только на карте целиком. В реальных вакансиях семейства смешиваются: в небольшой компании один человек может закрывать инфраструктуру, дежурить по событиям и писать политики, а в крупной те же задачи разложены по разным отделам. Поэтому название должности почти ничего не гарантирует, и читать вакансию нужно по обязанностям, а не по заголовку. Из этого следует приятное: границы направлений подвижны, и переход из одного в другое — обычное дело, а не потеря квалификации.

Пять вопросов, на которые ответите только вы

Теперь у Павла есть карта, но карта не говорит, куда идти. Дальше начинается часть, которую не сделает за вас ни один профориентационный тест: нужно честно посмотреть на себя. Вопросов пять, и правильных ответов у них нет — есть только ваши.

Первый вопрос: что вам нравится делать, когда результат никто не оценивает? Павел честно отвечает себе, что ему нравится не «настраивать», а «понимать»: находить причину, из-за которой всё сломалось. Это важное различие, потому что многие путают «нравится результат» с «нравится процесс». Если вам нравится, что после вашей работы всё работает, вам подойдёт инфраструктура; если нравится распутывать, почему оно перестало работать, — мониторинг и разбор инцидентов.

Второй вопрос: сколько времени и сил вы готовы вложить до первой работы? Порог входа в направлениях разный, и это не мелочь: в мониторинге и работе с документами можно начать раньше, а для тестирования на проникновение и защиты кода нужна база, которую набирают месяцами. Для Павла вопрос стоит остро, потому что семью нужно кормить уже сейчас — и ответ «могу учиться только по вечерам» сильно сужает выбор.

Третий вопрос: какой график вы выдержите? Сменная работа меняет не только сон, но и всю неделю: выходные перестают совпадать с выходными близких, а ночная смена требует восстановления. Если это неприемлемо, разумно смотреть на инфраструктуру, аудит и работу с правилами, где график обычно ровнее. Отвечать на этот вопрос лучше не «в теории», а представив конкретную неделю своей жизни.

Четвёртый вопрос: готовы ли вы читать документы и писать их? Документы есть в любом направлении, вопрос только в объёме и в том, терпите ли вы эту работу. Если от одной мысли о регламенте сводит зубы, не надо идти в комплаенс из чувства долга: там текста больше, чем техники. Но и обратное неверно: человек, который любит точность формулировок, в техническом направлении будет страдать от того, что его находки никто не читает.

Пятый вопрос: что для вас важнее — быстро начать или глубоко разобраться? Быстрый вход даёт работу и опыт, но не всегда интересные задачи; глубокий требует времени и денег, зато потом открывает больше. Павел хочет и быстро, и интересно, и это противоречие, которое придётся разрешить. Ответы на пять вопросов обычно противоречат друг другу, и это нормально: они нужны не для идеального совпадения, а чтобы понять, чем вы платите за выбор.

Две недели, чтобы проверить гипотезу

После вопросов у Павла остаются два подозреваемых: инфраструктура, где он уже всё умеет, и мониторинг, где ему интересно. Дальше начинается самое полезное — маленький эксперимент. Две недели не сделают из него специалиста и не докажут, что он полюбит эту работу на годы, но их достаточно, чтобы понять, отталкивает ли она его.

Первое действие — прочитать несколько вакансий целиком, причём не название, а список обязанностей. Павел находит важное: «инженер по защите информации» в одной компании — это документы и согласования, а в другой — настройка средств защиты и дежурства. Он также замечает, что почти во всех вакансиях по мониторингу стоит сменный график, и это уже не абстракция из статьи, а условие, которое касается его лично.

Второе действие — пройти один вводный модуль. Цель не в знаниях, а в проверке: интересно ли слушать про это несколько часов подряд. Павел берёт вводный курс по мониторингу и впервые за долгое время не заставляет себя дочитывать — он ловит себя на том, что хочет узнать, чем закончится разбор чужого инцидента.

Третье действие — поговорить с человеком, который уже работает в этом направлении. Павел пишет знакомому из прежней работы и задаёт три вопроса: что занимает больше всего времени, что оказалось неожиданным, что стоит прочитать. Ответ оказывается отрезвляющим: большая часть смены — не погони, а однообразная проверка одних и тех же срабатываний, и только иногда случается что-то настоящее.

Четвёртое действие — сделать одну лабораторную работу, учебное задание в среде, где можно ошибаться безопасно. Павел разбирает учебный случай с подозрительным входом в систему и с удивлением замечает, что не смотрит на часы. Именно это ощущение, а не количество прочитанных статей, и есть первый настоящий сигнал.

У этого эксперимента есть важное ограничение: он должен быть действием, а не просмотром. Купить большой курс, посмотреть десяток роликов и прочитать форумы — это не проверка, а откладывание: так гипотеза остаётся непроверенной, зато появляется ощущение движения. Проверка начинается там, где вы что-то сделали руками и увидели свою реакцию: увлекло или нет, сколько времени прошло незаметно, захотелось ли разобраться глубже.

Бывает и так, что две недели не дают ясности. Это не провал: иногда мешает не направление, а формат — курс попался плохой, разговор с практиком не сложился, лабораторная оказалась слишком сложной. Тогда полезно проверить гипотезу ещё раз, но иначе: взять другое задание, посмотреть запись разбора инцидента или попросить у знакомого десять минут на конкретные вопросы. Если после второй попытки интереса так и нет, это уже данные, а не случайность.

После двух недель Павел не объявляет себя аналитиком. Он формулирует гипотезу точнее: «мне интересен разбор инцидентов, и я готов проверить, выдержу ли сменный график». Дальше он договаривается о стажировке и просит взять его хотя бы на часть смен, чтобы проверить вторую половину утверждения. Это и есть правильный результат эксперимента: не окончательный ответ, а более точный вопрос, на который можно ответить делом.

Где гипотезы ломаются: четыре ошибки

Первая ошибка — гнаться за модным направлением. Тестирование на проникновение выглядит ярко, но будни — это отчёты, согласования и методичные проверки, а не постоянные находки. Павел почти попал в эту ловушку, и спасло его только то, что он проверил образ на практике, а не в кино.

Вторая — путать одно направление со всей профессией. Пентест — лишь один из углов безопасности, и работает он только с разрешения владельца системы. Из этого же корня растёт миф о том, что безопасность — это запреты: большинство специалистов не запрещают, а объясняют, почему одно решение дешевле другого.

Третья ошибка — выбирать по цифрам из объявлений. В вакансиях часто пишут верхнюю границу и не упоминают опыт, регион и условия, поэтому одна и та же цифра может означать совершенно разные истории. Разговор с практиком даёт меньше красивых чисел, зато показывает, из чего состоит день и за что платят.

Четвёртая — думать, что выбор делается навсегда. Люди меняют направление и через год, и через пять лет, и это не считается провалом; опыт из соседней области почти всегда переносится. Страх ошибиться здесь дороже самой ошибки: он заставляет сидеть на месте и ждать, пока «само определится».

Главная мысль

Выбор направления — не экзамен, который сдают один раз и потом живут с результатом. Это гипотеза: её формулируют, проверяют на маленьком эксперименте и уточняют, когда появляются новые данные. Павел начал с пентеста, получил опровержение и не сделал из него вывод «безопасность не для меня» — он сузил поиск до мониторинга и честно назвал то, что ещё нужно проверить.

Из этого следует, что первый выбор почти ничего не решает, а решает скорость проверки. Человек, который за две недели прошёл вакансии, вводный модуль, разговор и лабораторную, знает о своём выборе больше, чем тот, кто полгода читает статьи и ждёт уверенности. Уверенность здесь появляется после действия, а не до него.

И последнее: не сравнивайте себя с теми, кто уже работает. Сравнивайте своё состояние до эксперимента и после — этого достаточно, чтобы сделать следующий шаг. Если хочется понять, из каких профессий вообще состоит область, прочитайте как устроена профессия; если вы уже выбрали и готовитесь к собеседованию — про резюме и вход без опыта. Собрать план на первые месяцы поможет план входа в профессию, а незнакомые слова разберёт словарь.