Сначала — честно
Информационная безопасность — это не «взломы за 30 дней» и не человек в капюшоне. В реальности это много чтения, аккуратной работы с документами, разговоров с людьми и ответственности за чужие данные. Хорошая новость: почти всё необходимое можно выучить бесплатно, если идти по порядку и не прыгать между темами.
Плохая новость: без практики знания не превращаются в работу. Поэтому в плане ниже половина времени — это действия руками, а не просмотр видео.
Не начинайте с пентеста и «хакерских» курсов. Сначала — как устроены компьютеры и сети, потом — как их защищают, и только потом — как проверяют на прочность. Иначе вы будете знать названия инструментов, но не понимать, что они делают.
Три входа в профессию
У людей с разным опытом — разный кратчайший путь. Выберите тот, который ближе к вашей текущей ситуации.
1. Вы совсем с нуля
Самый доступный вход — аналитик центра мониторинга (SOC). Там нужны базовые знания сетей, операционных систем и умение спокойно читать логи. Это работа сменами, но она быстро учит и даёт понятный рост.
Второй вариант — специалист по защите информации в организации: установка и настройка средств защиты, ведение документов, разбор инцидентов. Часто берут людей без опыта, если есть техническая голова и аккуратность.
2. Вы уже работаете в ИТ
Если вы администратор, инженер поддержки или разработчик — у вас уже есть половина нужных навыков. Вам проще перейти в инженера по защите информации или AppSec (безопасность приложений). Не начинайте с нуля: достройте то, чего не хватает, — законодательство, риски, документы.
3. Вы юрист, бухгалтер или менеджер
Ваш путь — комплаенс и аудит: приведение компании в соответствие законам, подготовка документов, общение с проверяющими. Техническую часть нужно понимать на уровне «что делает эта мера и зачем», а не настраивать серверы самому.
План на 6 месяцев
Расчёт — на 8–10 часов в неделю. Если у вас есть 20 часов, план можно ускорить примерно вдвое, но не пытайтесь проходить по три темы одновременно: так не работает.
| Месяц | Чему учитесь | Что делаете руками |
|---|---|---|
| 1 | Как устроены компьютеры, сети и интернет. Что такое данные, угрозы и риски. | Ставите Linux в виртуальную машину, настраиваете сеть, читаете логи. |
| 2 | Операционные системы, права доступа, основы шифрования и аутентификации. | Настраиваете пароли и MFA, шифруете диск, разбираете права пользователей. |
| 3 | Законы: 152-ФЗ, 187-ФЗ, приказы ФСТЭК. Учитесь читать нормативные тексты. | Пишете учебную политику ИБ и модель угроз для вымышленной компании. |
| 4 | Выбранное направление: SOC, инфраструктура или комплаенс. | Проходите профильный бесплатный курс, собираете домашнюю лабораторию. |
| 5 | Практика: разбор инцидентов, инструменты, отчёты. | Делаете 3–5 учебных проектов и описываете их в портфолио. |
| 6 | Собеседования, резюме, вопросы работодателей. | Откликаетесь на 30–50 вакансий, проходите первые интервью, собираете обратную связь. |
Типичная ошибка — начать три курса, купить четыре книги и бросить через две недели. Лучше один месяц — одна тема, один небольшой результат в конце. Результат важнее количества просмотренных часов.
Первая неделя: конкретные шаги
- День 1. Прочитайте статью «Что такое информационная безопасность». Выпишите три вещи, которые вам непонятны.
- День 2. Разберитесь, что такое IP-адрес, порт и DNS. Без этого дальше будет тяжело. Достаточно уровня «понимаю, о чём речь».
- День 3. Поставьте виртуальную машину с Linux (VirtualBox или UTM) и создайте там пользователя с обычными правами.
- День 4. Включите многофакторную аутентификацию на почте и в социальных сетях. Это ваша первая практическая привычка.
- День 5. Откройте словарь на нашем сайте и выучите 10 терминов. Не зубрите — объясните каждый своими словами.
- День 6. Прочитайте карточку 152-ФЗ и ответьте себе: где в вашей жизни встречаются персональные данные.
- День 7. Отдохните. Серьёзно. Выгорание — главная причина, по которой люди бросают ИБ.
Чем учиться бесплатно
- Наш портал — статьи, словарь и разборы законов. Начните с раздела «Основы».
- Официальные сайты ведомств — ФСТЭК, ФСБ, Роскомнадзор. Там лежат первоисточники, методички и база угроз.
- Документация производителей — у многих средств защиты есть бесплатные версии и подробные руководства.
- Открытые курсы и лаборатории — например, TryHackMe, Hack The Box (начальные модули), PortSwigger Web Security Academy. Часть материалов на английском.
- Сообщества — профильные телеграм-каналы и форумы. Но осторожно: там много мнений и мало проверенных фактов.
Частые вопросы
Нужно ли высшее образование?
Для многих вакансий — да, особенно в госсекторе и крупных компаниях. Но есть и исключения: если у вас есть подтверждённые навыки и проекты, профильное образование может быть не решающим. Диплом помогает пройти фильтр отдела кадров, навыки — пройти собеседование.
Можно ли войти в ИБ без опыта в ИТ?
Можно, но путь длиннее. Самые реальные варианты — SOC L1, комплаенс, техническая поддержка безопасности. Везде придётся доказать, что вы понимаете базу: сети, операционные системы, основы права.
Сколько времени это займёт?
До первой работы — обычно от 6 месяцев до 1,5 лет при регулярных занятиях. Быстрее получается у тех, кто уже работает в ИТ. Медленнее — если учиться урывками по 2 часа в неделю.
Нужен ли английский?
На уровне чтения технической документации — почти всегда. Многие инструменты и исследования выходят на английском. Начните с чтения документации и постепенно переходите к статьям.
А сколько зарабатывают?
Мы сознательно не публикуем «среднюю зарплату»: она сильно зависит от города, отрасли, компании и уровня. Смотрите актуальные вакансии на hh.ru и «Хабр Карьере» — там есть фильтры по опыту и региону. Не выбирайте профессию только по цифре в вакансии.