情報セキュリティの専門家のスキルと要件

専門職の高い人気、パブリックドメインの豊富な情報リソースと資料にもかかわらず、市場には資格のある人材、特に実用的な情報セキュリティに関連する人材が不足しています。



この記事では、情報セキュリティのスペシャリストに対する需要、特定の要件およびスキルについて説明します。

統計

HRエージェンシーの1つの統計によると、2015年の終わりに、情報セキュリティの専門家は2015年1月よりも平均21％多く提供されました。これは、危機の場合でも資格のある専門家が需要があり、さらに市場が感じていることを示しています彼らの不足。



実際、情報セキュリティのトピックはこれまで以上に重要になっています-これらは、（損害と頻度の点で）勢いを増している銀行セクター攻撃（SWIFT、通信アカウント）、標的攻撃（Advanced Persistent Threat、APT）などの増加です。



情報セキュリティスペシャリストが勤務する企業でさえ、セキュリティシステム、境界セキュリティ、Webアプリケーション、およびその他のインフラストラクチャ要素の成熟度を適切に評価する必要があります。

仕事

職業紹介所で提示されたデータに基づいて、1〜3年の経験を持つ情報セキュリティ専門家の平均給与は40,000〜70,000ルーブルのレベルです。 これは、最初のグループ（ジュニア ）のスペシャリストに適用され、実務経験がほとんどないため、専門的な要件と責任によって明確に確認できます（以下、「平均」指標を示します）。



責任：

• Cisco ASAファイアウォールとKerio Connectの管理
• アンチウイルス保護サーバーの管理、クライアントの状態の監視、ウイルスの除去、保護の微調整。
• 特殊なソフトウェアとその除去の助けを借りて脆弱性を検索します。
• OS、ソフトウェア、およびネットワーク機器のアップデートのリリースの監視。
• スイッチング機器のセットアップと管理。
• セキュリティシステムの管理を最適化するスクリプトを作成します。
• アクセスインフラストラクチャの管理
• ログの定期的な分析。

要件：

• 1年からWindowsを管理した経験。
• Linuxの1年からの基礎知識、コマンドラインでの自信を持った作業。
• ネットワークの基礎知識。 IPアドレス指定、静的ルーティング、ISO OSI、TCPモデル。
• Active Directory管理エクスペリエンス：グループポリシー（GPO）のセットアップ、ユーザー権利管理。
• Windowsに基づいた不正アクセスに対する保護システムの設定経験。
• ウイルス対策システムの調整の経験。
• 複雑なIPTablesファイアウォール構成の開発経験。
• Apache2、nginx、Audited、MySQL、PostgreSQL、Rsyslogを設定する機能。

説明からわかるように、これは「クリーンな」セキュリティガードというよりも、情報セキュリティに偏りのあるシステム管理者です。 スキルの特定の特異性を特定することは困難です。 候補者を探している人-あらゆる方向の企業、地域を特定することは困難です。

---

3-6年の経験を持つスペシャリストはすでに中級です。 スキルと経験がもっと必要ですが、賃金のレベルはずっと高くなっています。 これらのスペシャリストは、原則として、優れた技術的背景（システム管理、IDの検索）を持ち、アプリケーション、技術、および方法論を熟知しています。 これらのスペシャリストは、条件付きで攻撃と防御の2つの領域に分けることができます。 このレベルの普遍主義者（ペンテスター+情報セキュリティスペシャリスト）-実際には存在しません（または、これは既に上級レベルです）。 平均フォークは70,000〜100,000ルーブルです。



情報セキュリティスペシャリスト：



責任：

• セキュリティサブシステムを構成および管理します。
• セキュリティインシデント管理
• スイッチング機器のセットアップと管理。
• セキュリティシステムの管理を最適化するスクリプトを作成します。
• アクセスインフラストラクチャの管理
• ログファイルとイベントログの分析。
• お客様のITインフラストラクチャのサポートへの参加：情報セキュリティの確保と個人データの保護。
• 情報セキュリティツールの機能の監視と制御。
• 特別な情報保護ツールのパフォーマンス、管理、中断のない操作のサポート。
• 航空機への攻撃の兆候を検出する際に安全なインターワーキングを確保する手段の設定を変更する。
• 内部航空機ユーザーの異常な活動の監視。
• ISインシデントとその解決策の分析。
• 監査の実施、組織および管理文書の作成、情報セキュリティに関するレポート。

要件：

• 高等教育（IT、情報セキュリティ）;
• TCP / IPスタックのネットワークとプロトコルの構築と操作の原則に関する知識。
• ISO / OSIモデルの知識。
• コンピュータおよびネットワークセキュリティ、Webアプリケーションセキュリティの原則を理解する。
• セキュリティツールの原則に関する知識（企業のウイルス対策、WAF、侵入検知システムなど）。
• 管理者レベルのWindowsおよびLinux。
• 自動化の経験（bash、perl、python）;
• セキュリティ分析の経験;
• 雇用主のインフラストラクチャで使用される専門的なソフトウェアの専門知識（企業のウイルス対策からDLP / IDS / IPS / SIEMなど）。

ペンタスター：



責任：

• 会社の情報環境とソフトウェア製品のテスト。
• フォールトトレランスに関する情報システムのテスト。
• 情報システムの機器分析;
• OWASP TOP 10分類に基づく現在の脅威の特定、補償手段の開発。
• 侵入テスト。
• ソフトウェアソースコードのセキュリティ分析。

必要条件

• システムの脆弱性を特定した経験。
• HydraのBurp Suiteの使用経験;
• SQLMap、OpenVAS、Metasploit Framework、Fortify、AppScanを体験してください。
• Acunetix、w3af、X-Spider、Max-Patrol、Nmapを体験してください。
• Webアプリケーションの構築と運用の原則に関する知識。
• OWASPトップ10にリストされているWebアプリケーションの典型的な脅威と脆弱性に関する知識。
• Webアプリケーションセキュリティの手動および自動テストのスキル。
• 侵入テストの経験
• ITおよび情報セキュリティシステムの監査の経験。

このような専門家の要件はより具体的であり、使用するソフトウェアの方法論や種類など、特定の分野のアプリケーション分野に焦点を当てています。 電子商取引、金融セクター、インテグレーター、大規模/分散小売企業などの代表者は、そのような専門家を探しています。

---

5-6年のシニアの実務経験を持つ専門家。 通常、これは管理職です。セキュリティ分析部門の長。 情報セキュリティ管理部長; アナリスト IBベンダーの大量販売。 非常に専門的なペンテスター。 給与レベルは120,000から200,000ルーブルです。



このカテゴリにはかなりの数の人々がいます。そして、原則として、彼らは業界で「耳を傾けて」います。 これらは、対象分野に精通した専門家であり、原則として、狭い専門分野の専門家資格を持っています。 会議や他の社会活動で話す経験は歓迎されます-これは、候補者が傾向に従って、専門家コミュニティのタイムリーな評価を受けることを意味します。



ここでの要件は次のとおりです。

• 高等IB / IT教育;
• 証明書の入手可能性;
• 主題分野での出版物および記事の入手可能性;
• 人前で話す経験;
• 主な方法、分類、国際慣行に関する知識（OSSTMM、OWASP、WASC、NIST SP800-115など）。
• 脆弱性に関する情報に基づいてIS脅威を識別するスキル（脅威の分類、脆弱性を排除し、ビジネスリスクを最小限に抑えるための推奨事項の開発）;
• 情報保護に関する規制の枠組みに関する知識：制限されたアクセス情報の保護に関連する関係を管理するロシア連邦の法律およびその他の規制上の法律行為（国家秘密に関連しない）、FSTEC、FSBガイダンス文書、銀行秘密、産業制御システム、および商業の保護を含む秘密、STO BR IBBS、PCI DSS、ISO 27xxxの知識;
• 英語
• リーダーシップの質の存在、目標を達成する能力、イニシアチブ、活動、自己組織化スキル、責任;
• 1つ以上のスクリプト言語でプログラムする機能。
• 専門ソフトウェア（IBM Qradar、Splunk Enterprise、Imperva DAM、Maxpatrol、Symantec Critical System Protection、Tuffin、Gigamon Networks、Cisco ASAなど）の専門知識。
• 高度に専門化されたシステムの専門知識：（たとえば、SCADA / ERP / SS7 /ハードウェア）;
• 独自のツール/ユーティリティ/テクニックの開発経験;
• 技術文書および分析文書の開発の経験。
• 統計調査の実施経験;
• セキュリティインシデントの調査、証拠の収集、法医学の経験。
• セキュリティ分析または情報セキュリティ監査に関する大規模プロジェクトへの参加経験。

上記の専門家向けの要件は、平均バージョンで示されています。 原則として、申請者の専門的スキルは既知であり、そのような人々は特定のタスクではなく、会社のライフアクティビティのステージ全体またはレベルで「ハンティング」されます。 このような専門家は、金融セクター、ITインテグレーター、情報セキュリティベンダー、大規模なIT企業で需要があります。

---

ピラミッドのトップ（ リード ）-10年の経験を持つ専門家。 このカテゴリには、CTO、CISO、システムアーキテクト、チームリーダーが含まれます。 給与レベルは200,000からです。 原則として、これらは情報セキュリティ業界の有名な人々であり、豊富な経験とつながりがあります。



要件/スキル：彼らは通常、完了したプロジェクト、活動の方向を見ます。 スキルによって、彼らは以前のポジションから完全なリストを要求することができます（そして、通常、この段階まで広範囲に及ぶ）、または必要な仕事の結果が単に示されます。 これらのポジションの場合、彼らはもはや知識ではなく、成果を見ています。



このような専門家は、大規模なインテグレーター、情報セキュリティベンダー、大手テクノロジー企業、金融セクター、および公共セクターで必要とされています。

まとめると

市場参加者の情報保護は、優先課題の1つになりつつあります。 自動化された手段のみでそのような保護を提供することはほとんど不可能です。 情報セキュリティの分野の専門家に対する需要は、情報技術自体の開発と同じ速度で成長しています。



教育とさらなる雇用の問題は、「仕事がない、経験がないため、仕事がないため...」という永遠の問題にあり、このフレーズを無限に読むことができます。 卒業証書自体が優先権を与えないことは、一般に認識されている事実です。 リリース時までに、ほとんどの知識は引用されなくなりました。



状況から抜け出す最も速くて最も成功した方法は独学です。