Наконец, домонтировали многострадальное калибровочное интервью. Оказалось, пришлось править слишком много fabric, слишком много details... На Youtube оно уже доступно по ссылке.
Ниже выложу отдельно звуковую дорожку, чтобы можно было послушать в формате подкаста.

Собственно, в видео уже сказал, продулблирую тут тоже. За помощь с вопросами спасибо проекту "Менторство ИБ", к которому я сам недавно присоединился. ТГ-канал проекта. Официальный сайт.

Ну и напомню про мою подборку информации по старту карьеры в ИБ.

После того, как перебрался на Кипр, резко увеличилось число предложений о работе безопасником тут... Если вдруг кто-то в поиске - пишите. Буду рекомендовать вас рекрутёрам)

Оговорюсь по предыдущему посту - мне, обычно, пишут с вакансиями от 2-3 лет опыта. Так что, людей без опыта я туда рекомендовать не смогу (а то уже несколько человек написали). Вы можете сами мониторить такие вакансии, вот тут делал подборку - https://www.notion.so/aleksei-pyrinov/153199dbe80e80e58650f8279ce9fa71
Но, если вы ищете релокацию, то вакансии с такой опцией начинаются, обычно, от 1 года опыта...

Я тут нащупал пару тем, которые, как будто, не сильно освещаются в интернете, но, при этом, не очевидны для начинающих специалистов. По каждой надо небольшой цикл статей, скорее всего, написать будет (ну, либо одну очень длинную)... Темы затронуты в моей подборке материалов, но надо разложить чуть подробнее. Поэтому, давайте определимся, с чего начать:

1. Актуальные сертификации в ИБ для РФ и международного рынка. Жива ли, вообще, сертификация, что и на каком этапе стоит сдавать?
2. Типы предприятий, на которых вам предстоит работать. Вендор\аутсорс\заказчик, крупные и мелкие предприятия, какая специфика есть у всех этих категорий и как они взаимодействуют друг с другом....

В целом, порядок статей по голосованию ясен. А пока небольшой тизер ещё одного пласта контента...)

Завтра должен, наконец, выложить интервью по SOC, а в четверг планирую принять участие вот тут:

А, тем временем, видео уже на канале! Дошли от джунов до лидов...
В этот раз интервью получилось всего (!) на час, и его проводил не я, а Ильназ, представитель проекта Менторство ИБ.
Ниже, как и в прошлый раз, прикреплю звук для прослушивания в формате подкаста.

Новость для напоминания о важности кибергигиены в эпоху, когда "пробить" кого-то можно парой кликов мышки: Massive Attack начала выводить на экраны во время своих концертов лица зрителей с информацией о них...

Судя по кадрам, там, в основном, сведения о работе, так что, скорее всего, подтягивает с LinkedIn. Так что, можно напомнить ещё и о важности корректного его заполнения - никогда не знаешь, где и кто его увидит...

Наконец, дошли руки до того, чтобы написать обещанный пост про сертификации в ИБ. Давайте сначала определимся с типами сертификаций (понятно, что это всё неофициально, но так, просто, будет удобнее).

Во-первых, я бы разделил сертификаты на вендорские (которые показывают ваше знание продукции конкретного вендора) и общие (которые показывают ваши знания ИБ, в целом или какой-то его области, типа, пентеста). Во-вторых, стоит учитывать региональную специфику. Особенно, если вы планируете работать в разных странах. Я бы условно разделил это на РФ и международный рынок (опять же, "международный рынок" - очень общее понятие, в каждой стране свои особенности, и вот это вот всё, но в такие тонкости вдаваться - это отдельная статья по каждому региону нужна.

Плюс, я буду оценивать каждую категорию по следующим (максимально субъективным) критериям полезности в разных ситуациях:
Повышение ваших личных знаний.
Котируемость на рынке труда.
Важность для тендеров. Тут, думаю, нужно пояснение для тех, кто не сильно знаком с тендерной системой. Изначальная её цель - чтобы организация (обычно, это применяется к госорганам) смогла получить нужную ей услугу\оборудование\ПО по оптимальной цене. Выставляется заявка с определёнными требованиями к конечному продукту, и тот, кто сможет предложить подходящий вариант за самую дешёвую цену, и выигрывает. Идея хорошая, но... Всегда можно её взломать. Как итог, например, бывает, что тендер объявляется под конкретную компанию - госорган требования пишет так, чтобы выиграла выбранная ими контора. И один из вариантов, как оградить тендер от посторонних участников тут - как раз, наличие определённых сертификатов у сотрудников компании-исполнителя. Поэтому, этот критерий особенно актуален, если вы планируете трудоустройство в аутсорс-компании (которые, кстати, и сдачу сертификатов, часто, сами своим сотрудникам охотно оплачивают).

Итого, у нас есть четыре категории - давайте пойдём по порядку:

Международные общие
Повышение ваших личных знаний 5/5. Котируемость на рынке труда 5/5. Важность для тендеров 2-4/5 (очень зависит от сертификата)
Как я уже сказал, это экзамены, которые подтверждают ваши скиллы в ИБ, в целом (типа SSCP, Security+ или GISF) или же в каком-то конкретном направлении ИБ, типа пентеста (CEH), SOC (GSOC), комплайенс (CGRC), сетевая безопасность (CCNA - тут сложилась парадоксальная ситуация. Это экзамен от конкретного вендора, по его продукту, и, даже, не завязан на безопасности, но за счёт репутации Cisco, котируется неплохо и выступает универсальным сертификатом по сетевой безопасности) и т.д. (на самом деле, все организации, на которые дал ссылки выше предоставляют сертификации по большей части направлений ИБ).
Эти сертификации проверяют теоретическую базу, а курсы для подготовки к ним, соответственно, позволяют эту самую крепкую базу подтянуть. Большая часть сертификаций в рамках одного направления и уровня сильно похожи, так что, сдав один экзамен, обычно, не сильно большой квест - сдать и второй. Основная загвоздка - цена. Обычно, за их сдачу берут от 300 долларов и больше. Поэтому, при выборе экзамена, я бы посоветовал смотреть на то, какой больше котируется в регионе, в котором планируете работать и в том направлении ИБ, которое вас интересует... Так, например, у пентестеров, насколько я знаю, больше в цене, сертификаты, именно, по пентесту. А вот в SOC сертификации внутри направления не так ценятся. GIAC особенно в цене в США, а ISC2 - в Европе. Хотя, всегда бывают исключения...
Для тех, кто планирует сдавать подобную сертификацию - обычно, сдача их проходит на английском языке (кстати, подготовка к любой из них неплохо прокачает ваш уровень профессионального английского), в сертифицированных центрах, под камерами. Сдать онлайн подобные сертификации не выйдет.

Международные вендорские
Повышение ваших личных знаний 4/5. Котируемость на рынке труда 3/5. Важность для тендеров 3-4/5 (зависит от страны).
Тут очень сложно уместить всё в пару абзацев, так как ситуация максимально разношёрстная... Может отличаться и формат сдачи, и способы оплаты - например, начальные экзамены Fortinet бесплатные и сдаются онлайн, а экзамен максимального уровня будет стоить $400 за теоретическую часть, и сдаётся в авторизованном центре под камерами. Знания они, обычно, предоставляют весьма неплохие, но в очень узкой сфере. По сути, обучают работе с конкретным продуктом или семейством продуктов одного вендора. Котируются такие сертификаты, как в аутсорс-компаниях, так и для инхаус-позиций, но только в том случае, если в компании внедрено ПО соответствующего вендора. Если же вы прогадаете, сдадите один экзамен, а будете подаваться в компании, в которых ПО этого вендора не используется - вы окажетесь в пролёте. Часто наличие таких сертификатов у сотрудников компании требуется для получения статуса какого-нибудь "сертифицированного партнёра" производителя СЗИ. Это может давать разные плюшки - от банальной возможности внедрять продукты компании до получения специальной партнёрской скидки и рекомендации на региональном сайте производителя. Но, обычно, для получения таких бонусов требуются сертификаты не начального уровня.

Российские общие.
Повышение ваших личных знаний 3(?)/5. Котируемость на рынке труда 1(?)/5. Важность для тендеров 2(?)/5.
Насколько я знаю, это направление после начала войны, скорее, мертво, чем живо. Сдача подобных сертификаций оплачивается через международные платёжные системы, а сама сдача проходит в авторизованных центров, которых не осталось на территории РФ. Как итог, если вы проживаете в РФ, при особом желании, можно найти способ оплатить их, съездить сдать куда-нибудь в Армению или Казахстан, но компании сами понимают, что это не сильно релевантно в текущих условиях, поэтому, вакансий с подобными сертификациями в требованиях, всё меньше.
Были попытки создать "Наш ответ CISSP", но, насколько эти попытки успешны, насколько реальные знания они дают - сложно судить, находясь за пределами РФ. Судя по описанию, ребята сильно не заморачивались, скопировали структуру признанной международной сертификации - а она по предоставляемым знаниям, действительно, неплоха, так что, если ваша цель - прокачать свои теоретические знания (которые, кстати, неплохо помогают на собесах) - может, и стоит рассмотреть эту сертификацию. Вроде, я даже где-то натыкался на новости о том, что они аналог SSCP разрабатывают (он больше подходит для начинающих), но сейчас не нахожу.

Российские вендорские
Повышение ваших личных знаний 1/5. Котируемость на рынке труда 3/5. Важность для тендеров 5/5.
Тут... Всё весело, так как есть очень большая разница между экзаменами от российских производителей СЗИ и экзаменами от международных. При чём, разница не в пользу первых, так сказать. Собственно, по оценкам вы можете заменить, что в российских вендорских сертификатах фокус сильно смещён с, собственно, получения знаний на использование их для тендеров. Оговорюсь сразу - я не могу говорить за все-все экзамены всех-всех вендоров, всех-всех продуктов, но то, что сдавал я сам в своё время, то, что сдавали коллеги - уровень экзаменов, обычно, отвратительный. Это и устаревшие материалы для подготовки по старым версиям продуктов, порой, противоречащие текущему функционалу ПО, и отсутствие минимального контроля за сдающим, и ответы на экзамен, не меняющиеся по 5 лет... Самое фееричное - это когда "курс подготовки к сдаче экзамена (тысяч за 30-40 рублей) заключается в том, что "лектор" просто проговаривает ответы на вопросы из теста. Идти сдавать самому ради знаний - не советую. Идти ради получения бонусов на рынке труда... Сомнительно... но окей... Но, проблема в том, что котируются они только в аутсорс-компаниях, которые, повторюсь, сами оплачивают их сдачу, поэтому, я бы посоветовал начинать собирать такие сертификаты уже после трудоустройства в этот самый аутсорс.

Кстати, минорное уточнение по сертификациям - некоторые международные сертификации всё ещё можно сдать, находясь в РФ, но таких немного - в основном, это вендосркие сертификации тех вендоров, которые остались в РФ (тот же CheckPoint) или сертификации, не требующие оплаты и личного присутствия (базовый уровень FortiGate). Для тех, кто планирует движение в сторону международного рынка - рекомендую присмотреться. Но, лучше, всё-таки, в такой ситуации сдать не только вендорскую, но и общую сертификацию где-нибудь во время отпуска в другой стране)

Итак, второй обещанный пост - типы предприятий, с которыми вы будете взаимодействовать, как специалист по информационной безопасности...

О чем, вообще, речь? ИБ - это не только пентесты и реагирование на инциденты... Это ещё и внедрение средств защиты, а так же, их поддержка. В целом, довольно много специалистов не сильно взаимодействуют с этой частью ИБ, но даже для них этот пост может быть интересен, чтоб лучше понимать изнанку. Но больше всего пост подойдёт тем, кто планирует сам внедрять СЗИ, и присматривается к работе в вендорах и аутсорсах (здесь и дальше буду использовать терминологию аутсорс-компаний). Мне же довелось поработать в компаниях всех трёх типов, ещё и на разных рынках, так что, думаю, мне есть, что рассказать на эту тему.

Собственно, стандартная схема внедрения СЗИ выглядит так:

1. Вендор (или же компания-производитель средства защиты) - компания, которая, собственно, разрабатывает ПО (PT, Касперский, Код безопасности, Астра и ещё сотни таких компаний). У этого производителя очень много заказов на внедрение средств защиты. Часто, безопасники в конечных конторах - это, опять же, люди, которые занимаются, в первую очередь, реагированием на инциденты. Они не архитекторы, не внедренцы. В общем, сами они, конечно, могут внедрить и настроить это средство защиты, но не факт, что оно будет сконфигурированы правильно (особенно, учитывая, что производители сзи, часто, любят изобретать велосипеды и придумывать какие-то нестандартные особенности настройки).

Если вендор достаточно крупный, то у него, часто, есть штаб собственных архитекторов и внедренцев. Но они, опять же, обычно, работают только для крупных заказчиков, где одно внедрение - это несколько десятков филиалов. Если вендор крупный, а заказчик - не очень, то тут в дело вступает аутсорс-компания (об этом чуть ниже). Если, наоборот, заказчик - из крупного бизнеса, а вендор только выходит на рынок, то тут могут встречаться экзотические варианты... Об этом расскажу ниже.

Кому советую идти на позицию архитекторов и внедренцев в крупные вендора? Наверное, это одна из самых вкусных позиций для миддл+ специалистов, которые не хотят уходить в менеджмент. Начинающим специалистам по внедрению СЗИ туда идти не советую, так как у вас получится слишком узкая специализация, и потом будет тяжеловато искать новую работу. Хотя, если у вас в планах остаться в одной компании лет на 10 - можно рассмотреть и этот вариант. Но тут уже встаёт вопрос в скорости роста вашей зарплаты при таком подходе (на старте карьеры смена компании - пожалуй, один из самых эффективных бустеров ЗП).

2. Собственно, заказчик - компания, которая хочет внедрить средства защиты. Если вы планируете заниматься, именно, внедрением СЗИ, то, пожалуй, это не лучший вариант для старта - специалисты по внедрению (или, хотя, бы специалисты, шарящие за архитектуру систем защиты) появляются в компаниях только когда они достигают очень большого размера. Я бы сказал, тысячи сотрудников и несколько филиалов. И это, именно, специалисты уровня сеньор+. Для того, чтобы компания согласилась брать в такую команду джунов - я даже не знаю, какого размера она должна достигнуть. Подойдёт, разве что, бигтех с десятками тысяч сотрудников, но такие компании можно пересчитать по пальцам...

3. Аутсорс (не путать с аутстафом - об этом отдельный пост писать не буду, так как это уже много раз расписано. Например, тут) - это компания, которая занимается внедрением средств защиты (КРОК, СОлар, ICL, EPAM и т.д.). Такое связующее звено между заказчиками и вендорами. Тут я попытаюсь объяснить на конкретном, более-менее типовом, примере.

Итак, у нас есть заказчик - ИТ-компания на 1000 человек, которая начинает разрабатывать новый продукт. Компания хочет сразу подготовить всю ИТ-инфраструктуру, в том числе, и систему защиты информации, которая включает в себя ПО от нескольких вендоров. Как я уже казал выше, архитекторов ИБ у этой компании, скорее всего, нет. Специалистов, которые могут выбрать наиболее подходящие заказчику СЗИ из представленных на рынке, рассчитать их производительность, настроить взаимодействие и т.д. - скорее всего, тоже. Поэтому, он идёт к аутсорс-компании. Обычно, у такой компании есть несколько производителей, с которыми она поддерживает тесные связи, ей дают спецскидки, повышенный уровень поддержки, рекламу на сайте самого производителя. Но, при этом, она готова работать практически с любым ПО и оборудованием - обучать инженеров с нуля (там, всё равно, часто очень большой уровень текучки на младших должностях). За счёт этого самого уровня текучки, кстати, компании очень оперативно могут подстраиваться под меняющийся рынок, иметь в своём штате спецов по только-только вышедшему на рынок оборудованию и т.д.

Собственно, откуда там, вообще, такой уровень текучки и к каким ещё последствиям это ведёт? По сути, эти компании являются очень хорошим пунктом для старта специалистов по внедрению и архитекторов ИБ - приходя туда, вы можете быть практически на 100% уверены, что вы познакомитесь с оборудованием разных вендоров, и, часто, с различным предназначением - МСЭ, антивирусы, SIEM (да, скорее всего, специализироваться будете на чём-то одном, остальные СЗИ заденете поверхностно, но всё же). У вас, однозначно, будет очень много опыта, и через пару лет вы будете достаточно квалифицированным специалистом, который сможет претендовать на высокую зарплату. НО... на хорошую зарплату вы сможете претендовать, скорее всего, не в аутсорсе. Я не слышал ни об одном крупном аутсорсе, который бы платил, хотя бы, в среднем по рынку. Обычно, платят по низу рынка или даже ниже. На счёт мелких - не уверен. Плюс, хороший скилл через пару лет достигается тем, что вы, скорее всего, будете работать. Нет, не так ... Вы будете ЕБАШИТЬ, ОВЕРТАЙМИТЬ и вот это вот всё. Особенно, на самом старте карьеры. За счёт того, что многие заказчики аутсорсов - это госпредприятия, у которых единый бюджетный период и одинаковая система планирования "нам нужно всё закончить к новому году" вторая половина года, часто, превращается в ад. Ну а там и выгорание недалеко.

На старте аутсорсы я считаю очень хорошим вариантом, но там важно не пересидеть. Идти на старте на ЗП тысяч 40 (для региона) или 60 (для столиц) - вроде, сейчас там примерно такой уровень вместо 50-80, возможно, имеет смысл, если через год-два ты будешь иметь столько опыта, чтоб получать зарплату выше рынка. Но вот сидеть там до сеньора, чтоб, наконец, начать получать зарплату дотягивающую до твоего уровня - хз, стоит ли...

Ну а на десерт - пара обещанных в начале текста внутряков-кульбитов... Ну, про то, что аутсорс заказчикам, обычно, продаёт своих инженеров уровнем выше - думаю, все, и так в курсе (когда джунов представляют миддлами, а миддлов сеньорами). Про то, что, часто, компании манипулируют сертификатами, чтоб выигрывать тендеры - тоже уже писал. Поэтому, давайте из более нестандартного...

На самом деле, все самые любопытные конфигурации, о которых я слышал, встречались, когда небольшой вендор, только выходящий на рынок, пытался продать своё ПО\оборудование своему первому крупному заказчику. По сути, такие заказчики - это главная причина существования таких вендоров - то, что позволяет им развиваться. Поэтому, они могут идти на разные ухищрения. Например, нормой является такой, своеобразный неофициальный аутстаф - когда вендор "арендует" сотрудников аутсорса, которые представляются сотрудниками вендора, чтоб показать - "мы компания крупная, не хухры-мухры, доросли уже до того, что у нас свои внедренцы есть!"

Второй любопытный вариант - это когда компания-вендор решает стать полноценным аутсорсом - спроектировать и внедрить целую систему защиты от кучи разных вендоров, лишь бы одним из компонентов этой системы защиты был её продукт.

Теперь официально - Я НЕ РАЗВОЖУ ПЕНСИОНЕРОК НА ДЕНЬГИ!

Для тех, кто сомневается - на днях у меня на руках должен оказаться документ, подтверждающий это!

У тех же, кто в этом, и так не сомневался, возможно, возникнет вопрос - "а зачем тебе, вообще, документ, подтверждающий это?" Так вот - как оказалось, такой документ сегодня может понадобиться каждому. Но обо всем по порядку...

Больше года назад в этом канале я опубликовал пост, наполненный фатализмом на тему сливов персональных данных. Спустя пол года оказалось, что на тот момент мои персональные данные не только слили, но и успели пустить в оборот. И вот, спустя пол года судебных разбирательств, после завершения первого этапа, я решил рассказать тут эту потрясающую историю - может, пригодится кому-то - масштаб проблемы осознать или самому отбиться от подобных исков...

Итак, всё началось с МТС-банка в начале 2024 года... Для понимания - я не пользовался услугами этого банка или оператора. Что не помешало им открыть на моё имя банковскую карту (предвидя комментарии - нет, самозапрет на кредиты в таком случае не помогает, так как это была дебетовая карта, а не кредитная). Произошло это в момент, когда я физически находился за пределами территории РФ - где проживал и проживаю уже несколько лет. И, буквально спустя пару дней после открытия этих продуктов, через них "прогнали" несколько сотен тысяч рублей, которые выманили у пенсионерки из Рязани. МТС банк, конечно, бдительно заблокировал карту за подозрительные переводы. Сразу после того, как на ней не осталось ни копейки денег...

Собственно, спустя год я случайно (по адресу проживания прислали повестку в качестве свидетеля, но решил подстраховаться и проверить, не заведено ли на меня дело в локальном суде) выясняю, что на меня заведено гражданское дело (кстати, по новому законодательству, я бы проходил уже по уголовке). Срочно нахожу адвоката, оформляю доверенность, отправляю её в РФ (кстати, перед эмиграцией - очень сильно рекомендую оформить доверку не только на родных, но и на адвоката)... Кстати, адвокат сходу заявила - "Такие дела сейчас идут в огромном количестве, и суды в них не любят разбираться. Практически всегда дело заканчивается тем, что человек, на которого вот так оформили карту, обязан возместить жертве мошенников деньги, которые она им перевела + моральную компенсацию. Я готова взяться за твой случай лишь потому, что в тот момент ты физически был не в РФ" (Напоминаю - недавно это стало уголовкой. Если практика не изменилась...)

И вот, всё завертелось. Я писал заявления, куда только можно - МВД, прокуратура, РКН... (среагировали только первые). Пытались выяснить, как эту карту оформили, к какому номеру привязали... Попутно выяснилось, что деньги этой пенсионерки улетели не только на мою карту - она, в целом, набрала кредитов на полтора миллиона рублей, и разделила их между 3-4 разными людьми... Короче, вся эта канитель растянулась на пол года. И вот, на днях, наконец, вынесено решение - я, официально, не виновен. Сейчас осталось дождаться вступления решения в силу - и можно идти воевать с МТС-банком... Как я понял, там творится какой-то трэш, так как, пока длилось это дело, я узнал, что в такую же историю встряли пара моих знакомых. И у всех история, как под копирку, и во всех историях фигурируют эти три буквы...