Специалист по кибербезопасности: нужен ли компании штатный

Специалист по кибербезопасности защищает информационные системы компании от атак, утечек и сбоев. Профессия широкая: от настройки средств защиты до расследования инцидентов и работы с документами. Поэтому перед наймом важно понять, какие задачи нужно решать и в каком объёме.

Какие бывают роли

Инженер по безопасности. Настраивает и поддерживает средства защиты: межсетевые экраны, системы защиты рабочих мест, VPN, системы мониторинга. Работает в связке с системными администраторами.

Аналитик мониторинга. Следит за событиями безопасности, разбирает оповещения, выявляет атаки. Работает в центре мониторинга, внутреннем или внешнем.

Специалист по реагированию на инциденты. Действует, когда атака произошла: локализует, расследует, восстанавливает.

Пентестер. Ищет уязвимости методами злоумышленника.

Специалист по безопасности приложений. Работает с разработчиками: проверяет код, настраивает процессы безопасной разработки.

Специалист по соответствию и документам. Политики, регламенты, соответствие требованиям законодательства и стандартов.

Руководитель службы безопасности (CISO). Стратегия, бюджет, управление рисками, отчётность перед руководством.

В небольшой компании один человек совмещает несколько ролей, но эксперт сразу во всём встречается редко.

Чем занимается штатный специалист в средней компании

• Инвентаризация систем и данных
• Управление доступами и их регулярный пересмотр
• Контроль обновлений и устранения уязвимостей
• Настройка и поддержка средств защиты
• Анализ событий безопасности
• Обучение сотрудников
• Разработка и поддержка политик
• Работа с подрядчиками по безопасности
• Реагирование на инциденты

Когда нужен штатный специалист

• Компания обрабатывает много персональных или финансовых данных
• Деятельность регулируется требованиями к защите информации: финансы, медицина, телеком, критическая инфраструктура
• Есть собственная разработка и продукты, доступные клиентам через интернет
• Инфраструктура большая: много серверов, филиалов, удалённых сотрудников
• Партнёры и клиенты требуют подтверждения уровня защиты
• Были инциденты, и руководство хочет системного подхода

Когда можно обойтись без штатного

• Небольшая компания с типовой инфраструктурой
• Основные системы — облачные сервисы и типовое ПО
• Есть надёжный IT-подрядчик, который выполняет базовые меры защиты

В этом случае разумно назначить внутреннего ответственного из руководства или IT, а специализированные задачи — аудит, пентест, мониторинг — отдать подрядчику.

Связка штатного и внешнего

Даже при наличии штатного специалиста часть задач лучше отдавать внешним компаниям:

• Пентест — независимый взгляд со стороны
• Круглосуточный мониторинг — один человек не может работать круглосуточно
• Расследование серьёзных инцидентов — нужна команда и специализированные инструменты

Штатный специалист в этой модели — координатор, который знает компанию и управляет подрядчиками.

Как проверить кандидата

• Попросите рассказать о реальном инциденте, с которым он работал, и что он сделал
• Спросите, с чего бы он начал в вашей компании в первый месяц — хороший ответ начинается с инвентаризации и оценки рисков, а не с покупки средств защиты
• Проверьте понимание базовых вещей: сети, операционные системы, принципы аутентификации
• Оцените способность объяснить риски руководителю простым языком
• Пригласите внешнего эксперта на техническое собеседование, если в компании нет своего

Как не перегрузить специалиста

• Не поручайте ему системное администрирование в нагрузку: на безопасность не останется времени
• Определите приоритеты на первый год
• Дайте полномочия и прямую связь с руководством
• Выделите ресурсы на средства защиты и обучение

Ошибки

• Нанять специалиста и ожидать, что безопасность обеспечена без участия остальных
• Нанять специалиста узкого профиля для задач другого профиля
• Совмещение ролей администратора и контролёра: человек проверяет сам себя
• Отсутствие бюджета: специалист есть, а инструментов нет

Если вы решаете, нанимать специалиста или привлекать подрядчика, опишите компанию и задачи — поможем определить оптимальную модель.