Давайте продолжим ход мысли недавней публикации про модели зрелости в области кибербезопасности. Допустим, провели мы оценку уровня своей защищенности по SAMM, CSF или другой модели, выбрали лучи-вектора для улучшения и целевые уровни. Ответ на вопрос «ЧТО мы строим?» у нас появился. А дальше? Вспоминая добрым словом архитектурных гуру — Джона Шервуда и его тезку-вдохновителя — Джона Закмана, когда-то задавших моду задавать (sic!) вопросы, понимаем, что нам не хватает понимания КТО у нас для этой стройки есть. И главное: КТО нам нужен, чтобы нашу «сказку сделать былью»? Под «КТО» я имею ввиду конкретных специалистов и руководителей с требуемым опытом, знаниями и умениями. И тут на сцену выходят модели компетенций*.

Первый раз про NICE я узнал из поста уважаемого Алексея Викторовича, потом кто-то пообещал серию публикаций с ее переводом, но не случилось. Последней каплей стало обновление NICE в марте этого года, и, вот, прошу любить и жаловать — перевод NICE.

NICE (официально – специальная публикация NIST 800-181r1) определяет единый подход и общий язык (таксономию) для формулировки знаний, навыков и задач и стандартизации профессиональной деятельности в области кибербезопасности, упрощая взаимодействие между всеми заинтересованными сторонами экосистемы кибербезопасности (работодателями, сотрудниками, образовательными и учебными заведениями, государством в целом и на международном уровне), позволяя выявлять, нанимать, развивать и удерживать таланты, снижая барьеры для входа, способствуя повышению мобильности и готовности персонала к достижению целей бизнеса.

Фреймворк NIST NICE был создан в 2008 году в рамках национальной инициативы США по кибербезопасности, и был нацелен на повышение уровня подготовки работников госсектора к решению задач кибербезопасности. В мае 2009 года охват NICE распространился на частный сектор, стал общенациональным. После этого было еще несколько обновлений, в процессе которых менялись те или иные компоненты, но основа осталась прежней. Важность NICE со временем только возрастает, т.к. дефицит персонала в отрасли ИБ в США регулярно признается угрозой национальной безопасности (Трамп, Байден).

Как и любая модель компетенций NICE состоит из нескольких взаимосвязанных компонентов: задачи (T), знания (K), навыки (S), рабочие роли и области компетенций. Здесь знания определяются как способность воспроизвести требуемую информацию по памяти, навыки – опыт применения этих знаний на практике, а задачи – фактически выполняемые на рабочем месте действия с применением навыков. Формулировки TKS (в NICE их более двух тысяч; также их называют индикаторами достижения компетенций) используются для определения состава рабочих ролей и областей компетенций.

Рабочая роль в NICE — совокупность задач, которые выполняет и за которые несёт ответственность отдельный специалист или команда. Роль не является синонимом должности. Как и сама профессиональная область, роли продолжают развиваться, NICE – живой документ, над которым постоянно идет работа. Анализ роли обычно проводится, исходя из состава входящих в неё задач. В NICE представлено 52 роли, разделённые на 7 категорий.

Область компетенции в NICE — совокупность связанных знаний и навыков, необходимых для решения задач в сфере ИБ, пока не оформившаяся в самостоятельную рабочую роль. Она помогает обучающимся определить свои интересы, планировать карьеру, выявлять пробелы в знаниях и демонстрировать способности. Области компетенций дополняют рабочие роли и могут использоваться самостоятельно.

Для создания команд можно использовать и роли, и области компетенций. Первый подход “сверху вниз” предполагает определение ролей, необходимых для достижения целей, и формирование команды на основе этих ролей. Второй подход “снизу вверх” рассматривает навыки и знания, необходимые для решения задач, т.е. команда составляется с учётом наличия у участников нужных навыков.

Примеры применения NICE

Работодатели могут использовать NICE для аттестации персонала, выявления специалистов с наиболее критичными и дефицитными навыками, создания более точных должностных инструкций и описания вакансий, улучшения процессов найма и удержания, управления эффективностью работы, разработки индивидуальных планов развития, обучения и карьерного роста, включая повышение квалификации, переподготовку и перевод сотрудников.

Образовательные учреждения могут разрабатывать учебные планы, программы и дисциплины, сопоставлять и оценивать знания и навыки обучающихся с учётом потребностей работодателей, изучать рынок труда в сфере кибербезопасности.

Учителя школ могут знакомить учеников с основами ИБ и киберграмотности, помогать им узнавать больше об этой профессиональной области и выбирать направление для дальнейшего обучения, а также разрабатывать дидактические материалы.

Учебные центры могут соотносить свои программы и оценки с наиболее востребованными навыками, помогая специалистам и работодателям получать их.

Студенты, кандидаты и работники могут узнавать о составе задач в каждой рабочей роли, связанных с ними знаниях и навыках, выявлять пробелы и демонстрировать свои способности, а также определять траектории для дальнейшего обучения и карьерного роста.

Поставщики услуг кибербезопасности могут ссылаться на элементы NICE Framework в своих продуктах и услугах для обеспечения совместимости со стратегией заказчика.

Официальное представление NICE позади, теперь немного о подходах, лежащих в ее основе и способствующих внедрению.

Skills-based Organization

Сравним с NICE профессиональные стандарты МинТруда для наиболее близкого мне в силу профессии специалиста по ИБ в КФС. Структура похожа: трудовые функции подобны рабочим ролям в NICE, трудовые действия — задачам, необходимые умения — навыкам, а знания — везде знания. Проваливаемся внутрь трудовой функции — идентификаторов для знаний и умений там нет, используется традиционный подход, основанный на должностях.

В NICE основным звеном являются не должности, а навыки. Декомпозиция должностей до навыков позволяет при принятии кадровых решений опираться не на внутренние ощущения, а на данные и факты. К примеру, кандидатов, удовлетворяющих критериям "диплом топового ВУЗа, от 10 лет опыта в ИБ, CISSP, CISM, OSCP,.." на рынке немного. Да и те, что есть, не всегда подходят, т. к. на самом деле "хотели не совсем то". Для «того» нужно уметь определять четкий перечень требуемых навыков и уровень ответственности, необходимый для работы на данной позиции, а главное, уметь их качественно и быстро оценивать. Как у кандидата, иначе велик риск нанять «кота в мешке», так и для программы обучения, иначе расходы на неё будут потрачены впустую.

Talent Supply Chain

Текущая ситуация с управлением талантами напоминает предпосылки, приведшие в свое время к идее цепочки поставок в логистике, когда каждый из участников, оптимизируя свои планы, не согласовывает их с возможностями и планами партнеров, мешая выполнению и их, и своих... Или, по-нашему, централизованное планирование в условиях волатильности рынка и реализации множества рисков не успевает синхронизировать предложение со спросом... Сведем аналогии в таблицу:

CyberSeek

Ключевую роль в формировании «цепочки поставок талантов» в области кибербезопасности в США играет cyberseek.org (недоступен из РФ), финансируемый NICE. Он предоставляет следующую информацию и инструменты:

• актуальные данные о зарплатах в области ИБ в разрезе ролей и навыков, что позволяет работодателям формировать конкурентоспособные предложения и стратегию набора персонала;

• интерактивную карту, наглядно показывающую соотношение спроса и предложения по ИБ-специалистам по регионам;

• анализ пробелов в навыках и дефицита специалистов по ролям, что позволяет учебным заведениям планировать программы обучения;

• карьерные пути, помогающие определить знания и навыки, необходимые для входа и развития карьеры в ИБ по тому или иному направлению;

• карту учебных и образовательных учреждений, которая помогает найти программу, подходящую для выбранной роли.

В целом CyberSeek способствует созданию более эффективного и устойчивого «конвейера ИБ-талантов», балансируя спрос и предложение по ИБ-навыкам в соответствии с меняющимся ландшафтом угроз.

Ближе к нашим реалиям проект Путь специалиста по ИБ, который ведет Дмитрий Федоров — интерактивная схема развития карьеры специалиста, составленная на основе анализа текущих вакансий. Уверен, при наличии ресурсов, он сможет составить конкуренцию CyberSeek.

*в публикациях на Хабр излагается моя личная точка зрения, которая может не совпадать с точкой зрения работодателя.