Меня зовут Дмитрий Федоров, я руковожу проектами по взаимодействию с вузами в команде Positive Education. В марте прошлого года мы с коллегами презентовали схему карьерных треков в кибербезопасности — первый и единственный в России ресурс, описывающий актуальные профессиональные роли и пути построения карьеры в информационной безопасности. С тех пор многое изменилось, как в кибербезопасности, так и на нашей схеме.
Наша карьерная карта кибербезопасности — живой инструмент, который постоянно обновляется, чтобы успевать за супердинамичным сектором ИБ и чтобы у специалистов отрасли был по-настоящему актуальный навигатор по карьере.
В тексте ниже я объясню, как правильно использовать схему карьерных треков для построения карьеры в кибербезопасности, и расскажу про ключевые изменения последних месяцев. Считайте, что перед вами полноценная инструкция по применению обновленного инструмента.
Что такое карьерная карта и зачем она нужна
Принципиальный момент — почему мы используем термин «роли», а не привычные «профессии». Роль представляет собой группу работ, за которые человек или команда несет ответственность. Рабочая роль и должность — это совершенно разные понятия, которые иногда могут совпадать, но чаще должность специалиста по кибербезопасности включает сразу несколько рабочих ролей.
Почему так происходит? Задачи специалиста напрямую зависят от зрелости процессов ИБ в компании. На средних предприятиях за кибербезопасность может отвечать системный администратор, который одновременно настраивает принтеры, разворачивает системы защиты информации, анализирует журналы и составляет отчеты для руководства — то есть совмещает функции администратора СЗИ, аналитика SOC и комплаенс-менеджера в одном лице. На крупных предприятиях за ИБ отвечают целые подразделения с четким распределением функций: работают собственные центры мониторинга ИБ (SOC), команды реагирования на инциденты, отделы управления уязвимостями и архитекторы безопасности.
В процессе движения по карьерному пути специалист пробует себя в различных ролях и постепенно может претендовать на новые должности в компании, которые подразумевают более сложные и интересные задачи. Альтернативный путь — рост как эксперта в одной роли, например накопление глубоких знаний и навыков в области анализа защищенности или реверс-инжиниринга систем.
Мы сделали инструмент навигации по ролям в кибербезопасности, который решает несколько практических задач. Во-первых, схема помогает понять, где вы находитесь сейчас в профессиональном плане — не формально (по названию должности), а объективно, по реальным обязанностям и компетенциям. Во-вторых, она показывает, куда можно двигаться дальше и какие конкретно шаги нужны для перехода в интересующую роль. В-третьих, схема дает возможность планировать долгосрочную карьерную траекторию с учетом ваших интересов и потребностей рынка труда.
В процессе доработки схемы я значительно расширил прикладную составляющую проекта. Теперь для каждой роли появились конкретные варианты обучения — например, практикумы от Positive Education, которые позволяют получить нужные навыки под руководством опытных наставников. Кроме того, мы создали детальные описания специализаций внутри ключевых направлений: на отдельных страницах схемы появились ссылки на описания ролей аналитика в области кибербезопасности с различными фокусами, включая проектную аналитику и другие узкие направления. Все эти материалы в данный момент размещены на GitHub, но я планирую перевести их на отдельный сайт, так удобнее.
Как читать схему
Визуально наша карта напоминает карту метро, поскольку сделана по ее образу и подобию. Подобно тому как схема метрополитена помогает пассажирам ориентироваться в транспортной системе города, наша карта позволяет специалистам по кибербезопасности навигировать в профессиональном пространстве отрасли.
Каждый прямоугольный блок на схеме представляет отдельную роль со своими ключевыми задачами и детальными требованиями к компетенциям. Цветовые зоны образуют восемь основных направлений развития в кибербезопасности:
центры мониторинга ИБ (SOC),
безопасная разработка приложений,
комплаенс-менеджмент и соответствие требованиям регуляторов,
исследование безопасности и поиск уязвимостей,
управление уязвимостями в корпоративной инфраструктуре,
администрирование средств защиты информации,
защита информации на объектах критической информационной инфраструктуры,
аналитика в области информационной безопасности.
Линии между ролями показывают возможные переходы и карьерные траектории, но специалист может двигаться по различным маршрутам в зависимости от своих интересов, способностей, жизненных обстоятельств и текущих потребностей рынка труда. Пунктирные линии указывают на переходы между направлениями: эти смены треков происходят в кибербезопасности часто и позволяют специалисту привносить в новую роль уникальный взгляд, приобретенный в предыдущей области деятельности.
Одно из важных изменений в обновленной схеме касается подхода к преподавательской деятельности. Исчезла отдельная роль преподавателя кибербезопасности: теперь это дополнение к каждой из основных ролей. В текущей версии предполагается, что человек сначала становится специалистом в своей предметной области, а затем может дополнительно заниматься преподаванием. Это решение отражает реальную ситуацию на рынке: лучшие преподаватели ИБ — это практикующие специалисты, которые делятся своим актуальным опытом. Именно такой подход мы применяем в Positive Education, где все эксперты программ — это практики, которые каждый день в своей работе сталкиваются с теми задачами, о которых рассказывают участникам.
С чего начать работу со схемой
Первый шаг — максимально честно определить свою текущую позицию, причем делать это нужно по реальным обязанностям и выполняемым задачам, а не по формальному названию должности в трудовом договоре. Зачастую то, что написано в трудовой книжке, кардинально не соответствует тому, чем вы занимаетесь каждый день. Например, вы можете числиться «инженером по информационной безопасности», но при этом заниматься настройкой SIEM-систем, анализом журналов безопасности, расследованием инцидентов и написанием отчетов для руководства, то есть фактически выполнять функции администратора СЗИ, аналитика SOC и частично комплаенс-менеджера.
После определения текущего состояния найдите на карте ближайшие роли, куда реально можно вырасти с учетом имеющегося опыта. Обратите внимание на требования к этим ролям и составьте список навыков, знаний и компетенций, которых вам сейчас не хватает для успешного перехода. Важный момент: учитывайте не только технический опыт, но и так называемые soft skills — навыки коммуникации, управления проектами, стратегического мышления. Чем выше по карьерной лестнице, тем большую роль играют эти компетенции. Этот анализ пробелов станет основой для составления индивидуального плана профессионального развития.
Чтобы упростить этот процесс самоопределения, мы серьезно переработали информационную архитектуру схемы. Теперь в каждой роли появились детальные требования к знаниям и навыкам с четкой структурой. Если это полноценная рабочая роль, то дополнительно указаны конкретные обязанности — что именно делает специалист на данной позиции изо дня в день. Если речь идет о более узкой специализации внутри роли, то описаны только знания и навыки, необходимые для работы в этом направлении. Вся эта информация ведет на энциклопедию ролей в кибербезопасности, которая пополняется параллельно со схемой и представляет собой структурированное текстовое описание ролей и специализаций с обширным набором материалов для студентов и преподавателей.
Еще одним важным нововведением стали прямые ссылки на практические материалы. Для каждой роли в обновленной схеме появилась ссылка на соответствующую статью на Хабре, где можно подробно изучить, чем занимается конкретный специалист, познакомиться с интервью экспертов, которые работают в данной роли. Это позволяет вам не просто изучить формальные требования, а ознакомиться с практическими аспектами работы и буквально примерить роль на себя через опыт других людей.
В процессе этого обновления я существенно переработал юзабилити всего проекта: значительную часть ключевых описаний вынес прямо на главную схему, благодаря чему она стала гораздо понятнее людям, которые впервые ее открывают. Основная идея заключается в том, чтобы любой человек — студент, преподаватель или начинающий специалист — мог зайти на схему и сразу сориентироваться в том, что это за инструмент, куда ему стоит двигаться и какими знаниями и навыками необходимо обладать для достижения цели.
Как планировать движение по карьерной траектории
После анализа текущего состояния легче выбрать стратегию дальнейшего развития. Существует два основных подхода: углубление экспертизы в своей текущей роли или переход на смежную роль с освоением новых компетенций. Первый путь подразумевает развитие от junior-специалиста до senior-эксперта в рамках одного направления. Например, аналитик SOC первого уровня может развиваться до ведущего аналитика, затем до архитектора SOC и в перспективе до руководителя центра мониторинга информационной безопасности. Здесь требуется глубоко изучить специализированные технологии, получить профильные сертификации и накопить экспертный опыт в узкой предметной области.
Стратегия перехода между ролями позволяет расширять кругозор и приобретать междисциплинарные компетенции. Например, администратор СЗИ может перейти в управление уязвимостями, затем попробовать себя в роли пентестера, а после этого заняться архитектурой безопасности. Такой подход формирует системное понимание кибербезопасности и открывает возможности для руководящих позиций.
Для выбранного направления развития изучите детальные требования: какие конкретные технологии нужно освоить, какие практические навыки приобрести, какие компетенции являются критически важными для успешной работы в целевой роли. Обратите внимание на инструменты, которые используются в этой роли, методологии работы, типичные задачи и ожидаемые результаты.
Составьте конкретный план действий с перечислением двух-трех ближайших ролей и четкими шагами для достижения каждой из них. Это может включать прохождение практических курсов, участие в профессиональных конференциях, изучение новых технологий или участие в соревнованиях по кибербезопасности.
Как использовать схему для развития
На карте есть различные слои, которые можно включать и отключать в десктопной версии: «Старт карьеры» для тех, кто только начинает свой путь в кибербезопасности, «Развитие карьеры» для понимания дальнейших возможностей роста, «Значки» — слой, где появляются все обучающие курсы, ссылки на тексты и легенда к схеме. Для начинающих специалистов я рекомендую выбрать стартовые роли: администратор СЗИ, аналитик SOC первого уровня и другие начальные позиции. Практикам карта поможет проверить возможности дальнейшего развития и найти смежные треки. Тимлиды могут использовать схему для планирования развития команды: понимать, кто куда может перейти, какие пробелы в компетенциях нужно закрывать.
Параллельно с улучшением интерфейса в схему добавили принципиально новые роли, которые отражают современные реалии индустрии. Одно из главных дополнений — роль директора по информационной безопасности (CISO). Многие задаются вопросами: кто это такой, как им становятся, какой карьерный путь нужно пройти для достижения этой позиции. Обновленная схема показывает, что для роли CISO критически важен навык стратегического мышления и знания из области архитектуры ИБ. Конечно, это несколько идеализированное представление, но оно дает понимание ключевых компетенций для этой позиции.
Еще одна важная новинка — пресейл-инженер по ИБ. Это гибридная роль на стыке технической экспертизы и коммуникаций, где человек одновременно является глубоким специалистом по кибербезопасности и умеет донести эту экспертизу до других: выступать с презентациями перед клиентами, объяснять сложные технические решения простым языком, переводить техническую экспертизу на язык бизнес-задач. В условиях растущего рынка продуктов для ИБ такие специалисты становятся все более востребованными.
Также на схеме появилась специализированная роль вирусного аналитика в группе ролей, связанных с исследованием безопасности. Эта позиция становится все более важной в связи с постоянным усложнением киберугроз и необходимостью глубокого анализа вредоносного программного обеспечения для понимания механизмов атак и разработки эффективных мер защиты.
Кардинальные изменения коснулись трека безопасной разработки. В предыдущей версии схемы это был единый путь, где специалист по безопасной разработке развивался достаточно линейно. В обновленной схеме появилось важное разделение треков. Теперь выделены отдельный путь инженера по безопасной разработке и специализированный трек DevSecOps-специалиста, который в дальнейшем может перейти в роль MLSecOps-инженера. Это уточнение треков позволяет специалистам в области безопасной разработки приложений значительно точнее ориентироваться в карьерных возможностях и выбирать подходящее направление развития.
Ограничения карты
Важно понимать, что схема является ориентиром, а не строгим карьерным сценарием. Рынок труда постоянно меняется, появляются новые роли, а переходы между позициями могут быть нелинейными. Важно сверять карту со своими задачами, интересами и требованиями конкретных работодателей.
Мой совет: используйте карту как чек-лист навыков. Сверяйте свое резюме и опыт с требованиями интересующих вас ролей. Прогоняйте через схему план обучения, задаваясь вопросом: «Что мне даст этот курс для продвижения к целевой роли?» Возвращайтесь к карте регулярно: фиксируйте свой прогресс и корректируйте траекторию развития в соответствии с изменениями в индустрии.
Планы развития проекта
Говоря про будущее схемы, нужно выделить два основных направления развития. Первое — обновление самой схемы ролей и треков развития. Я стараюсь не перегружать схему, чтобы она оставалась простой и понятной для начинающих специалистов. Слои позволяют удобно работать с интерфейсом: можно посмотреть информацию для начинающих специалистов отдельно от продвинутой информации.
Второе направление — развитие энциклопедии ролей, чтобы она пополнялась актуальной информацией и в последующем могла использоваться для создания профессиональных стандартов. Этот момент я хотел бы особенно подчеркнуть: когда схема изначально задумывалась, предполагалось, что из нее должна вырасти модель компетенций, которая будет использоваться в официальных образовательных стандартах. Это текущий срез знаний и навыков специалистов, который может стать основой для формирования требований к подготовке кадров в области кибербезопасности в нашей стране.
Учитывая скорость трансформации индустрии, мы планируем регулярно обновлять схему карьерных треков. Это позволит начинающим специалистам строить вектор развития, опираясь только на самую актуальную информацию о требованиях рынка труда.
А что думаете вы про обновленную карту? Чего, по вашему мнению, в ней не хватает? Заметили где-то ошибку или что-то нужно поправить? Может быть, у вас есть предложения по новым ролям, которые стоило бы добавить? Или, наоборот, все выглядит отлично? Буду рад услышать ваше мнение в комментариях: ваша обратная связь поможет сделать схему еще полезнее для сообщества специалистов по кибербезопасности.