Как стать информационным безопасником?

Если цель "войти в айти", то ИБ это не самый лучший путь: зарплаты сильно ниже, чем у разработчиков, знаний нужно существенно больше, вакансий существенно меньше. Если хочется "войти в айти" потому что хайп и деньги, то лучше учить питон и идти разрабатывать или уйти в QA.

Если же нет, то Информационный безопасносник это все равно очень широкая область, сначала нужно понять что конкретно интересно, чтобы развиваться в этом направлении.
Информационным безопасником может быть: бумажный безопасник, который пишет приказы и другие документы; аудитор безопасности, который эти приказы проверяет в других организациях, также он проверяет соответствие стандартам, например pcidss или iso27001; пентестер - человек, который проверяет информационную инфраструктуру( внутреннюю(AD, сеть, компьютеры), внешнюю(веб-приложея)) компании на уязвимости; реверс-инженер, который проводит анализ различных программм; сотрудник SOC, который занимается анализом и реагированием на инциденты ИБ; appsec - обеспечение безопасности приложений компании; еще много различных направлений.

Если первые два, то хватит магистратуры или бакалавриата любого вуза, после этого можно пойти в какой-нибудь ФСТЭК даже без собеседования и получать свои 20к в месяц.

Если идти не на первых двух, то:
Вузы по ИБ это пустая трата времени, если идти туда за знаниями и опытом, если же нужна корочка, то можно пойти в ИТМО магистратуру, многому там не научат, но корочеа и связи появятся.

Лучше всего изучать все самому, благо БЕСПЛАТНЫХ курсов в интернете достаточно, платные это опять же пустая трата времени, вас там ничему не научат, может дадут какой-то обзор, но точно не больше.
Лучше всего учится на практике, постепенно подтягивая под это теорию, для этого множество площадок есть: hack the box, rootme, ctftime и тд. Обучающие видео и курсы: spbctf, liveoverflow, portswigger academy, hackerdom, курс от ugractf и много других.

Обязательно английский и какой-нибудь язык программирования.

Из теории, в среднем, надо знать устройство операционных систем windows и Linux, на уровне продвинутого пользователя, устройство сетей, принципы работы веб приложений, атаки на них и типичные уязвимости, методв защиты, основы криптографии, основы реверс-инжениринга.

Можно ходить на стажировки, но туда обычно порог вхождения высокий, и с наскока вы отвалитесь на отборе. Из стажировок могу посоветовать summer of hack от digital security.

После пары лет практики и теории можно пытаться подаваться на джунов на скромные зарплаты в различные компании, проходить собеседования, записывать вопросы и после собеседований искать на них ответы, если чего-то не знаешь. Через 5-10 собеседований скорее всего уже получиться устроиться на работу.

Удачи! :)

Oleg, пробейте, пожалуйста! Вторая сторона такая же

Устроиться на начальную должность в аналитический центр крупного интегратора.
Как правило на такие вакансии не требуются базовые знания. Поэтому вакансии есть всегда.

За 2-3 года вполне реально определиться с вектором развития: руководство проектами, внедрение, чистая аналитика, архитектура и проектирование, аудиты и тд.
Обычно за 2 года младший аналитик становится старшим и начинает вести свои проекты.

идти за каким-то дополнительным образованием в магистратуру совсем не обязательно. я физик по образованию. со старта в ИТ, в том числе безопасностью занимаюсь. Образование дает легкий бонус при устройстве, но крайне мало влияет на общий рост.

пытаться выучиться, а потом мощно "продавать" себя - бесполезно. Поскольку на старте можно вызывать "вау", а после пары месяцев работы разочарование будет у всех.

как и везде: надо уметь работать и давать тот результат, который от тебя просят. :)

Кирилл, но на самом деле почти везде в требованиях к кандидату на должность специалиста по ИБ пишут о профильном образовании, либо о переподготовке в объёме 500 часов.
Ибо нужна большая база в плане понимания технологий и прочих вещей.
Приведу пример, в руководящих документах ЦБ по инф. безопасности есть требование: необходимо обеспечить сетевую изоляцию на втором (канальном) уровне модели OSI.
Не думаю, что человек без хорошей переподготовки можно будет норм работать.
У нас есть случаи что люди учатся на ИТ/ИБ и не все понимают ))) а вы говорите гуманитарий курсы почитал в интернете и безопасник готов ))

Роман, "а вы говорите гуманитарий курсы почитал в интернете и безопасник готов ))"
я этого не говорил. Более того, я сказал, что не обязательно идти за дополнительным образованием. Опять же, потому что "учатся и не понимают"

надо просто начинать работать.
За 2 года, больше 3тысяч часов, вполне можно получить основы и более глубокие знания, достаточные для развития.
В нашем регионе на должность младшего аналитика есть несколько вакансий без требований каких-то навыков в области ИБ

Кирилл, «учатся и не понимают» потому что не работают. Просто так учиться и эти знания не применять такое себе

Script, ну дык о чем и речь. Такое ощущение, что меня игнорируют и читают какого-то другого человека )))

Кирилл, так я с вами и согласилась)

Роман, писать могут что угодно. Переподготовка требуется только в гос.структуры, некоторые банки и компании, у которых есть лицензия на ТЗКИ. Состав этих 512 часов крайне грустный, а состав лекторов очень часто заставляет ещё больше унывать - преподают нихрена не те, кто работает в отрасли.

Сетевую изоляцию очень часто делать вы будете вместе с системными администраторами, чтоб ниче у вас там не попадало.))) очень (ну вот очень) редко вы будете полностью самостоятельно выполнять работы, связанные с риском потери работоспособности системы - скорее вы будете выступать таким себе консалтером, который говорит чего и как сделать. Нужно понимание, нужно желание учиться и развиваться.

ИБ одна из тех областей, где чем больше знаешь - тем больше не знаешь. Да и новые дырки каждый день появляются:)

Script, я этот пример привёл для того, чтобы показать, что надо знать базовые вещи:разные устройства работают на разных уровнях, по своим принципам, протоколам и тд )
Я не говорю о том, что специалист по ИБ будет заниматься настройкой коммутаторов/маршрутизаторов )

Ко всем комментатором хочется добавить, что врядли вы будете работать на удаленке. Если аудиты - будете кататься к клиенту, а если на внутреннее обеспечение - то будете почти всегда в «периметре».

И второе, если рассматриваете вариант уезжать - обязательно ищите сертификации, которые признаёт мир. Всякие Исаки, ISC2 и пр. В России не сильно на это смотрят, но за пределами найти че-то дельное будет тяжело без сертификатов

Igor, "Это замечание дано на основании секретного распоряжения и комментировать я его не буду" ну вот кстати гораздо проще объяснить таким образом, чем разжевывать всем и каждому своё решение. + с большой долей вероятности ваше руководство всегда в курсе, что и зачем сделала СИБ

Во-первых, стоит ответить себе на вопрос – что привлекает в профессии? Если убрать публичный флёр романтики, это обычная инженерно-техническая специальность (Дмитрий Татаров отлично описал варианты). Во внутреннем подразделении – чаще всего наделённом в рабочих процессах контрольно-карательной привилегией. В исполнительской среде – это сервисная, интеграторская, продуктовая деятельность, довольно схожая с ИТ или проектированием. По уровню зрелости отрасль в России отстаёт в развитии от ИТ на 5-7 лет. Отдача от усилий и вложений в сфере ИБ в целом ниже, чем в ИТ, логистике. Это довольно узкий специфический рынок, на котором нужно понимать, зачем вы в него идёте.

Во-вторых, если вы действительно планируете миграцию, традиционная зона ответственности и подход к обеспечению ИБ в России и на Западе несколько отличаются. Исходя из этого, есть смысл смотреть либо крупные международные компании, либо локальные филиалы западных, чтобы усвоить подходы и практики. Также из международных компаний с именем рекрутёры гораздо охотнее предлагают позиции за рубежом.
Соответственно, российское образование по ИБ (или проф. переподготовка 512 часов) вам не очень нужно, оно требуется больше для выполнения требований законодательства, чем для получения реальных знаний. Хотя базу всё равно где-то надо взять! Coursera, HackerU, Udemy – если это комфортно. Для западных компаний важно подтверждение знаний, поэтому дальнейшая профильная сертификация (CompTIA, CEH, CISM) будет полезной, в скобках в принципе в порядке возрастающей сложности.

Далее, полной удалёнкой вы несколько сужаете круг возможных для себя позиций, особенно без опыта в данной сфере. Прям очень сильно. Возможно, разумным подходом будет некое диагональное движение – переход на позицию в ИБ с минимальными требованиями к техническим навыкам: администратор проектов, технический писатель, аккаунт-менеджер, ручной QA. И параллельное движение в выбранную сторону развития с получением профильного образования. Попробуйте посмотреть на компании с гибридным режимом – 1-2 дня в офисе, 3-4 дня из дома.

При отклике на вакансии, чтобы не испугать рекрутёра (а вам при таком переходе скорее всего придётся проявлять активную позицию в поиске работы) – подумайте, как адаптировать CV под нужные для профессии навыки, сделайте какое-то небольшое сопровождение с пояснением, почему и зачем вы идёте в эту сферу.

В любом случае – успехов. Поиск себя – это здорово и важно.

Университет-не даст ничего нового,так что не стоит даже рассматривать
Плюс нужно понимать,какую именно специализацию вы хотите-можете поискать короткие введения в профессию от различных школ(там 1-3 дня и обычно или бесплатно или в пределах 3 тысяч)-будет понятно, подходит ли вам то или иное направление)

Слушайте, ну ИБ, криптография и тому подобное - это самый брейнфак из всех брейнфаков всего ИТ. Не лучший способ войти в айти, от слова совсем))

Александр, подтверждаю как отучившийся на ИБ. 6 лет страданий на разной комбинаторике и криптографии. Без пыток это заходит, только если у человека дар, имхо.

Тоже менял специальность и пришел в иб без профильного образования. Правда, не технический ИБ, а управление. Так как работаем в основном с Европой, то основа основ - ISO27k и CIS controls. Раз в три года аудит BSI, каждый год подтверждение. Сейчас все больше конечно ухожу в непрерывность бизнеса, но поделиться советами могу, если есть менеджерские навыки и понимание что это, то у нас и вакансия вроде открыта для новичка как раз.

Анатомия, понятно, только это не управление людьми, а управление процессами :-) А, ну и удаленка естественно

Анатомия, ит-аутсорс для огромного числа компаний, я во внутренней безопасности. Но есть и аутсорс (инженеры-безопасники, аналитики, архитекторы и так далее, работающие на заказчиков) можно попробовать туда в SOC на на начальные позиции, если есть английский и базовые знания сетей. В общем, гуглить icl services.

У крупных ИБ-компаний часто есть свои программы обучения.
Вот, например, обучение от Group-IB: https://www.group-ib.ru/cyber-education.html

Там по идее перенимаешь знания у практикующих ребят)

Igor, вот пожалуй плюсую. А ещё был знакомый ИБшник, который ещё в восьмом году целенаправлено эмигрировал, тк по его словам в РФ профессионально в этой сфере негде, некуда и незачем развиваться, международные сертификации никому не нужны.

Constantin, в армию-то зачем или в полицию?

А в ИТ вообще не нужно лезть если есть такая возможность. Гораздо чище сформируется мышление если сразу заниматься безопасностью. Многие пришли через айти, и 80% из них потом перестраивают своё видение процессов.

Script, если говорить об РФ, слова Константина не лишены смысла. Среди топов ИБ наших самых денежных компаний много людей с военным/мвдшным прошлым. Со всеми вытекающими. Важно определиться, хочется под таким начальством работать или нет.

Никита, развитие ИБ в РФ случилось вообще не так давно, поэтому все эти топы, это +- переученные СБ (а вот уже у ним в своё время были требования армии, ФСБ и пр.). Сейчас уже военная подготовка не имеет никакого веса - все таки инфобез на 90% процентов обеспечивается СЗИ...

Если очень захотеть, то потом в Европу можно мигрировать и просто ИП там открыв.
ИБ это та сфера, где мало конкуренции, если уже побывал по разные стороны IT, но также именно в РФ есть потолок, выше которого не прыгнешь. Если прям дико интересно, то тогда можно попробовать.

whitespots.io - Велком пообщаться за миграцию и ИБ)

В вузе параллельно с вышло ходила на курсы проф.переподготовки по ИБ, корочка есть, но без технарского опыта и понимания информац.процессов я просто бумажный червь-теоретик:(