В ИБ без профильного диплома: куда реально берут и что проверяют на входе

Есть ли смысл осваивать информационную безопасность без высшего образования? Этот вопрос часто задают те, кто рассматривает смену профессии. Ответ зависит от выбранной сферы деятельности. В некоторых областях индустрии без профильного диплома обойтись невозможно. В коммерческих компаниях на него обращают меньше внимания, зато тщательно проверяют знание сетей и систем. Проверить свои навыки можно уже сейчас: в октябре открыт бесплатный доступ к курсу «Инженер по ИБ», где есть тест уровня и практические задачи. ### Три ключевых сегмента и их требования Информационную безопасность можно условно разделить на три крупных направления. Первое связано с государственной безопасностью: силовые структуры, защита гостайны, контрразведка. Второе включает госорганизации, работающие в соответствии с законодательством и требованиями регуляторов. Третье направление — частный сектор: малый, средний и крупный бизнес. В первых двух случаях требования строгие. Необходимо профильное высшее образование по направлениям ИБ или программы, согласованные с регуляторами. Если цель — госсектор, стоит рассмотреть такие варианты. В частном секторе критерии иные. Кандидату важно продемонстрировать знания и практический опыт, то есть доказать, что он разбирается в предметной области. Здесь можно устроиться на младшую позицию без профильного образования и постепенно развиваться. ### Что ожидают от джуна в частной компании Требования к начинающим инженерам по безопасности схожи. Нужно понимать принципы работы компьютерных сетей, владеть основами Windows Server и Linux, а также уметь использовать средства защиты информации. На собеседовании проверяют глубину понимания. Типичный вопрос: что происходит, когда вы вводите адрес сайта в браузере? Как компьютер устанавливает соединение с сервером, через какие этапы проходит запрос? Если вы можете подробно объяснить этот процесс, это говорит о вашей подготовке лучше, чем любая запись в резюме. Причина в специфике работы. Инфраструктура компании состоит из коммутаторов, маршрутизаторов, межсетевых экранов, серверов и рабочих станций. Для их защиты нужно понимать, как эти компоненты взаимодействуют и где должен быть ограничен трафик. Такое знание инфраструктуры — основа работы инженера по безопасности. ### Нестандартные карьерные пути Среди специалистов, работающих в крупнейших компаниях, есть люди с неожиданным образованием. Например, выпускники исторического факультета или бывшие бухгалтеры, которые около 15 лет занимаются хакингом. Их путь обычно нелинейный: начинал с администрирования, затем сдавал сертификации, например, Cisco, и постепенно углублялся в тему. Объяснение простое: информационная безопасность — это творческая работа. Задачи редко решаются по шаблону, поэтому важны знания, навыки, мотивация и потенциал. Руководители команд ищут людей, которые живут профессией. Работать с 9 до 18, отработав и забыв о задачах, почти невозможно: каждый проект приносит новые системы и вызовы. ### Когда диплом есть, а знаний нет Бывает и обратная ситуация: диплом есть, а базы нет. Тогда он не помогает. Сейчас в российских вузах учатся сотни тысяч студентов, и к моменту выпуска их знания часто устаревают. Технологии развиваются быстрее, чем учебные программы. В крупных компаниях замечают и другое: из стажёров в профессии остаётся примерно один из двадцати. Остальные пришли ради формальности, не задают вопросов и сдаются при первой сложности. Иногда кандидат рассказывает, что решил 300 задач на HackTheBox. Цифра впечатляет. Но если его попросить объяснить решение одной из них, оказывается, что он просто копировал шаги, не понимая их сути. В резюме цифра есть, а понимания — нет. ### Как подтвердить уровень без диплома Если формального образования нет, на собеседовании делают акцент на навыках. Есть четыре ключевых критерия. Первый — опыт сборки собственной инфраструктуры. Начинающий инженер должен уметь развернуть стенд на домашнем компьютере: виртуальные машины с Windows и Linux, сетевое оборудование и их взаимодействие. Готовый облачный стенд с инструкцией не даёт такого опыта. Второй критерий — умение находить и устранять проблемы. Что-то не работает, и вы анализируете логи, ищете решения, проверяете гипотезы. Это называют траблшутингом, и именно так формируется инженерский склад ума. На собеседовании такого кандидата сразу видно: он не теряется при нестандартных вопросах. Третий критерий — понимание технологий вне зависимости от вендора. Например, кто разбирается в классическом Linux, легко освоит Astra Linux, ALT Linux или РЕД ОС. Кто умеет настраивать оборудование Cisco, без труда разберётся с российскими аналогами. Четвёртый критерий — результаты, которые можно показать. Полезная привычка — вести краткие отчёты по каждой лабораторной. Из них формируется портфолио, которое упрощает прохождение техсобеседования. ### Альтернативные пути в профессию Принято считать, что вход в ИБ один: профильный вуз и стажировка после него. На деле во многих крупных компаниях стажировки открыты для всех, включая тех, кто работает в другой сфере, и людей старше 40. Можно раз в неделю подключаться к задачам и демонстрировать свои способности. С сильными навыками так попадают в пентест, пресейл или общую инженерию. Инженерный фундамент нужен даже тем, кто работает с документами. Служба ИБ определяет, что нужно сделать, а реализует это IT. Поэтому даже руководители групп, отвечающие за регуляторную часть в госорганизациях, изучают сети и системы: без этого невозможно расти и общаться с IT на одном языке. ### Проверьте себя перед первым откликом Прежде чем отправлять резюме, пройдитесь по этому списку: — можете объяснить по шагам, что происходит при открытии сайта в браузере; — знаете, что такое IP-адрес и шлюз по умолчанию, и умеете проверять связь между устройствами; — уверенно работаете в командной строке Linux и понимаете сетевые настройки; — представляете, как устроена доменная сеть Windows и зачем нужно централизованное управление; — хотя бы раз самостоятельно развернули стенд из нескольких виртуальных машин и довели его до рабочего состояния; — понимаете назначение межсетевого экрана, системы обнаружения вторжений и SIEM. Хорошая проверка — бесплатные вводные курсы по атаке и защите. Многие, кто приходит без базы, спотыкаются уже на начальных темах. Если это про вас, начинайте с фундамента, специализация подождёт. И про сроки. Первый год в профессии обычно сложный: всё кажется непонятным. Нормальные результаты, когда задачи начинают получаться легко и приносить удовольствие, появляются через три-пять лет. ### С чего начать Проверить базу можно бесплатно. Весь октябрь CyberED предоставляет открытый доступ к материалам, которые доступны сразу после регистрации. Внутри не только курс «Инженер по ИБ», но и программы по SOC и пентесту, а также воркшопы об ИИ-агентах и разборы актуальных угроз.