Кадровый дефицит в информационной безопасности не означает, что на рынке мало кандидатов. Компании ищут сотрудников с определенными практическими навыками, а подготовка такого специалиста требует времени и опыта. По исследованию Positive Technologies и SuperJob, по итогам 2025 года количество вакансий в сфере ИБ выросло на 26%, тогда как на российском рынке труда в целом число вакансий сократилось.
При этом кандидаты на рынке есть. По исследованию ГК «Солар» и hh.ru, к концу апреля 2025 года вакансии в сфере кибербезопасности рассматривали более 137 тысяч человек. Авторы исследования отмечали несовпадение между навыками, которые требуются работодателям, и теми, которые предлагают соискатели.
Большое количество резюме поэтому не гарантирует быстрого найма. Организации может требоваться аналитик с опытом расследования инцидентов, инженер по внедрению системы предотвращения утечек данных или эксперт по требованиям регуляторов. Начинающие кандидаты не всегда готовы самостоятельно выполнять эти задачи, а опытные специалисты обычно работают в определенной области. Кадровый разрыв возникает прежде всего на уровне конкретных компетенций.
Почему одного специалиста недостаточно
Информационная безопасность объединяет несколько направлений. Центр мониторинга безопасности — SOC — занимается обнаружением и расследованием инцидентов. Специалисты по DLP внедряют и сопровождают системы предотвращения утечек данных. Безопасность приложений — AppSec — связана с защитой программных продуктов, а DevSecOps предполагает включение проверок безопасности в процессы разработки и эксплуатации. Пентестеры ищут уязвимости, моделируя действия атакующих. Отдельные компетенции нужны для сетевой защиты, архитектуры безопасности и выполнения нормативных требований.
Эти знания пересекаются, но не заменяют друг друга полностью. Сетевой инженер не обязательно сможет провести качественную проверку веб-приложения, а специалист по нормативным требованиям — расследовать сложный технический инцидент. Попытка объединить все функции в одной должности часто приводит к завышенным требованиям к кандидату и затяжному поиску.
Крупная организация может формировать отдельные направления внутри ИБ-службы. Для среднего бизнеса содержание такой команды не всегда оправданно. Мониторинг событий нужен постоянно, пентест может проводиться один-два раза в год, а помощь архитектора требуется при существенном изменении инфраструктуры. Поэтому прежде, чем определять численность команды, стоит разобраться, какие функции нужны ежедневно, какие выполняются периодически и какие возникают в отдельных проектах.
При найме также важно оценивать готовность кандидата к конкретной работе. Профильное образование дает основу: понимание сетей, операционных систем, архитектуры информационных систем и принципов защиты. Но для самостоятельной работы необходима практика. Будущий SOC-аналитик должен уметь восстанавливать цепочку событий, инженер — настраивать и сопровождать средства защиты, а специалист по безопасности приложений — понимать процесс разработки и типичные уязвимости.
Стажировки, лабораторные стенды, учебные проекты и соревнования по информационной безопасности — CTF — помогают получить такой опыт. Сертификаты полезны, если соответствуют будущим задачам: например, подтверждают знание продукта, который сотруднику предстоит сопровождать. Оценивать стоит сочетание базовых знаний, практических навыков и требований конкретной роли.
Как развивать компетенции внутри компании
Часть кадровой потребности можно закрыть за счет существующей ИТ-команды. Системный администратор уже знаком с серверами и учетными записями, сетевой инженер — с корпоративной сетью, разработчик — с устройством приложений, а DevOps-инженер — с процессами развертывания и эксплуатации. Эти знания дают основу для дальнейшей специализации в ИБ.
Системный администратор может развиваться в сторону инфраструктурной безопасности, сетевой инженер — сетевой защиты, разработчик — безопасности приложений. Преимущество такого подхода в том, что сотрудник уже знает инфраструктуру и рабочие процессы компании. Однако назначение на новую роль должно сопровождаться обучением, практикой и поддержкой более опытного специалиста. Также необходимо пересмотреть его нагрузку: новые обязанности требуют времени.
Другой путь — подготовка начинающих специалистов. Он подходит компаниям, которые могут выделить наставника и постепенно передавать сотруднику ответственность. Несколько курсов сами по себе не делают человека самостоятельным инженером. Практические навыки формируются через работу на стенде, выполнение реальных задач под контролем наставника и разбор ошибок.
Например, начинающему SOC-аналитику сначала можно поручать типовые события с понятным порядком проверки. По мере накопления опыта ему передают более сложные случаи, в которых нужно сопоставлять несколько источников и восстанавливать последовательность действий. Так обучение связано с ежедневной работой, а рост самостоятельности можно оценивать по результатам конкретных задач.
Как сократить нагрузку на действующую команду
Даже при укомплектованном штате специалисты могут тратить значительную часть рабочего дня на повторяющиеся операции. Аналитик вручную собирает сведения по каждому срабатыванию, инженер готовит однотипные отчеты, сотрудники переносят данные между системами. Автоматизация таких действий позволяет направить больше времени на анализ угроз и устранение проблем.
В SOC можно автоматизировать первичный сбор контекста, дополнение событий сведениями из других источников, подготовку отчетности и выполнение согласованных действий по стандартным сценариям. ИИ может помогать обрабатывать информацию и ускорять первичный анализ, если качество его результатов проверяется специалистами.
Автоматизация при этом требует сопровождения. Необходимо поддерживать сценарии в актуальном состоянии, контролировать ошибки и определять, какие действия допустимы без согласования. Оценка сложного инцидента и выбор мер реагирования по-прежнему требуют экспертизы. Эффект от автоматизации стоит измерять по тому, сколько времени она освобождает и насколько помогает команде быстрее разбирать значимые события.
Как распределить работу между своей и внешней командой
Разные функции ИБ требуют разной степени участия внутренних сотрудников. Например, управление доступами тесно связано с кадровыми и рабочими процессами. Нужно знать, кто принят на работу, кто переведен в другой отдел, какие системы необходимы конкретной должности и когда права следует отозвать. Контроль этой функции важно сохранять внутри организации.
Периодические задачи можно выполнять с привлечением внешней экспертизы. Если пентест требуется один-два раза в год, содержание отдельного штатного сотрудника только для таких проверок может быть неоправданно. Подрядчиков также привлекают для аудита, проектирования защиты, внедрения специализированных решений и расследования сложных инцидентов.
Отдельного расчета требует круглосуточный мониторинг. Для собственного SOC в режиме 24/7 недостаточно одного аналитика: нужны смены, замены на время отпусков и болезней, процедуры передачи задач и подключения более опытных специалистов. К расходам на сотрудников добавляются инфраструктура, программные средства и обучение. Эти затраты следует сравнить со стоимостью внешней услуги и ее условиями: временем реакции, порядком уведомления и распределением обязанностей при инциденте.
Архитектуру защиты можно разрабатывать совместно с внешними экспертами, а внедрение средства защиты поручить интегратору. После завершения проекта необходимо определить, кто будет сопровождать систему, проверять настройки и разбирать срабатывания. Иначе внедренное решение постепенно перестанет соответствовать изменениям инфраструктуры.
Передача задач подрядчику также требует внутреннего ответственного. Он определяет приоритеты, предоставляет необходимую информацию, согласовывает действия и контролирует результат. Внешним специалистам нужен контакт со стороны компании, который понимает критичные системы и может организовать работу ИТ-службы при инциденте.
При выборе модели стоит учитывать частоту задачи, необходимую глубину экспертизы, зависимость от знания внутренних процессов и режим работы. Это помогает определить, где нужен штатный сотрудник, где достаточно периодического привлечения экспертов, а где эффективнее совместная работа.
С чего начать компании
Первый шаг — составить карту функций информационной безопасности. Необходимо определить, кто контролирует события, управляет уязвимостями и доступами, сопровождает средства защиты, расследует инциденты и следит за выполнением обязательных требований. Отдельно нужно проверить, кто принимает решения ночью, в выходные и во время отсутствия основного ответственного.
Для каждой функции следует указать периодичность, текущего исполнителя и ожидаемый результат. Такая инвентаризация может показать, что мониторинг работает только в рабочее время, настройки приобретенного средства защиты никто регулярно не проверяет, а редкая экспертная задача включена в требования к постоянной должности.
После этого можно выбирать способ закрытия каждого пробела: обучить действующего сотрудника, нанять нового, автоматизировать часть операций или привлечь внешнюю команду. Для обучения потребуется наставник и время, для автоматизации — сопровождение, для внешней услуги — понятные условия взаимодействия и контроль качества.
Так компания получает обоснованный план развития ИБ-команды. Он строится вокруг задач, их объема и необходимого уровня экспертизы, что позволяет точнее оценить расходы и требования к сотрудникам.
Как может помочь «АйТиАнгел»
«АйТиАнгел» помогает закрывать задачи, для которых компании нецелесообразно постоянно содержать отдельную узкопрофильную экспертизу: проводить аудит защищенности и анализ уязвимостей, внедрять и сопровождать средства защиты, организовывать мониторинг и выполнять требования регуляторов.
Работа начинается с определения необходимых функций и текущих пробелов. На этой основе можно распределить задачи между внутренней командой и подрядчиком, согласовать ответственность и порядок взаимодействия. Это позволяет привлекать нужные компетенции под конкретные задачи и планировать развитие собственной команды.
