Get best of the week

Especialista em Segurança da Informação. O que ganha e quanto ganha

Um especialista em segurança da informação não é o mais fácil, mas exige a profissão de TI. Assusta muitos termos e ferramentas peculiares, embora na realidade seja acessível a pessoas sem formação técnica. Depois de estudar o SI, você trabalhará com empresas estatais, bancos, empresas de médio e grande porte, serviços em nuvem e startups. Simplificando, sempre que houver uma chance de invasão.

Este artigo mostra em detalhes quem é esse especialista em segurança da informação, o que ele faz, o quanto ganha e como se tornar um. Bônus - uma seleção de livros para explorar a profissão.

Quem é especialista em segurança da informação agora


Normalmente, um especialista em segurança da informação significa uma pessoa que pode implementar e manter a proteção contra acesso não autorizado. Configure uma rede, preveja erros e possíveis erros, implante e inicie tecnologias de monitoramento de conexão.

Mas já existem especialidades mais estreitas na esfera:

  • Pentesters são os chamados hackers "brancos" ou "éticos". Eles não invadem recursos de negócios ilegalmente. Em vez disso, eles trabalham para empresas e procuram vulnerabilidades que os desenvolvedores corrigem. Acontece que essas pessoas trabalham com salário ou participam de programas de recompensas de bugs - quando uma empresa pede para verificar sua proteção, prometendo um bônus por bugs encontrados.
  • Especialistas em desenvolvimento - esses especialistas estão envolvidos na criação de aplicativos e programas. Simplificando, eles estudam arquitetura e códigos prontos e sugerem que pode haver um erro ou uma "janela" para hackers. Um exemplo comum é deixar a capacidade de enviar uma injeção de SQL no formulário de entrada do site.
  • Especialistas em rede - eles procuram vulnerabilidades potenciais e conhecidas em sistemas de hardware e rede. Simplificando, eles sabem como, usando o Windows, Linux ou outros sistemas, um invasor pode entrar no seu computador e instalar o software necessário. Eles podem encontrar uma oportunidade de hackers e criar um sistema que será difícil de entrar.

Há outra opção para a divisão de especialistas:

  • Aqueles que quebram, e não importa o quê, redes ou programas. Sua especialização é a busca por erros e vulnerabilidades, hackers éticos.
  • Aqueles que constroem e mantêm um sistema de segurança. É essa opção que os empregadores agora sugerem quando procuram especialistas em segurança da informação.

Essa divisão é condicional. Por exemplo, em uma pequena empresa que desenvolve aplicativos móveis, um especialista em segurança da informação estará envolvido em todo o ciclo, do desenvolvimento à implementação. E em uma grande empresa de nuvem, você só pode trabalhar com o Kubernetes, sem tocar em mais nada.

Um especialista em segurança da informação agora é aquele que implementa um sistema de segurança em uma empresa e o apóia de tentativas de penetração externa.

Devido aos termos instáveis, há uma leve confusão nos nomes das vagas - as empresas estão procurando especialistas em segurança da informação, administradores de segurança, engenheiros de segurança de redes de computadores e outros nomes, implicando o mesmo especialista.

O que os especialistas em segurança da informação fazem


As principais tarefas de um especialista em segurança da informação são configurar ferramentas de proteção e monitoramento, escrever scripts para automatizar processos, de tempos em tempos realizar pentests, parecendo um hacker. Monitore o desempenho geral do sistema e administre ferramentas de segurança da informação.

Aqui estão as tarefas típicas de um especialista em segurança da informação:

  • Examine o sistema de segurança da informação na empresa e descubra onde existem vulnerabilidades óbvias.
  • Veja a situação geral, descubra quem, em princípio, pode estar interessado em invadir uma empresa.
  • Crie um programa de implementação de proteção. Decida o que corrigir primeiro - por exemplo, configure protocolos de acesso, registre scripts de segurança, configure um sistema de geração de senha.
  • Lide com o produto - encontre vulnerabilidades no código, elabore uma tarefa técnica para eliminação.
  • Avalie o sistema de segurança - conduza ataques consistentes aos recursos da rede.
  • Analise o monitoramento - descubra quem estava interessado no sistema, de que maneira e com que frequência.
  • Introduzir proteção para nós particularmente fracos.

Além disso, a esfera da segurança da informação - você pode trabalhar por vários anos, mas nunca encontra algo desconhecido e incompreensível. Obviamente, não existem estatísticas exatas, mas geralmente todas as vulnerabilidades e métodos de hackers são conhecidos.

Condicionalmente, cerca de 80 a 90% do tempo de operação é ocupado por proteção contra métodos de hackers já conhecidos. Outros 10% são algo novo que ainda não foi prescrito em manuais e documentação.
Um especialista em segurança da informação nem sempre é uma profissão criativa. Normalmente, pelo contrário, você não precisa inventar nada e reinventar a roda. Um especialista recebe uma lista de verificação ou instrução pronta e, em seguida, implementa um sistema de segurança. Testa, encontra bugs, corrige-os. E então uma nova iteração.

Como se tornar um especialista em segurança da informação


O caminho para a profissão de especialista em segurança da informação é semelhante ao padrão para TI - primeiros cursos ou auto-treinamento, depois estágio e transferência para um emprego em período integral.

A julgar pelas revisões de engenheiros em locais profissionais, são necessários 9 a 12 meses para iniciar uma profissão, dos quais meio ano é realizado em cursos.

Preciso de uma formação técnica


Não é necessária experiência em TI e programação - esta é uma profissão especial no cruzamento da administração, desenvolvimento e consultoria de sistemas. Obviamente, se você é um desenvolvedor ou engenheiro novato, será mais fácil - você não precisa entender os princípios gerais dos processos em TI. Mas não muito, porque, de qualquer forma, a segurança da informação possui muitas de suas sutilezas e tecnologias.

Um plano de treinamento ideal no campo da segurança da informação é o mínimo de teoria e o máximo de prática. É inútil estudar a lista de vulnerabilidades populares; você precisa tentar implementar proteção contra elas em um produto em funcionamento e encontrar limitações do sistema.

Eu preciso de ingles


No início, não é necessário um bom conhecimento do idioma - basta entender o mínimo necessário para não se perder na interface do programa e ler a documentação com o tradutor do Google.

Mas vale a pena praticar a língua. Literatura, revistas, blogs e fóruns de segurança da informação de alta qualidade são na maioria estrangeiros e boas traduções para o russo não aparecem imediatamente. Para estar constantemente “no assunto”, você deve procurar a fonte.

Ao escolher cursos IB, preste atenção se as aulas técnicas de inglês estão incluídas neles. Nessas aulas, você não passará tempo trabalhando em tópicos estranhos, como férias, culinária ou qualquer outra coisa não relacionada à TI. Em vez disso, familiarize-se com o vocabulário especial usado para testar, desenvolver e ler a documentação.

O que você precisa saber para começar


O problema de muitos cursos que treinam especialistas em segurança da informação é a ênfase em uma das áreas da esfera:

  • Muita teoria . Por exemplo, os cursos falam muito sobre recursos de design, sobre possíveis vulnerabilidades, mas não há tarefas práticas. Isso é ruim - é importante que você possa tentar atacar ou defender imediatamente.
  • — , , . , - . , , DevOps. . .
  • — , . , , .

Se você planeja construir uma carreira no campo da segurança da informação, vale a pena procurar cursos que ensinem a implementação completa do sistema de segurança. Além disso, aprenda a usar vulnerabilidades para pentests. E eles certamente falarão sobre como fazer tudo isso legalmente - você precisa entender a estrutura regulatória e as especificidades da legislação.

Ou seja, as leis e configurações de rede, hackers e proteção contra hackers.

Pilha de habilidades


Aqui está uma lista de amostra do que você precisa saber e poder começar:

  • Configure uma pilha de rede.
  • Realize uma auditoria do sistema, analise qual local é vulnerável.
  • Ataque recursos de rede de maneiras populares e configure um sistema de proteção contra esses ataques.
  • Configure um sistema de monitoramento e um sistema de aviso sobre problemas.
  • Considere o fator humano na construção da proteção.

Além disso, será útil entender os métodos criptográficos e outros métodos de proteção. Além disso, entenda os atos legais regulatórios no campo da segurança da informação, a esfera de responsabilidade das estruturas estatais (FSTEC, FSB, Ministério da Defesa, Banco Central).

Pilha de ferramentas


Aqui está o que você precisa tentar antes de se inscrever para um estagiário:

  • Linux - faça sua própria montagem, leia sobre vulnerabilidades populares do próprio sistema e programas internos.
  • Windows - a capacidade de personalizar as soluções de usuário e servidor é útil. Saiba como conduzir ataques por meio de atualizações, drivers falsificados ou utilitários.
  • DLP - Experimente as populares tecnologias de proteção contra vazamento de dados. Simplificando, esses são programas que podem bloquear a gravação em uma unidade flash USB ou o envio de certos tipos de dados para redes sociais ou correio. Por exemplo, Sophos ou McAfee DLP
  • IDS — . , , . , .
  • SIEM — , . , , - , — , . Splunk, IBM LogRhythm.
  • Kubernetes. Kubernetes, , .

Ainda conhecimento útil de metodologias. Entenda como o DevSecOps funciona. Essa é uma filosofia moderna que permite implementar a proteção em qualquer estágio do desenvolvimento do produto. Será útil se você trabalhar como especialista em segurança da informação em uma empresa de desenvolvimento de produtos.

Para iniciar uma carreira, não é necessário conhecer todas as tecnologias no nível profissional. Basta ter uma idéia geral do sistema, para não se perder nas configurações e na documentação. Se condicionalmente, você precisa saber como fazê-lo, e não o que fazer.

Quanto ganham esses especialistas e quanto eles demandam


O salário médio dos especialistas em proteção de dados, de acordo com as " Carreiras Habr ", é de cerca de 125 mil rublos. Mas esse é o valor total para todos os níveis e empresas. Há quem comece com 50 mil rublos e também há vagas para gerentes com renda de 300 a 400 mil.

Crescimento salarial


Aqui está uma imagem típica nos locais de trabalho:

  • Um especialista iniciante em Moscou ganha entre 50 e 60 mil - este é um estagiário sem experiência de trabalho.
  • Posição Júnior - existem vagas de 60 a 80 mil.
  • Um especialista em segurança da informação com experiência de 1-2 anos - 100-150 mil.
  • Um especialista com experiência em 3-5 anos - 150-200 mil.
  • Cabeça - 200 mil e acima.

exigem


A demanda por especialistas em segurança da informação é alta - somente no HeadHunter eles geralmente pesquisam entre 800 e 900 pessoas. Se você adicionar outros nomes da profissão, por exemplo, administradores de segurança ou "segurança" de computadores, receberá cerca de 2.000 vagas.

Oferece principalmente de 150 mil em Moscou ou São Petersburgo. Nas regiões, um especialista com experiência de 1-2 anos pode contar com 50-120 mil.

Somente especialistas altamente qualificados se oferecem para trabalhar remotamente - por exemplo, existem vagas com renda entre 250 e 350 mil rublos. Basicamente, um engenheiro de segurança trabalha em um escritório.


Exemplo de um trabalho pago remoto

O que ler sobre o tópico


Aqui está uma seleção de literatura que o ajudará a entender melhor o campo da segurança da informação. Mas vale a pena ler em paralelo com os cursos - somente em teoria não funcionará para atingir o nível do trainee.


Onde estudar como especialista em segurança da informação


Você pode obter conhecimento estruturado no curso " Especialista em segurança da informação " em Netology.

Você vai aprender:

  • criar um processo para identificar vulnerabilidades em todas as etapas do desenvolvimento;
  • determinar onde esperar ameaças, como minimizá-las e investigar as conseqüências dos ataques;
  • estudar a legislação necessária para atuar dentro da lei.


O material foi preparado por Dmitry Kuzmin.

More articles:


All Articles