О подборе специалистов по ИБ

Ни что так не близко специалистам по информационной безопасности, как деньги, которые они получают.  Ярким тому примером служит тема "ЗП специалистов по ИБ" на форуме UISG. Тема сначала зародилась в недрах совсем другой, затем начала набирать популярность и выделилась в отдельную и скоро, похоже, станет отдельным форумом. Из долгих трений "кто кому сколько платит?", отдельно перемыли "кто?" и "сколько?" и дошли до интересного вопроса "кому?".
Одному из членов форума показались забавными требования к консультанту по безопасности, выдвигаемые одной из консалтинговых фирм:

• Возраст 25 до 35 лет
• Высшее техническое образование в сфере информационных технологий (желательно в области ИБ)
• Опыт работы в ИТ безопасности - от 3-х лет
• Аналитические способности
• Грамотная речь
• Любознательность
• Коммуникабельность
• Быстрая обучаемость
• Английский уровня не ниже intermediate (устный и письменный)

Как человек, работающий в одной из таких фирм и занимающийся в том числе подбором персонала к себе в подразделение, скажу, что достаточно типовые требования. Вроде бы даже смешно такое требовать. На практике же (за последние пару лет интервьюировал более 60 человек + еще сотни полторы отсеялось предварительными тестами) найти специалиста удовлетворяющего таким "банальным" требованиям задача не тривиальная. Рассмотрим по порядку влияние факторов на вероятность нахождения нужного нам кандидата (в моем примере поиск на позиции младшего и среднего уровня) :

• Возраст - тут все более-менее понятно. В зависимости от позиции, которую компания предлагает, определяем ожидания и от кандидата. Если позиция начального уровня - то даже 30 лет у кандидата вызывают вопрос: "А чем ты занимался раньше, если идешь на начальную позицию?".  С другой стороны в 35 лет быть консультантом... Это тоже специфика отдельных компаний. Обычно это уже возраст менеджера / старшего менеджера / партнера. Это их теории. На практике с возрастом у кандидатов проблем нет. Был конечно случай, в 50 человек пришел на начальную позицию "готовый учится". Что поделаешь - кризис и не такое с людьми делает.

• Высшее техническое образование в сфере информационных технологий (желательно в области ИБ) - Первое препятствие. Мало кто из выпускников, даже престижных ВУЗов, может похвастаться приличными техническими знаниями. Из них малая толика - широкими техническими знаниями. Краснодипломник технической специальности плохо владеющий компьютером на уровне рядового пользователя.  Выпускник Политеха специальности "защита информации"  не знающий чем отличается симметричное шифрование от асимметричного. К сожалению, такие "специалисты" встречаются гораздо чаще, чем хотелось бы. А куда делись все специалисты по xNIX системам? Средний уровень знаний по данному направлению - "умею устанавливать Ubuntu". Соискателей же, которые обладают знаниями, можно разделить на  категории: 

1. Те, у кого есть технические знания на уровне администрирования систем (включая вопросы безопасности), но не знакомы со стандартами, регламентирующими вопросы ИБ. Более предпочтительный тип, если мы ищем младшего специалиста,  ибо основа есть, а остальному легко научить. Таких мало.
2. Те, кто хорошо понимают знают высокоуровневые стандарты (27к и т.д.) и могут их цитировать с любой страницы. Но понятия не имеют, как это реализовать на практике. Таких больше.
3. Те, кто знает и то и то. Встречаются редко. Как правило, на младшие/средние позиции  работу не ищут.

• Опыт работы в ИТ безопасности - от 3-х лет. - В целом, делятся на два вида - те, у кого есть и те, у кого нет (спасибо, Кэп). Те, у кого опыт есть, также условно делятся на 3 типа схожих с предыдущими:

1. "Технари". Опыт как правило связан с файерволами/IDS/IPS/IRM/DLP и другими мигающими коробочками, как говорит один мой коллега.  Подходят для младших и средних позиций. Нужно дообучать нормативке.
2. "Законодатели". Мастера бумажного беспредела бумажной безопасности. Основной опыт состоит из: а) написания мертвой нормативной базы б) никому ничего не разрешать.
3. "И швец и жнец"  Встречаются редко. Как правило, на младшие/средние позиции  работу не ищут.

• Аналитические способности. Любознательность.  - Не проблема. Для большинства соискателей наличие этих двух факторов обуславливают выбор профессии. За всю историю вспомню может только пару людей с атрофированной логикой, которые хотели работать в безопасности.  

• Коммуникабельность. Грамотная речь. -  Еще одно серьезное препятствие. В большинстве случаев ИТ и ИБ специалисты - интроверты. Коммуникабельность им не присуща по природе. Не буду уподобляться заводной кукле и третий раз писать про три типа, но мысль та же. Те, кто и специалист и коммуникабелен  почти не встречаются. Либо - либо. О грамотной речи отдельный разговор. Даже  не о грамотности речь. Речь с точки зрения грамматики правильная. Только говорят на птичьем техническом языке. А консультанту нужно общаться с бизнесом. Если бизнес не понимает консультанта - зачем консультанту платить деньги? Gartner в своих прогнозах на следующие пять лет не зря в пятерку самых востребованных ИТ-профессий включил людей, которые "умеют говорить на языке ИТ и бизнеса".

• Быстрая обучаемость. - Не проблема. Не встречал людей, чтобы нормальное образование, аналитические способности, любознательность, коммуникабельность и т.д. и при этом медленно обучаются. 

• Английский уровня не ниже intermediate (устный и письменный).  - Последнее серьезное препятствие. Почему-то среди ИБ специалистов, как и среди саперов (специалистов по SAP), знание английского языка считается дурным тоном. Приходит кандидат - и знания есть, и опыт, и коммуникабельность (таких нужно заносить в красную книгу), а английский на уровне индикатора из "Тайны третьей планеты" - все понимает, но не говорит, только меняет цвет.

Вот и приводит комбинация факторов к ситуации, когда специалисты по ИБ ищут работу, а компании ИБ специалистов, и не могут друг друга найти.