«За последние годы распространение онлайн-сервисов привело к тому, что люди стали заметно лучше себя защищать в интернет-пространстве. Многие научились не переходить по ссылкам из подозрительных писем, пользоваться лицензионным антивирусным ПО и обновлять необходимый софт, отличать мошеннические звонки от реальных, использовать двухфакторную аутентификацию. Цифровая грамотность растет, и это хорошо. Но давайте признаем: она решает задачу на уровне одного человека. А когда атака идет на энергосистему, на транспортную инфраструктуру или на базу данных миллионов пациентов, никакой грамотный пользователь не поможет. Здесь нужен профессионал. И вот с тем, кто именно будет этим профессионалом через пять лет, вопросов больше, чем ответов.
Вузы ежегодно выпускают тысячи специалистов по направлениям информационной безопасности. Цифра звучит оптимистично, пока мы не начинаем смотреть, куда эти выпускники потом устраиваются на работу. Значительная часть уходит в смежную отрасль информационных технологий, в разработку, в аналитику или вовсе за пределы ИТ-отрасли. Это означает, что система работает если и не вхолостую, то все же не совсем на ту цель, которую мы перед ней ставим. То есть проблема не в количестве выпускаемых, а в чем-то ином — в качестве подготовки, в уровне оплаты труда, который ждет молодого специалиста на входе в профессию, в условиях работы, способных поддержать в выпускнике вуза лояльность к индустрии в целом и желание заниматься делом именно по профилю обучения.
При этом сама природа профессии требует осмысления. Информационная безопасность — это не только и не столько инженерия. Это область на стыке многих профессий: здесь и технические специалисты, и юристы, и психологи. Когнитивная безопасность, защита от манипуляций, правовое обеспечение инцидентов — все это грани одной дисциплины. И тем не менее мы до сих пор не выстроили четкой системы квалификации для отрасли. Адвокат не может практиковать без экзамена, аудитор подтверждает квалификацию, нотариус проходит отбор. Специалист по информационной безопасности, от решений которого зависит работа критической инфраструктуры и безопасность людей (иногда даже физическая), получает диплом и может приступать к работе. И это довольно серьезная проблема. Поэтому я считаю, что назрел вопрос о выделении отдельного Совета по профессиональным квалификациям в сфере ИБ, причем, независимого от общего ИТ-контура. И речь идет не о новом бюрократическом институте, который просто будет выдавать дополнительные свидетельства — фактически появление такой структуры означает признание того, что профессия давно переросла рамки одной из ИТ-специальностей.
Важно, что ни один вендор не сможет заменить такой независимый институт, какой бы сложной его система сертификации ни была. Сегодня вендоры активно проверяют специалистов на знание конкретных продуктов и платформ. Это полезно работодателю, который принимает решение о допуске человека к конкретному оборудованию. Но владение одним продуктом не подтверждает системного понимания принципов информационной безопасности, поэтому и не может быть заменой экзамену на профессиональную квалификацию, это лишь один из ее элементов.
Остро стоит и вопрос о том, кто учит будущих специалистов. Важнее любой инфраструктуры, любого полигона и любой методики — люди. Те, кто дает фундаментальные базовые знания, и те, кто помогает формировать практические навыки. Это, замечу, разные люди. И именно к ним уже присоединяется все остальное: сервера, лицензии на софт, киберполигоны. Если преподавателя нет или он не развивается, никакое самое передовое решение в вузе ситуацию не спасет.
Решить проблему можно. Я считаю, что нужно делать ставку на развитие сети многофункциональных учебно-научных центров в разных округах России. Движение в этом направлении уже идет. Инициатива Совета Безопасности и Минобрнауки, запущенная в пилотном режиме на базе МГТУ им. Баумана, МИРЭА и ТУСУР, направлена не только на подготовку студентов. Ее ключевая задача — подготовка и переподготовка самих преподавателей, тиражирование компетенций в регионы, предоставление ресурсов тем вузам, которые не способны самостоятельно создать дорогостоящую инфраструктуру. Логика проста: оснастить сто с лишним вузов оборудованием за десятки миллионов невозможно и нецелесообразно. Но дать одному сильному центру ресурсы и подключить к нему остальных — реалистично.
Цифровая грамотность населения — это первый эшелон обороны. Но за ним должен стоять второй: подготовленные, квалифицированные, достойно оплачиваемые специалисты. И если мы не инвестируем в тех, кто их готовит, первый эшелон однажды окажется без прикрытия».
Проект реализован на средства гранта Санкт-Петербурга.
