Скажу прямо: нанимать специалистов по информационной безопасности — то еще приключение. За годы работы я провел сотни собеседований (и, конечно, не раз сидел и по другую сторону стола). Иногда это похоже на шпионский детектив, иногда на комедию, а иногда — на марафон по резюме без финишной черты. Расскажу, как найм безопасников выглядит изнутри ИБ-интегратора: что для меня важно в резюме, как проходит техническое интервью и какие случаи вспоминаются до сих пор.

Почему найти хорошего безопасника — “это роскошный максимум”

Рынок ИБ перегрет. Хорошие специалисты почти всегда заняты. Джунов много, но не каждая компания готова вкладываться в их рост. У крупных игроков это получается лучше, они чаще других начинают «вести» студентов с первых курсов.

Частая ошибка заказчиков, которые впервые нанимают безопасника, — составлять вакансию по принципу копирования чужого запроса. На выходе получаются монстры с требованиями уровня «5+ лет опыта, два высших образования, знание всего на свете». Такие объявления будут сразу же закрыты соискателем. 〰️ В 2024 году количество вакансий специалистов по ИБ увеличилось по данным разных сервисов на 17–50%, однако количество резюме сократилось на 6%. Подытожим. Специалистов по безопасности много, но с необходимым порогом для включения в работу здесь и сейчас - недостаточно.

Сначала резюме

Первый фильтр — резюме.

Сейчас их много: кибербез стал популярным направленем, смежные специалисты (админы, айтишники, даже силовики) активно переквалифицируются.

Что важно в резюме для меня:

1. Базовый ИТ-бэкграунд. Без понимания сетей и ОС в безопасности делать нечего. Нельзя защищать «чёрный ящик», принцип работы которого тебе не известен.

2. Практика. Настройка конкретных СЗИ важна, но еще важнее база: понимаешь, как устроен один фаервол — настроишь и другой.

3. Конкретика. Лучше «поддерживал RA VPN на трех площадках для 10 000 пользователей», чем «умею Infotecs».

Проблема в том, что рекрутеры часто фильтруют только по формальным признакам. Из-за этого теряются сильные специалисты с плохо оформленными резюме. Поэтому часть из них я смотрю сам, но чаще руководитель профильного отдела.

Собеседование

Следующий этап - техническое интервью.
Беседу веду лично я, либо руководитель соответствующего подразделения. Структура проста, уровень кандидата проверяется вопросами по базовым областям — сетям, операционным системам, механизмам защиты, иногда скриптам. Вопросы не для того, чтобы «завалить», а чтобы понять глубину знаний.

Что спрашиваю:

• уровни модели OSI

• различия в типах СЗИ

• архитектура ОС и компонентов, встроенные механизмы защиты

• опыт администрирования

• навыки написания скриптов

• знание НПА

• ориентирование в технологиях контейнеризации, виртуализации, углубленных сетевых, и прочее.

Чего ни я, ни моя команда точно не делает: не устраиваем «собес-допросы» на несколько часов. Если специалист толковый, это видно довольно быстро. Логические задачки ради задачек тоже считаю бессмысленными — Google никто не отменял. Важно другое, если есть база и человек умеет учиться, любой новый инструмент он освоит.

Про специализацию

Есть еще нюанс в размере компании. В небольшой фирме нужны универсалы, где человек и за сетью присмотрит, и VPN поднимет, и аудит проведет.

Когда компания растет, возникает специализация: SIEM, DLP, NAC. Появляются задачи для людей с узкой экспертизой. В интеграторе проще, если у человека есть хорошая ИТ-база, мы сами научим его конкретным средствам защиты. Если человек выбрал другой путь, специфика как правило будет сильно сужаться до одного двух направлений.

Важно подчеркнуть: этот конкретный текст — про “среднего” специалиста по внедрению сетевых и прикладных технологий. Того самого человека, которому приходится быть связующим звеном между базовыми ИТ-навыками и реальными задачами интегратора. Про архитекторов, исследователей, red team и так далее, не хватит места — это отдельные истории, со своими правилами найма.

Пара историй с собеседований

Отдельный пласт впечатлений от найма у нас аккумулирует Никита — технический HR. Это редкая и полезная роль: человек, который понимает в ИТ, проводит скрининги, общается с кандидатами, отсеивает «бумажные резюме» и сразу чувствует, где релевантный опыт, а где таковой отсутствует.

Небольшой тезис перед историями.  Надо понимать, что каждый работодатель и отдельная в нем команда - это как правило специфичный набор разношерстных людей. Помимо базовых навыков, существуют какие-то частные правила вот этого маленького общества, где-то не приемлют совсем юмора, где-то критично относятся к опозданиям на пару минут (в том числе даже на собеседование), вся эта компоновка качеств и особенностей “человеков” как раз формирует рынок. Бизнес берет тех, кто подходит им, соискатель ищет место, где ему будет комфортно. 

Возвращаемся к историям, Дальше та самая небольшая подборка от Никиты собирательных образов кандидатов, которые сами себе могут создавать проблемы на интервью.

Админ всего и сразу

Резюме: «Администрировал Windows, Linux, сети и базы данных». На собеседовании оказалось, что половину делал номинально. Хотел показаться универсалом, но реальность вскрылась за 10 минут.
Вывод: не приписывайте себе лишнего, чаще всего это выйдет боком.

Про маршрутизатор

На другом интервью спрашиваем простой вопрос:
— «Чем отличается коммутатор от маршрутизатора?»
И слышим:
— «Ну, маршрутизатор же гораздо дороже и круче!». Да, это забавно. И главное, не поспоришь.
Вывод: без базовых знаний в безопасности тяжело: шутка шуткой, но такое надо знать.

Кандидат, который сбежал

Один соискатель просто встал и ушёл посреди собеседования. Сказал: «Я понял, что не тяну». Что ж, честность иногда спасает время всем.

Коллекционер сертификатов

Кандидат перечисляет в резюме чуть ли не все существующее ПО от всех вендоров и прикладывает многочисленные сертификаты. На деле оказывается, что решения он видел только на стенде или мимоходом у коллеги. Вывод: лучше честный рассказ о своём опыте, чем коллекция бумажек.

Вендор/интегратор

Работа в компании-вендоре и интеграторе — два разных мира. Вендор дает глубину в одном продукте, интегратор требует широкий кругозор и гибкость. Условный молодой пресейл, привыкший жить по буклетам, в интеграторе рискует утонуть за считанные недели. Вывод: отдавать себе отчет о своих сильных и слабых сторонах — это важно.

Пара советов кандидатам

• Не притворяйтесь. Блеф раскроется очень быстро. Гораздо лучше честно сказать «не знаю» и показать готовность разобраться.

• Практика важнее курсов. Никакие «онлайн-курсы» сами по себе специалиста не делают. Работайте руками: поднимите Linux на виртуалке, разверните стенд, попробуйте open source-решения.

• Умение доносить мысли. Даже если роль техническая, способность объяснить понятно — ценнейший навык.

Полно возможностей, чтобы самообучаться. Поверхностная причастность к проекту не означает компетенции. И самое важное, что необходимо вообще всем - это одновременно и практика, и теория, без этого тяжело. Вузы ежегодно выпускают 10–15 тысяч специалистов по ИБ, но и этого будет недостаточно: к 2027 году потребность рынка может достичь 261 тыс. человек, тогда как реально занятых будет меньше 200 тысяч — дефицит сохранится.

Работодателю (если еще не пришлось) придется смотреть шире, а кандидату становиться честнее.