Бумажный безопасник

Порталы по поиску работы обозначают как:

▬   Специалист по защите информации

▬   Специалист по информационной безопасности

▬   Специалист по защите ИСПДн

 и многие другие варианты.

Кто ищет?

В основном бумажными специалистами интересуются компании-интеграторы.

Системный интегратор представляет собой компанию, предоставляющую услуги по внедрению, подборе, установке и настройке всех структур в области информационных технологий. По-русски это компания подрядчик исполняющий определенные виды работ.

Но наряду с частными (и не обязательно интеграторами) попадаются также и государственные организации (ФГУП, ГУП, МУП, околоправительственные, медицинские учреждения и т.д.). Связано в основном с тем, что бумажная безопасность подчас не требует больших финансовых вложений как на развертывание технических систем ИБ. Конечно, если это защита ИСПДн то траты будут как минимум на сертификацию АРМов (автоматизированное рабочее место) и покупку средств компьютерной защиты информации (СКЗИ), но они чаще единоразовые.

Заработная плата

Можете сами погуглить диапазон зарплат. Могу сказать лишь что в регионах бумажный безопасник в какой-нибудь больнице может получать от 12-15k  до 30k рублей, в крупных городах типа Москвы суммы значительно больше, например от 60 тысяч. Естественно, уровень будет зависеть от ваших знаний и опыта.

Типичное описание вакансии

 Для того чтобы понять, что требуется именно «бумажный» специалист надо читать описание вакансии, вот типичное описание вакансии (компании-интегратора) с ключевыми словами:

Но если вы думаете, что работа, связанная с информационными системами по персональным данным (152-ФЗ) это все что может делать «бумажный специалист», то вы ошибаетесь ибо в сферу компетенций специалиста входят также работы по аттестация АРМов и других систем, работы по 187-ФЗ (о критической информационной инфраструктуре), ГИС (государственных информационных систем), лицензирование и аттестация, учет шифровальных систем и их ремонт (отсылка к специалисту на прокат), разработка внутренних (на самом предприятии) регламентов-политик и многое другое, что требует большого количества бумаг.

Навыки, опыт:

■  Усидчивость, внимательность и склонность к монотонной работе;

■  Умение не просто читать, а вникать в законодательство, нормативно-правовые акты, приказы, методические указания и прочие документы;

■  Касаемо методичек (например по разработке модели нарушителя осторожно, pdf!) то ими также надо уметь пользоваться (но ничего сложного там нет);

■  Умение пользоваться офисными программами для написания многочисленных документов;

■  Хорошая теоретическая база по информационной безопасности;

■  Умение разрабатывать документы «на серьезных щщах», а именно чтобы они были выполнимы и не вызывали смех у технарей;

■  Уметь в аналитику бизнес-процессов предприятия дабы своими регламентами работы не убить этот самый процесс;

■  Быть немного юристом, документоведом;

и многое другое – пока что это все что я смог вспомнить навскидку.

Требуемое образование

Высшее образование по специальности «Информационная (компьютерная) безопасность», «Защита информации» или по аналогичной специальности либо курсы по профессиональной переподготовке по информационной безопасности свыше 500 часов. Если предстоит работа с информацией, представляющей тайну (секретная информация, государственная тайна) то требуется допуск по форме (об этом в следующей статье). Каких-то определенных сертификатов обычно не требуют. 

Чем предстоит заниматься

Опустим пока так всеми любимые персональные данные и работы, связанные с их защитой (об этом я напишу большой лонгрид в будущем) и рассмотрим типичную работу бумажного безопасника на предприятии. В примере мы рассмотрим компанию, где защитой сети предприятия занимаются специалисты-сетевики, а специалист по безопасности пишет. А пишет он документы, документы, которые потом вы подчас подписываете, не глядя устраиваясь на работу (политика обработки персональных данных) или при ознакомлении с должностными инструкциями (политика по информационной безопасности). В политике по информационной безопасности будут описаны такие вещи как добавлять новых пользователей в систему и как изменять их права. Обычно такие процессы подразумевают целый документооборот, сбор нескольких высокопоставленных подписей, что вроде бы как должно гарантировать безопасность и полноту контроля. Тем не менее, факт добавления пользователя в систему или какое-либо изменение его прав, как правило, реально определяет только его непосредственный руководитель. Далее в данном документе может быть описание (хотя его также пишут в должностных инструкциях) прав доступа к тем или иным системам в зависимости от должности. Если есть режимные помещения с ограниченным доступом, то также будет написан бумажным безопасником регламент доступа в это помещение. Если это УЦ (удостоверяющий центр), то регламент УЦ также разрабатывается этим специалистом. Думаю, суть вы поняли, ибо расписывать дальше лень.

Как видно из выше написанного работа представляет собой больше документально-оформительскую и в малой степени организационно-распорядительную, чем техническую.  

30.01.2019

Подписывайтесь