По данным центра мониторинга кибератак МТС RED SOC, в 2023 году общее количество кибератак на российские компании выросло на 43% и составило свыше 50 тыс. инцидентов. Основная мишень ― крупные компании, на которые можно реализовать "громкие" атаки, заметные для большого числа граждан. Именно поэтому больше всего высококритичных инцидентов аналитики МТС RED зафиксировали в промышленности (23%), IT-компаниях (21%), ретейле и банках (по 15%).
В связи с этим востребованность специалистов в области информационной безопасности (ИБ) растёт небывалыми темпами. Ценным кадрам бизнес готов платить буквально любые деньги. Но этих кадров не так много.
Почему стало больше кибератак
Одна из причин роста киберугроз — уход с рынка иностранных вендоров. Кроме того, из-за санкций российские компании лишились поддержки и обновлений по ряду продуктов и были некоторое время озадачены вопросом их импортозамещения. Текущие угрозы, указывает директор по информационной безопасности Ozon Кирилл Мякишев, обладают гибридным характером, одним из ключевых инструментов становится социальная инженерия. Под её воздействие могут попасть как обычные клиенты, которые натолкнулись на мошенника на маркетплейсе, так и сотрудники, и партнёры, обладающие доступом к инфраструктуре компании.
Однако за последние пару лет организации стали более зрело подходить к вопросам защиты своей информационной архитектуры. Ведущий аналитик "СёрчИнформ" Леонид Чуриков рассказал, что в 2023 году компании Петербурга увеличили бюджеты на информационную безопасность. Если раньше защитные средства закупались только самыми предусмотрительными заказчиками, то сейчас работает отложенный спрос на закупку новых и расширение имеющихся ИБ-решений.
“
"В прошлом году 68% петербургских организаций выделили бюджеты на продление лицензионных ключей, 56% закупали новое ПО и оборудование. Большая часть бюджетов распределяется на продление или расширение уже имеющихся ИБ-решений", — сказал он.
Сколько получают кибербезопасники
Главная проблема — отсутствие квалифицированных кадров. Как рассказал "ДП" директор hh.ru по кибербезопасности и работе с госорганами Виталий Терентьев, на одну вакансию директора направления (CISA) сейчас приходится 0,3 отклика. "Подготовка такого специалиста занимает порядка четырёх лет, причём это возможно только на месте: 99% знаний передаётся "из рук в руки". В крупной компании оклад у CISA может составлять 1,5 млн рублей. Доходы "рядовых безопасников не сильно отличаются от коллег по IT-цеху", — говорит Терентьев.
Как обращают внимание в пресс-службе "Билайна", в современных условиях специалистам особенно важно уметь понимать бизнес, чтобы находить верный баланс между мерами защиты и допустимыми ограничениями. На рынке труда борьба за ключевых кандидатов, мягко говоря, остра. Соискатели охотнее идут в компании, у которых за спиной поддержка крупного бренда с именем и ресурсами.
Генеральный директор МТС RED Евгения Наумова считает, что решение проблемы с кадрами в этой нише может состоять в совмещении усилий всех возможных участников процесса: госорганов, бизнеса, образовательный среды. Мгновенного результата ждать не стоит. "Сейчас Минцифры предпринимает шаги для удержания квалифицированных IT и ИБ-кадров в России. А также для развития отрасли в целом, чтобы специалисты чувствовали себя на рынке увереннее. Вузы и школы стремятся развивать совместные образовательные проекты с ведущими игроками рынка ИБ. Компании создают образовательные центры, возможности для стажировки молодых профессионалов", — описывает Наумова современный подход к решению вопроса.
Кибератаки на известные компании неизменно вызывают широкий общественный резонанс. Но известные инциденты — лишь верхушка айсберга. Директор по безопасности Wildberries Антон Жаболенко рассказал, что только за 2023 году их компания предотвратила десятки тысяч попыток мошенничества и заблокировала более 700 фишинговых сайтов, на которые периодически попадали пользователи по замыслу злоумышленников. Но сперва потребовалось создать эффективную команду. "Мы не смотрели на отклики на вакансии. Применяли другие подходы для поиска подходящих специалистов: от внутренних программ и рекомендаций до поиска профи на конференциях и в вузах, запускали и собственную программу стажировок", — поделился опытом Антон Жаболенко.
Кому грозят оборотные штрафы за утечку данных
Виталий Терентьев из hh.ru уверен, что сегодня получить ценный кадр можно только переманив его у другой компании. Но этот процесс никогда не даёт гарантий. "Несколько раз возникали ситуации, когда я нашёл безопасника, провёл с ним несколько собеседований, сделал ему оффер. И тут же, узнав об этом, компания N делает ему предложение, умножая обещанную мной зарплату на два, а то и на три, — рассказал он. — Это общий тренд рынка труда — людей, представляющих особую ценность, привлекают и удерживают деньгами. В случае с CISA бизнесу иногда дешевле нанять такого специалиста, даже если задач для него в настоящий момент нет. Когда они появятся, найти его может просто не получиться".
По словам Виталия Терентьева, долгое время российский бизнес не осознавал масштаба проблемы. Но сейчас забота о надёжной защите данных становится не просто мерой предосторожности, но и обязанностью бизнеса. 23 января 2024 года Госдума приняла в первом чтении законопроекты об административной и уголовной ответственности за утечки персональных данных. "Принятые сегодня законопроекты вводят оборотные штрафы для компаний, допустивших утечку личной информации граждан. Они будут составлять до 3% выручки. Кроме того, предусмотрена уголовная ответственность", — заявил тогда председатель нижней палаты парламента Вячеслав Володин. За нарушение, допущенное впервые, должностных лиц могут оштрафовать на сумму до 2 млн рублей, юридических — до 15 млн.
Впрочем, новое положение дел порождает и новые риски. Виталий Терентьев прогнозирует, что так называемые "белые хакеры", которые ищут уязвимости в IT-системах бизнеса, могут пойти по пути ультимативных требований к компаниям: или приём на работу и выплата высокого оклада, или взлом с соответствующими потерями для компании.
Происходящие изменения, по мнению Терентьева, приведут к дальнейшему росту стоимости услуг специалистов по кибербезопасности. При этом не стоит ждать, что спрос на профессию вырастет: эта ниша останется непопулярной среди представителей IT, поскольку хайпа вокруг неё возникнуть не может. Эффективным решением проблемы может оказаться привлечение зарубежных специалистов. "В России большинство безопасников — выходцы из силовых структур, которые привносят своё видение процесса в бизнес. Часто их коммуникации с работодателями не строятся. Специалист пытается продать страх (хакерской атаки), а компании ещё не начали этого бояться, поскольку сейчас штрафы за утечки данных маленькие", — поясняет Терентьев.
