Kai prieš kelerius metus dirbau su viena Vilniaus IT įmone, jos vadovas man pasakė frazę, kurią prisimenu iki šiol: „Lengviau rasti vienaragį nei gerą pentesterį už protingus pinigus.” Skambėjo juokingai, bet kuo giliau kasiausi į šią temą, tuo aiškiau supratau – tai ne perdėjimas, o realybė, su kuria šiandien susiduria beveik kiekviena organizacija, turinti bent kokį skaitmeninį pėdsaką.
Kibernetinio saugumo specialistų trūkumas nėra naujiena, apie tai kalbama jau bent dešimtmetį. Tačiau tai, kas anksčiau atrodė kaip tolimos ateities problema, dabar yra kasdienybė – nuo mažų startuolių iki didžiulių korporacijų, nuo valstybinių institucijų iki bankų. Ir kuo toliau, tuo situacija tik aštrėja, nors atrodytų – žmonių, norinčių dirbti IT srityje, netrūksta.
Kodėl trūkumas toks didelis, nors IT specialistų rinka atrodo persotinta
Paradoksalu, bet tuo pačiu metu, kai skundžiamės programuotojų perteklium tam tikruose segmentuose, kibernetinio saugumo srityje trūksta žmonių katastrofiškai. (ISC)² tyrimai jau kelerius metus rodo, kad pasaulinis trūkumas siekia keletą milijonų specialistų. Lietuvoje, nors tikslių skaičių niekas neskaičiuoja su chirurginiu tikslumu, situacija panaši – kiekviena bent kiek rimtesnė įmonė, ieškanti saugumo inžinieriaus ar SOC analitiko, gali papasakoti istoriją apie mėnesius trukusią paiešką.
Priežastis paprasta: kibernetinis saugumas nėra vien tik technologijos. Tai kryžma tarp gilaus techninio išmanymo, analitinio mąstymo, teisės žinių, rizikos vertinimo ir dar šiek tiek psichologijos, nes reikia suprasti, kaip mąsto puolėjas. Universitetai šito neišmoko per vieną semestrą, o darbo rinka reikalauja jau paruoštų specialistų, turinčių sertifikatus, patirtį ir gebėjimą veikti krizinėse situacijose.
Kita problema – saugumo sritis auga greičiau nei sugebame paruošti žmones. Debesijos technologijos, IoT įrenginiai, dirbtinis intelektas, nuolat besikeičiantys reglamentai (NIS2 esamybė čia labai iškalbinga) – visa tai reikalauja naujų kompetencijų, kurių dar visai neseniai net nebuvo mokymo programose.
NIS2 direktyva kaip katalizatorius, o ne priežastis
Verta paminėti, kad Europos Sąjungos NIS2 direktyva, kurią valstybės narės privalėjo perkelti į nacionalinę teisę, iš esmės padidino spaudimą rinkai. Staiga tūkstančiai organizacijų, kurios anksčiau saugumu rūpinosi tik popieriuje, dabar privalo turėti realius procesus, atsakingus asmenis ir dokumentuotą rizikos valdymą.
Tai reiškia, kad paklausa specialistams, gebantiems ne tik konfigūruoti ugniasienę, bet ir suprasti reguliacinius reikalavimus, atlikti rizikos vertinimus bei rengti incidentų valdymo planus, išaugo staigiai. Ir kadangi pasiūla neatitiko šio šuolio, atlyginimai saugumo srityje pakilo, tačiau kartu pakilo ir lūkesčiai iš darbdavių pusės – jie nori jau paruoštų specialistų, o ne tokių, kuriuos reikės mokyti metus.
Realybė tokia, kad NIS2 tik atskleidė problemą, kuri egzistavo jau seniai. Direktyva nesukūrė trūkumo – ji tiesiog privertė organizacijas pripažinti, kad be kvalifikuotų žmonių jokia technologija savaime nesustabdys atakos.
Ką reiškia „geras saugumo specialistas” praktikoje
Čia verta sustoti ir paaiškinti, kodėl ši profesija tokia sudėtinga užpildyti. Kibernetinis saugumas nėra viena profesija – tai visa ekosistema specializacijų:
- SOC analitikas, stebintis įvykius realiu laiku ir atskiriantis triukšmą nuo tikros grėsmės
- Penetracijos testuotojas (pentesteris), kuris galvoja kaip puolėjas, kad rastų spragas prieš tikrus nusikaltėlius
- Saugumo architektas, projektuojantis sistemas taip, kad jos būtų atsparios nuo pat pradžių
- Incidentų valdymo specialistas, gebantis veikti spaudimo sąlygomis, kai sistema jau pažeista
- GRC specialistas (governance, risk, compliance), suprantantis teisinius ir reguliacinius reikalavimus
Kiekviena iš šių krypčių reikalauja skirtingo mąstymo tipo. Geras pentesteris dažnai yra prastas dokumentacijos rašytojas, o puikus GRC specialistas gali nesuprasti, kaip veikia buferio perpildymo ataka. Darbdaviai dažnai ieško „universalaus kario”, kuris moka viską, ir tokių žmonių tiesiog fiziškai nėra tiek, kiek reikia rinkai.
Švietimo sistemos atsilikimas – ar tikrai kaltas universitetas
Dažnai girdžiu priekaištus universitetams – girdi, jie neruošia tinkamų specialistų. Iš dalies tai tiesa, bet reikalas sudėtingesnis. Kibernetinio saugumo sritis keičiasi taip greitai, kad akademinė programa, parengta prieš trejus metus, jau gali būti pasenusi. Kol dėstytojas paruošia paskaitą apie naują atakos vektorių, saugumo bendruomenė jau kalba apie kitą, dar naujesnį.
Be to, universitetai orientuoti į teoriją ir fundamentalias žinias – tai svarbu, tačiau darbo rinkai reikia praktinių įgūdžių: gebėjimo dirbti su konkrečiais SIEM įrankiais, suprasti realių tinklų architektūrą, turėti patirties su realiomis atakų simuliacijomis. Čia į pagalbą ateina praktiniai sertifikatai – CompTIA Security+, CEH, OSCP, CISSP – kurie tapo tam tikru „pasitikėjimo ženklu” darbo rinkoje, nors patys savaime negarantuoja gilaus supratimo.
Man regis, tikroji problema slypi ne švietimo turinyje, o tempe. Reikia glaudesnio ryšio tarp verslo ir akademijos – stažuočių, bendrų projektų, dėstytojų iš pramonės. Kai kurios Lietuvos aukštosios mokyklos jau bando šią kryptį, bet tai vis dar labiau išimtis nei taisyklė.
Ką organizacijos daro (ir turėtų daryti) trūkumo akivaizdoje
Susidūrusios su realybe, kad rinkoje tiesiog nėra tiek paruoštų specialistų, organizacijos renkasi kelis kelius, ir kiekvienas turi savo privalumus bei spąstus.
Auginimas iš vidaus. Vietoj to, kad ieškotum jau paruošto saugumo inžinieriaus, geriau paimti perspektyvų sistemų administratorių ar tinklo inžinierių ir investuoti į jo mokymą. Tokie žmonės jau supranta infrastruktūrą, jiems belieka pridėti saugumo mąstymą. Tai lėčiau, bet dažnai efektyviau ir pigiau ilgalaikėje perspektyvoje.
Automatizacija ir įrankiai. Kai žmonių trūksta, natūralu, kad rinka ieško būdų, kaip sumažinti priklausomybę nuo žmogiškojo darbo. SOAR platformos, automatizuoti grėsmių aptikimo įrankiai, dirbtinio intelekto pagalba analizuojant logus – visa tai leidžia mažesnei komandai atlikti daugiau darbo. Bet svarbu suprasti – automatizacija nepakeičia žmogaus sprendimo priėmimo, ji tik palengvina rutininius darbus.
Outsourcing ir MSSP paslaugos. Vis daugiau smulkesnių organizacijų renkasi samdyti išorinius saugumo paslaugų teikėjus (Managed Security Service Providers), užuot bandę susikurti vidinę komandą. Tai gali būti protingas sprendimas, ypač jei organizacija neturi resursų 24/7 stebėjimui, bet reikia atidžiai rinktis partnerį – ne visi MSSP vienodai kokybiški.
Atlyginimų ir kultūros peržiūra. Galiausiai, dažnai problema slypi ne tame, kad trūksta specialistų apskritai, o tame, kad konkreti organizacija nesugeba jų pritraukti ar išlaikyti. Saugumo specialistai dažnai išeina dėl perdegimo (24/7 budėjimas, nuolatinis stresas), prastos vadovybės supratimo apie realius rizikos lygius arba tiesiog geresnio pasiūlymo kitur. Investicija į darbo kultūrą kartais efektyvesnė nei investicija į naujausią SIEM licenciją.
Karjeros galimybės tiems, kas svarsto pereiti į šią sritį
Jei skaitai šį straipsnį ir galvoji, ar verta pradėti karjerą kibernetiniame saugume – atsakymas beveik visada teigiamas. Trūkumas rinkoje reiškia, kad net vidutiniškai paruoštas, bet motyvuotas žmogus turi realias galimybes įsidarbinti, ypač jei ateina iš gretimos IT srities.
Praktiniai patarimai tiems, kas nori pereiti:
- Pradėk nuo pagrindų – tinklų veikimo, operacinių sistemų, scenarijų rašymo. Be to saugumas liks abstrakcija
- Naudokis nemokamomis platformomis – TryHackMe, HackTheBox, PortSwigger Web Security Academy suteikia praktinių įgūdžių be didelių investicijų
- Rinkis vieną specializaciją pradžioje, o ne bandyk apimti viską iš karto
- Sertifikatai svarbūs, bet portfolio su realiais projektais (net ir CTF varžybų rezultatais) dažnai įtikina darbdavį labiau
- Ieškok bendruomenių – Lietuvoje yra aktyvių saugumo entuziastų grupių, konferencijų kaip BSides Vilnius, kur galima užmegzti kontaktus
Svarbu suprasti ir tai, kad kibernetinis saugumas nėra vien tik „hakinimas”. Yra vietos ir žmonėms, mėgstantiems rašyti politikas, analizuoti riziką, dirbti su atitiktimi. Ne kiekvienas turi tapti pentesteriu, kad prisidėtų prie stipresnės saugumo kultūros.
Vietoj išvadų: ką visa tai reiškia rytoj, o ne po dešimtmečio
Kibernetinio saugumo specialistų trūkumas neišnyks per naktį, ir nuoširdžiai sakant, nemanau, kad jis išnyks per artimiausią dešimtmetį. Technologijos vystosi greičiau nei žmonės spėja mokytis, o grėsmių landšaftas keičiasi taip sparčiai, kad net patyrę profesionalai turi nuolat mokytis iš naujo, kad neatsiliktų.
Tačiau tai nereiškia, kad organizacijos turi tiesiog rankomis mostelėti ir laukti stebuklo. Realus kelias pirmyn – kombinacija iš kelių dalykų vienu metu: investicija į esamų darbuotojų mokymą, protinga automatizacija ten, kur ji tikrai padeda, o ne tik atrodo madinga, atviresnis bendradarbiavimas su švietimo institucijomis ir, galbūt svarbiausia, sąžiningas savęs įvertinimas – ar tavo organizacijai iš tikrųjų reikia penkių saugumo inžinierių, ar užtenka gero MSSP partnerio ir vieno vidinio koordinatoriaus.
Tiems, kas svarsto karjerą šioje srityje – dabar tikrai geras laikas. Rinka atviras, paklausa didelė, o kelių į profesiją yra daugiau nei bet kada anksčiau, nuo formalaus universitetinio išsilavinimo iki savarankiško mokymosi per praktines platformas. Svarbiausia – nebijoti pradėti nuo mažų žingsnių ir suprasti, kad ši sritis atlygina ne diplomus, o realų gebėjimą spręsti problemas ir mąstyti kritiškai, dažnai priešiškos pusės perspektyvoje.
Galiausiai, jei yra viena mintis, kurią norėčiau, kad skaitytojas pasiimtų iš šio teksto – tai ta, kad kibernetinis saugumas nėra vien technologijų klausimas. Tai žmonių klausimas. O žmonių, kaip žinia, negalima nusipirkti iš karto ir negalima jų pakeisti vien programine įranga, kad ir kokia protinga ji būtų.
