Должностная инструкция специалисту по защите информации

Должностная инструкция специалиста по информационной безопасности

Должностная инструкция специалисту по защите информации

Обеспечение информационной безопасности предприятия требует комплексного организационного и технологического подхода для решения возникающих в процессе деятельности проблем.

Выявлением потенциальных угроз и принятием мер по защите информационных систем занимаются службы безопасности, входящие в состав предприятия или являющиеся отдельными коммерческими организациями.

Правильный подбор и расстановка кадров, рациональное распределение должностных обязанностей способствует достижению поставленных целей обеспечения информационной безопасности.

Нет времени и ресурсов на работу в DLP – обратитесь к экспертам вне штата. В рамках нашей услуги ИБ-аутсорсинг вы можете частично или полностью передать внутренний контроль нашим специалистам. 

Разберемся, какие требования правомерны по отношению к специалистам, которые должны обеспечить информационную безопасность, и как это закреплено документально.

Требования при назначении специалиста, отвечающего за безопасность

Принимая на работу кандидата на должность специалиста по информационной безопасности, руководствуются нормами трудового законодательства, прочих правовых актов, отраслевых соглашений.

Как таковых требований обязательного составления должностной инструкции для этого сотрудника в качестве отдельного документа не существует. Обязанности и права сторон трудовых правоотношений могут быть оговорены условиями договора, подписанного в двустороннем порядке.

Документы внутреннего пользования для специалистов, в функции которых входит обеспечение информационной безопасности, разрабатываются руководителями служб безопасности, с целью:

  • разграничения задач, полномочий и ответственности;
  • установления единого подхода в определении профессиональных обязанностей, предъявляемых квалификационных требований к работникам, занимающихся вопросами безопасности.

После согласования с юридической службой и утверждения первым руководителем организации с этим документом, являющимся неотъемлемой частью трудового договора, знакомят под роспись должностное лицо, основной задачей которого будет защита данных.

Принимая во внимание уровень квалификации специалистов по безопасности, отличительные особенности выполняемых ими функций, как правило, готовят комплект должностных инструкций в нескольких экземплярах. Один из них хранится в отделе кадров вместе с трудовым договором, второй находится у начальника службы безопасности, третий экземпляр инструкции отдают на руки специалисту.

Поскольку регламентированных стандартов разработки содержания должностной инструкции специалиста, определяющей производственные полномочия работника и требования к нему нет, организации формируют документ самостоятельно.

По сути, инструкция – это руководство к действию специалиста по безопасности, где указывают конкретные требования к уровню квалификации должностного лица, позволяющие оценить результативность его труда.

Принцип разработки должностной инструкции специалиста 

Учитывая специфику деятельности организации, степень потенциальных угроз конфиденциальным сведениям, в штате сотрудников, обеспечивающих информационную безопасность, может быть несколько профильных специалистов.

Правила профессионального поведения при выполнении работ по защите данных и информационных систем, отдельно конкретизируют, указывая квалификационные требования: 

  • уровень профессиональной подготовки;
  • наличие минимального опыта работы по специальности;
  • знание законов и правовых положений;
  • умение применять на практике методы планирования и организации работ по защите и обеспечению конфиденциальности сведений.

Отдельно выделяют разделы, где детально перечисляют:

  • какие функции возложены на специалиста по защите информации;
  • что входит в его трудовые обязанности;
  • права и ответственность специалиста за причинение по его вине ущерба, связанного с утечкой, уничтожением данных.

Общие требования могут включать наличие высшего технического образования и определенного опыта работы по специальности для назначения на руководящую должность.

Приложением к Приказу № 205 Министерства здравоохранения и социального развития Российской Федерации от 22. 04. 2009 утвержден Единый квалификационный справочник специалистов и служащих, занимающимися вопросами защиты стратегических данных. В нем содержатся следующие требования:

  • главный специалист должен иметь высшее образование и отработать в данной отрасли не менее 5 лет, из них как минимум 3 года выполнять обязанности руководителя;
  • начальником отдела по противодействию техническим разведкам, по защите информации техническими средствами может быть назначен лишь специалист с высшим образованием, имеющий как минимум 5 лет трудового стажа, 2 года из которых – на должности руководителя.

Другие специалисты могут назначаться на должности, связанные с обеспечением комплексной защиты документов и информационных систем:

  • при наличии высшего образования без предъявления требований к стажу работы;
  • имея среднее профильное образование и стаж работы техником I категории не менее 3 лет, а в некоторых случаях – 5 и более лет. 

Функции специалистов по защите информации 

В отдельном разделе документа перечисляют должностные функции специалиста в рамках поставленных задач обеспечения целостности, сохранности документов, представляющих для организации важное значение, соблюдая конфиденциальность при обработке персональных данных.

Основные задачи службы ИБ:

  • выполнение и контроль работ, позволяющих выявить потенциальные угрозы информационной системы и каналы утечки ценных сведений;
  • подготовка документации по защите информации для внутреннего пользования;
  • участие в оснащении компании новыми средствами технической защиты;
  • определение степени уязвимости программного обеспечения и принятие мер для обнаружения несанкционированного вторжения;
  • определение ограничений по доступу к секретным сведениям в локальной информационной сети;
  • установление порядка подключения к Интернету с учетом требований безопасности;
  • восстановление работы персональных компьютеров и управляющих систем после сбоя или отказа, заражения вирусными программами;
  • оценка целесообразности, технико-экономического уровня принятых организационно-технических решений по обеспечению защиты информации;
  • обучение штатных сотрудников, имеющих доступ к ценным документам (бумажным и электронным), алгоритму действий в непредвиденных ситуациях, повышающих риски утери и уничтожения критичных данных.

Основные права ИБ-специалистов

Во избежание недоразумений, сотрудника знакомят с перечнем оговоренных полномочий, которые не должны ущемлять его права, гарантированные трудовым законодательством.

Среди основных прав работника:

  • обращение к руководству по поводу оказания содействия, выделения материальных средств для реализации поставленных задач технической защиты конфиденциальных сведений;
  • внесение предложений по совершенствованию действующей системы безопасности;
  • привлечение при необходимости для выполнения работ сотрудников всех структурных подразделений;
  • ознакомление с проектными планами по внедрению новых технологий;
  • участие в обследовании объектов защиты;
  • решение спорных ситуаций в установленном законом порядке – путем достигнутого с работодателем соглашения или через суд.

Заметим, чем детальнее в документе будут прописаны требования с учетом специфики деятельности организации, тем легче оценить профессиональное мастерство специалиста.

Добросовестное выполнение функций, соответствие работников квалификационным требованиям гарантирует безопасность конфиденциальных сведений.

09.06.2020

Источник: https://searchinform.ru/informatsionnaya-bezopasnost/osnovy-ib/dokumenty-po-informatsionnoj-bezopasnosti/instruktsii-po-informatsionnoj-bezopasnosti/dolzhnostnaya-instruktsiya-spetsialista-po-informatsionnoj-bezopasnosti/

Должностная инструкция инженера по защите информации

Должностная инструкция специалисту по защите информации

Предлагаем Вашему вниманию типовой пример должностной инструкции инженера по защите информации, образец 2020 года.

На данную должность может быть назначен человек, имеющий высшее профессиональное (техническое) образование без предъявления требований к стажу работы или среднее профессиональное (техническое) образование и стаж работы в должности техника по защите информации I категории не менее 3 лет либо других должностях, замещаемых специалистами со средним профессиональным образованием, не менее 5 лет. Не забывайте, каждая инструкция инженера по защите информации выдается на руки под расписку.

На сайте hr-portal представлена типовая информация о знаниях, которыми должен обладать инженер по защите информации. Об обязанностях, правах и ответственности.

Данный материал входит в огромную библиотеку должностных инструкций нашего сайта, которая обновляется ежедневно.

1. Общие положения

1. Инженер по защите информации относится к категории специалистов.

2.

Инженером по защите информации принимается лицо, имеющее высшее профессиональное (техническое) образование без предъявления требований к стажу работы или среднее профессиональное (техническое) образование и стаж работы в должности техника по защите информации I категории не менее 3 лет либо других должностях, замещаемых специалистами со средним профессиональным образованием, не менее 5 лет.

3. Инженер по защите информации принимается на должность и освобождается от должности ___________ организации (директором, руководителем) по представлению _________. (должность)

4. Инженер по защите информации должен знать:

— постановления, распоряжения, приказы, методические и нормативные материалы по вопросам, связанным с обеспечением технической защиты информации;

— специализацию предприятия и особенности его деятельности;

— методы и средства получения, обработки и передачи информации;

— научно-техническую и другую специальную литературу по техническому обеспечению защиты информации;

— технические средства защиты информации;

— программно-математические средства защиты информации;

— порядок оформления технической документации по защите информации;

— каналы возможной утечки информации;

— методы анализа и защиты информации;

— организацию работ по защите информации;

— инструкции по соблюдению режима проведения специальных работ;

— отечественный и зарубежный опыт в области технической разведки и защиты информации;

— основы экономики, организации производства, труда и управления;

— основы трудового законодательства;

— правила и нормы охраны труда.

5. В своей деятельности инженер по защите информации руководствуется:

— законодательством Российской Федерации,

— Уставом (положением) организации,

— приказами и распоряжениями __________ организации, (генерального директора, директора, руководителя)

— настоящей должностной инструкцией,

— Правилами внутреннего трудового распорядка организации.

6. Инженер по защите информации подчиняется непосредственно: __________. (должность)

7. На время отсутствия инженера по защите информации (командировка, отпуск, болезнь, пр.) его обязанности исполняет лицо, назначенное __________ (должность) организации в установленном порядке, которое приобретает соответствующие права, обязанности и несет ответственность за исполнение возложенных на него обязанностей.

Инженер по защите информации:

1. Выполняет работу по проектированию и внедрению специальных технических и программно-математических средств защиты информации, обеспечению организационных и инженерно-технических мер защиты информационных систем, проводит исследования с целью нахождения и выбора наиболее целесообразных практических решений в пределах поставленной задачи.

2.

Осуществляет подбор, изучение и обобщение научно-технической литературы, нормативных и методических материалов по техническим средствам и способам защиты информации.

3. Участвует в рассмотрении проектов технических заданий, планов и графиков проведения работ по технической защите информации, в разработке необходимой технической документации.

4. Составляет методики расчетов и программы экспериментальных исследований по технической защите информации, выполняет расчеты в соответствии с разработанными методиками и программами.

5. Проводит сопоставительный анализ данных исследований и испытаний, изучает возможные источники и каналы утечки информации.

6. Осуществляет разработку технического обеспечения системы защиты информации, техническое обслуживание средств защиты информации, принимает участие в составлении рекомендаций и предложений по совершенствованию и повышению эффективности защиты информации, в написании и оформлении разделов научно-технических отчетов.

7. Составляет информационные обзоры по технической защите информации.

8. Выполняет оперативные задания, связанные с обеспечением контроля технических средств и механизмов системы защиты информации, участвует в проведении проверок учреждений, организаций и предприятий по выполнению требований нормативно-технической документации по защите информации, в подготовке отзывов и заключений на нормативно-методические материалы и техническую документацию.

9. Готовит предложения по заключению соглашений и договоров с другими учреждениями, организациями и предприятиями, предоставляющими услуги в области технических средств защиты информации, составляет заявки на необходимые материалы, оборудование, приборы.

10. Участвует в проведении аттестации объектов, помещений, технических средств, программ, алгоритмов на предмет соответствия требованиям защиты информации по соответствующим классам безопасности.

11. Проводит контрольные проверки работоспособности и эффективности действующих систем и технических средств защиты информации, составляет и оформляет акты контрольных проверок, анализирует результаты проверок и разрабатывает предложения по совершенствованию и повышению эффективности принимаемых мер.

12. Изучает и обобщает опыт работы других учреждений, организаций и предприятий по использованию технических средств и способов защиты информации с целью повышения эффективности и совершенствования работ по ее защите и сохранению государственной тайны.

13. Выполняет работы в установленные сроки на высоком научно-техническом уровне, соблюдая требования инструкций по режиму проведения работ.

3. Права инженера по защите информации

Инженер по защите информации имеет право:

1. Вносить на рассмотрение руководства предложения:

— по совершенствованию работы связанной с предусмотренными настоящей инструкцией обязанностями,

— о поощрении подчиненных ему отличившихся работников,

— о привлечении к материальной и дисциплинарной ответственности работников, нарушивших производственную и трудовую дисциплину.

2.

Запрашивать от структурных подразделений и работников организации информацию, необходимую ему для выполнения своих должностных обязанностей.

3. Знакомиться с документами, определяющими его права и обязанности по занимаемой должности, критерии оценки качества исполнения должностных обязанностей.

4. Знакомиться с проектами решений руководства организации, касающимися его деятельности.

5. Требовать от руководства организации оказания содействия, в том числе обеспечения организационно-технических условий и оформления установленных документов, необходимых для исполнения должностных обязанностей.

6. Иные права, установленные действующим трудовым законодательством.

4. Ответственность инженера по защите информации

Инженер по защите информации несет ответственность в следующих случаях:

1. За ненадлежащее исполнение или неисполнение своих должностных обязанностей, предусмотренных настоящей должностной инструкцией, — в пределах, установленных трудовым законодательством Российской Федерации.

2.

За правонарушения, совершенные в процессе своей деятельности, — в пределах, установленных действующим административным, уголовным и гражданским законодательством Российской Федерации.

3. За причинение материального ущерба организации — в пределах, установленных действующим трудовым и гражданским законодательством Российской Федерации.

Должностная инструкция инженера по защите информации – образец 2020 года. Должностные обязанности инженера по защите информации, права инженера по защите информации, ответственность инженера по защите информации.

Источник: https://hr-portal.info/job-description/dolzhnostnaya-instruktsiya-inzhenera-po-zashchite-informatsii

Должностная инструкция специалиста по защите информации

Должностная инструкция специалисту по защите информации

1.1. Специалист по защите информации относится к категории специалистов, принимается на работу и увольняется с нее приказом руководителя предприятия по представлению начальника отдела по защите информации.

1.2.

На должность специалиста по защите информации I категории назначается лицо, имеющее высшее профессиональное (техническое) образование и стаж работы в должности специалиста по защите информации II категории не менее [значение] лет; на должность специалиста по защите информации II категории – лицо, имеющее высшее профессиональное (техническое) образование и стаж работы в должности специалиста по защите информации либо других должностях, замещаемых специалистами с высшим профессиональным образованием, не менее [значение] лет; на должность специалиста по защите информации – лицо, имеющее высшее профессиональное (техническое) образование, без предъявления требований к стажу работы.

1.3. Специалист по защите информации непосредственно подчиняется [вписать нужное].

1.4. В своей деятельности специалист по защите информации руководствуется:

– законодательными и нормативными документами по вопросам обеспечения защиты информации;

– методическими материалами, касающимися соответствующих вопросов;

– уставом предприятия;

– правилами трудового распорядка;

– приказами и распоряжениями директора предприятия (непосредственного руководителя);

– настоящей должностной инструкцией.

1.5. Специалист по защите информации должен знать:

– законодательные акты, нормативные и методические материалы по вопросам, связанным с обеспечением защиты информации;

– специализацию предприятия и особенности его деятельности;

– технологию производства в отрасли;

– оснащенность вычислительных центров техническими средствами, перспективы их развития и модернизации;

– систему организации комплексной защиты информации, действующей в отрасли;

– методы и средства контроля охраняемых сведений, выявления каналов утечки информации, организацию технической разведки;

– методы планирования и организации проведения работ по защите информации и обеспечению государственной тайны;

– технические средства контроля и защиты информации, перспективы и направления их совершенствования;

– методы проведения специальных исследований и проверок, работ по защите технических средств передачи, обработки, отображения и хранения информации;

– порядок пользования реферативными и справочно-информационными изданиями, а также другими источниками научно-технической информации;

– достижения науки и техники в стране и за рубежом в области технической разведки и защиты информации;

– методы и средства выполнения расчетов и вычислительных работ;

– основы экономики, организации производства, труда и управления;

– основы трудового законодательства Российской Федерации;

– правила и нормы охраны труда, техники безопасности, производственной санитарии и противопожарной защиты;

– [вписать нужное].

1.6. Во время отсутствия специалиста по защите информации (командировка, отпуск, болезнь и пр.) его обязанности исполняет лицо, назначенное в установленном порядке. Данное лицо приобретает соответствующие права и несет ответственность за надлежащее выполнение возложенных на него обязанностей.

Функции

На специалиста по защите информации возлагаются следующие функции:

2.1. Обеспечение комплексной защиты информации, соблюдения государственной тайны.

2.2. Участие в обследовании, аттестации и категорировании объектов защиты.

2.3. Разработка организационно-распорядительных документов, регламентирующих работу по защите информации.

2.4. Определение потребности в технических средствах защиты и контроля.

2.5. Проверка выполнения требований нормативных документов по защите информации.

Должностные обязанности

Для выполнения возложенных на него функций специалист по защите информации обязан:

3.1. Выполнять сложные работы, связанные с обеспечением комплексной защиты информации на основе разработанных программ и методик, соблюдения государственной тайны.

3.2. Проводить сбор и анализ материалов учреждений, организаций и предприятий отрасли с целью выработки и принятия решений и мер по обеспечению защиты информации и эффективному использованию средств автоматического контроля, обнаружения возможных каналов утечки сведений, представляющих государственную, военную, служебную и коммерческую тайну.

3.3. Анализировать существующие методы и средства, применяемые для контроля и защиты информации, и разрабатывать предложения по их совершенствованию и повышению эффективности этой защиты.

3.4. Участвовать в обследовании объектов защиты, их аттестации и категорировании.

3.5. Разрабатывать и готовить к утверждению проекты нормативных и методических материалов, регламентирующих работу по защите информации, а также положений, инструкций и других организационно-распорядительных документов.

3.6. Организовывать разработку и своевременное представление предложений для включения в соответствующие разделы перспективных и текущих планов работ и программ мер по контролю и защите информации.

3.7. Давать отзывы и заключения на проекты вновь строящихся и реконструируемых зданий и сооружений и другие разработки по вопросам обеспечения защиты информации.

3.8.

Участвовать в рассмотрении технических заданий на проектирование, эскизных, технических и рабочих проектов, обеспечивать их соответствие действующим нормативным и методическим документам, а также в разработке новых принципиальных схем аппаратуры контроля, средств автоматизации контроля, моделей и систем защиты информации, оценке технико-экономического уровня и эффективности предлагаемых и реализуемых организационно-технических решений.

3.9. Определять потребность в технических средствах защиты и контроля, составлять заявки на их приобретение с необходимыми обоснованиями и расчетами к ним, контролировать их поставку и использование.

3.10. Осуществлять проверку выполнения требований межотраслевых и отраслевых нормативных документов по защите информации.

Права

Специалист по защите информации имеет право:

4.1. Знакомиться с проектами решений руководства предприятия, касающимися его деятельности.

4.2. Вносить на рассмотрение руководства предложения по совершенствованию работы, связанной с обязанностями, предусмотренными настоящей инструкцией.

4.3. Получать от руководителей структурных подразделений, специалистов информацию и документы, необходимые для выполнения своих должностных обязанностей.

4.4. Привлекать специалистов всех структурных подразделений предприятия для решения возложенных на него обязанностей (если это предусмотрено положениями о структурных подразделениях, если нет – с разрешения руководителя предприятия).

4.5. Требовать от руководства предприятия оказания содействия в исполнении своих должностных обязанностей и прав.

Ответственность

Специалист по защите информации несет ответственность:

5.1. За неисполнение (ненадлежащее исполнение) своих должностных обязанностей, предусмотренных настоящей должностной инструкцией, в пределах, определенных трудовым законодательством Российской Федерации.

5.2. За совершенные в процессе осуществления своей деятельности правонарушения – в пределах, определенных административным, уголовным и гражданским законодательством Российской Федерации.

5.3. За причинение материального ущерба – в пределах, определенных трудовым, уголовным и гражданским законодательством Российской Федерации.

Общий каталог описания должностей тут:  Список типовых должностей!

КА “Кадровый метод” – это современное кадровое агентство по быстрому и эффективному поиску, подбору персонала. Наше агентство по подбору персонала окажет услуги по рекрутингу необходимого Вам персонала.

Ищем и подбираем топ персонал (топ менеджеров, директоров, управленцев высшего звена), персонал среднего звена, IT специалистов, менеджеров продаж, линейный персонала, бухгалтеров, врачей, стилистов, …
Информацию для работодателей по услугам поиска и подбора персонала Вы можете найти на данной странице.

На странице “Акции” Вы можете узнать о наших последних акциях и спецпредложениях для Заказчиков (работодателей). На странице каталога должностных инструкций, прочитать какая должна быть должностная инструкция и скачать базовые варианты ДИ.

Если Вам интересен запрос ищу работников, то мы Вам подберем персонал, а соискателям поможем найти работу! Осуществим поиск сотрудников и поиск работников для Вас в сжаты сроки.

Для Вашего удобства мы создали раздел “Подбор персонала по профессиям” в котором мы разместили подробную информацию по основным позициям популярных заявок от Заказчиков поиска и подбора, но с привязкой к конкретному названию вакансии, к примеру секретарь, менеджер по продажам, товаровед, удаленный менеджер по продажам, менеджер по закупкам, топ персонал, руководители и т.д., а также раздел “Поиск и подбор (рекрутинг) персонала по специализациям”
Для соискателей созданы 3 полезных раздела, а именно “Как составить резюме”, “Советы соискателю” и “Открытые вакансии”. Соискателю станет найти работу проще! Наши советы соискателям работы помогают найти работу, если прочитать внимательно все статьи! Подписка на рассылку наших новых вакансий на странице “Подписка на новые вакансии”

Источник: https://hr-metod.com/polezno/dolzhnostnye-instrukcii/it-kompyutery-rabota-v-internete/dolzhnostnaja-instrukcija-specialista-po-zashhite-informacii.html

Должностная инструкция специалисту по защите информации

Несмотря на высокую популярность профессии, обилие информационных ресурсов и материалов в открытом доступе рынок испытывает нехватку квалифицированных кадров, особенно связанных с практической информационной безопасностью. В данной статье будет раскрыта тема востребованности специалистов по информационной безопасности, специфика требований и навыков.

Cтатистика

По статистике одного из HR-агенств, специалистам по информационной безопасности в конце 2015 г. предлагали в среднем на 21% больше, чем в январе 2015 г. Это указывает на то, что даже в условиях кризиса квалифицированные специалисты востребованы, более того, рынок ощущает их нехватку.

Действительно, тема информационной безопасности стала как никогда актуальной — это и набирающие обороты (по уровню ущерба и частоте) атаки банковского сектора (SWIFT, корреспондентские счета), увеличивающееся количество таргетированных атак (Advanced Persistent Threat, APT) и т.д.

Даже те компании, штат которых укомплектован специалистами по информационной безопасности, нуждаются в квалифицированной оценке зрелости защитных систем, безопасности периметра, веб-приложений и иных элементов инфраструктуры — показательно всё увеличивающееся количество инициаторов BugBounty программ, причём сумма выплат колеблется от $100 до $20000 за уязвимость.

Вакансии

Исходя из данных, представленных на сайтах по размещению вакансий средний уровень заработной платы специалистов по информационной безопасности с опытом 1-3 года находится на уровне 40.000-70.000 рублей.

Это относится к специалистам начальной группы (junior), с малым опытом работы, по профессиональным требованиям и обязанностям это хорошо видно (здесь и далее представлены «усреднённые» показатели): Обязанности:

  • Администрирование межсетевых экранов Cisco ASA и Kerio Connect;
  • Администрирования сервера антивирусной защиты, мониторинг состояния клиентов, удаление вирусов, тонкая настройка защиты;
  • Поиск уязвимостей с помощью специализированного ПО и их устранение;
  • Мониторинг выхода обновлений для ОС, ПО и сетевого оборудования;
  • Настройка и управление коммутационным оборудованием;
  • Написание скриптов оптимизации управления системами безопасности;
  • Управление инфраструктурой предоставления доступов;
  • Периодический анализ логов.

Требования:

  • Опыт администрирования ОС Windows от 1-го года;
  • Базовые знания ОС Linux от 1-го года, уверенная работа в командной строке;
  • Базовые знания работы сетей. IP адресация, статическая маршрутизация, модели ISO OSI, TCP;
  • Опыт администрирования Active Directory: настройка групповых политик(GPO), управление правами пользователями;
  • Опыт настройки систем защиты от НСД на базе Windows;
  • Опыт настройки антивирусных систем;
  • Опыт разработки сложных конфигураций межсетевого экрана IPTables;
  • Умение настраивать Apache2, nginx, Auditd, MySQL, PostgreSQL, Rsyslog.

Как видно из описания это скорее системный администратор с уклоном в ИБ, нежели «чистый» безопасник. Какую-то определенную конкретику в навыках выделить сложно. Кто ищет кандидатов — компании любой направленности, выделить область сложно.
Специалисты с опытом 3-6 лет относятся уже к middle. Навыков и опыта требуется больше, но и уровень заработной платы гораздо выше. Эти специалисты, как правило, имеют хороший технический бэкграунд (системное администрирование, поиск узявимостей), хорошо знают приложения, техники и методологию. Этих специалистов условно можно разделить на два направления — нападение и защита. Универсалов на этом уровне (пентестер + специалист по обеспечению ИБ) — практически не бывает в природе (либо это уже уровень senior). Средняя вилка — 70.000-100.000 рублей.

Специалист по защите информации:

Обязанности:

  • Настройка и управление подсистемами безопасности;
  • Управление инцидентами безопасности;
  • Настройка и управление коммутационным оборудованием;
  • Написание скриптов оптимизации управления системами безопасности;
  • Управление инфраструктурой предоставления доступов;
  • Анализ логов-файлов и журналов событий;
  • Участие в сопровождении IT-инфраструктуры Заказчика: обеспечение информационной безопасности и защиты персональных данных;
  • Мониторинг и контроль функционирования средств обеспечения ИБ;
  • Поддержка работоспособности, администрирование и обеспечение бесперебойной работы специальных средств защиты информации;
  • Внесение изменений в настройки средств обеспечения безопасного межсетевого взаимодействия при обнаружении признаков атаки на ВС;
  • Контроль нештатной активности внутренних пользователей ВС;
  • Анализ инцидентов ИБ и их решение;
  • Проведение аудитов, подготовка организационно-распорядительной документации и отчетов по ИБ.

Требования:

  • Высшее образование (ИТ, информационная безопасность);
  • Знание принципов построения и функционирования сетей и протоколов стека TCP/IP;
  • Знание модели ISO/OSI;
  • Понимание принципов компьютерной и сетевой безопасности, безопасности web- приложений;
  • Знание принципов работы средств обеспечения безопасности (корпоративные антивирусы,WAF, системы обнаружения вторжений и т.д.);
  • Windows и Linux на уровне администратора;
  • Опыт автоматизации (bash, perl, python);
  • Опыт проведения анализа защищенности;
  • Профессиональные знания используемого в инфраструктуре работодателя профильного ПО (от корпоративных антивирусов до DLP/IDS/IPS/SIEM и т.д).

Пентестер: Обязанности:

  • Выполнение тестирования информационных сред и программных продуктов компании;
  • Тестирование информационных систем на отказоустойчивость;
  • Инструментальный анализ информационных систем;
  • Выявление актуальных угроз по классификации OWASP TOP 10, выработка компенсирующих мер;
  • Тестирование на проникновение;
  • Анализ безопасности исходных кодов программных продуктов.

Требования

  • Опыт работы по выявлению уязвимостей систем;
  • Опыт работы с Burp Suite, Hydra;
  • Опыт работы SQLMap, OpenVAS, Metasploit Framework, Fortify, AppScan;
  • Опыт работы Acunetix, w3af, X-Spider, Max-Patrol, Nmap;
  • Знание принципов построения и работы веб-приложений;
  • Знание типовых угроз и уязвимостей веб-приложений, перечисленных в OWASP Top 10;
  • Навыки ручного и автоматизированного тестирования безопасности веб-приложений;
  • Опыт проведения тестирования на проникновение;
  • Опыт проведения аудита систем ИТ и ИБ.

В требованиях к таким специалистам больше конкретики, заточенной на область применения в той или иной сфере, включая методологии и тип используемого программного обеспечения. Таких специалистов ищут представители e-commerce, финансового сектора, интеграторы, крупные/распределенные ритейл-компании и т.д.
Cпециалисты с опытом работы от 5-6 лет — senior. Как правило это руководящая должность — начальник отдела анализа защищенности; начальник отдела управления информационной безопасности; аналитик; крупный сейл ИБ-вендора; узскопециализированный пентестер. Уровень заработной платы от 120.000 до 200.000 рублей. Людей из этой категории довольно мало, и, как правило, они «на слуху» в отрасли. Это специалисты, хорошо разбирающиеся в предметной области, и, как правило, имеющие экспертную квалификацию в узкой специализации. Приветствуется опыт выступления на конференциях либо другая общественная активность — значит кандидат следит за трендами и получает своевременную оценку профессионального сообщества. Из требований здесь встречаются следующие:

  • Высшее ИБ/ИТ образование;
  • Наличие сертификатов;
  • Наличие публикаций и статей в предметной области;
  • Опыт публичных выступлений;
  • Знание основных методик, классификаций и международных практик (OSSTMM, OWASP, WASC, NIST SP800-115 и др.);
  • Навыки выявления угроз ИБ на основе сведений об уязвимостях (классификация угроз, формирование рекомендаций по устранению уязвимостей и минимизации бизнес-рисков);
  • Знание нормативной базы в части защиты информации: законов и иных нормативных правовых актов РФ, регулирующих отношения, связанные с защитой информации ограниченного доступа (не относящейся к гостайне), руководящих документов ФСТЭК, ФСБ, в том числе по защите банковской тайны, АСУ ТП, коммерческой тайны, знание СТО БР ИББС, PCI DSS, ISO 27xxx;
  • Английский язык;
  • Наличие лидерских качеств, умение добиваться поставленных целей, инициативность, активность, навыки самоорганизации, ответственность;
  • Умение программировать на одном или нескольких скриптовых языках;
  • Экспертные знания профильного ПО (IBM Qradar, Splunk Enterprise, Imperva DAM, Maxpatrol, Symantec Critical System Protection, Tuffin, Gigamon Networks и Cisco ASA. и т.д);
  • Экспертные знания в узкоспециализированных системах: (например SCADA/ERP/SS7/Hardware);
  • Опыт разработки собственных средств/утилит/методик;
  • Опыт разработки технической и аналитической документации;
  • Опыт проведения статистических исследований;
  • Опыт расследования инцидентов безопасности, сбор доказательной базы, форензика;
  • Опыт участия в крупных проектах по анализу защищенности или аудиту информационной безопасности.

Требования представлены в усредненном варианте для вышеперечисленных специалистов. Профессиональные навыки соискателя, как правило, известны и таких людей «хантят» не под определенную задачу, а под целый этап или уровень жизнедеятельности компании. Такого рода специалисты востребованы в финансовой сфере, ИТ-интеграторах, ИБ-вендорах, крупных ИТ-компаниях.
Вершина пирамиды (lead) — специалисты с опытом от 10 лет. К этой категории относятся CTO, CISO, системный архитектор, team lead. Уровень зарплаты от 200.000. Как правило, это известные люди в отрасли информационной безопасности, с обширным опытом и связями. Требования/навыки: здесь обычно смотрят на выполненные проекты, направление деятельности. По навыкам могут запросить полный список с предыдущих позиций (а он обычно обширный к этому этапу), либо просто будет указан необходимый результат работы. В случае этих позиций смотрят уже не на знания, а на достижения. Такие специалисты требуются крупным интеграторам, ИБ-вендорам, крупнейшим технологическим компаниям, финансовой сфере, в государственном секторе.

Подводя итоги

Защита информации для участников рынка становится одной из приоритетных задач. Обеспечить такую защиту только автоматизированными средствами, практически невозможно. Востребованность специалистов в сфере ИБ растет с той же скоростью, с которой развиваются и сами информационные технологии.

Проблема образования и дальнейшего трудоустройства заключается в извечной проблеме «нет работы, потому что нет опыта, потому, что нет работы…» и читать эту фразу можно по кругу бесконечно. Общепризнанный факт, что диплом сам по себе не дает приоритета. К моменту выпуска бОльшая часть знаний уже не котируется.

Наиболее быстрый и удачный выход из ситуации – самообразование.

  • информационная безопасность

Хабы:

  • Информационная безопасность
  • 28 декабря 2017 в 16:23
  • 26 ноября 2016 в 18:52
  • 26 августа 2016 в 20:14

Источник: https://habr.com/ru/post/306336/

I. Общие положения

1.1. Специалист по защите информации относится к категории специалистов, принимается на работу и увольняется с нее приказом руководителя предприятия по представлению начальника отдела по защите информации.

1.2.

На должность специалиста по защите информации I категории назначается лицо, имеющее высшее профессиональное (техническое) образование и стаж работы в должности специалиста по защите информации II категории не менее [значение] лет; на должность специалиста по защите информации II категории – лицо, имеющее высшее профессиональное (техническое) образование и стаж работы в должности специалиста по защите информации либо других должностях, замещаемых специалистами с высшим профессиональным образованием, не менее [значение] лет; на должность специалиста по защите информации – лицо, имеющее высшее профессиональное (техническое) образование, без предъявления требований к стажу работы.

1.3. Специалист по защите информации непосредственно подчиняется [вписать нужное].

1.4. В своей деятельности специалист по защите информации руководствуется:

– законодательными и нормативными документами по вопросам обеспечения защиты информации;

– методическими материалами, касающимися соответствующих вопросов;

– уставом предприятия;

– правилами трудового распорядка;

– приказами и распоряжениями директора предприятия (непосредственного руководителя);

– настоящей должностной инструкцией.

1.5. Специалист по защите информации должен знать:

– законодательные акты, нормативные и методические материалы по вопросам, связанным с обеспечением защиты информации;

– специализацию предприятия и особенности его деятельности;

– технологию производства в отрасли;

– оснащенность вычислительных центров техническими средствами, перспективы их развития и модернизации;

– систему организации комплексной защиты информации, действующей в отрасли;

– методы и средства контроля охраняемых сведений, выявления каналов утечки информации, организацию технической разведки;

– методы планирования и организации проведения работ по защите информации и обеспечению государственной тайны;

– технические средства контроля и защиты информации, перспективы и направления их совершенствования;

– методы проведения специальных исследований и проверок, работ по защите технических средств передачи, обработки, отображения и хранения информации;

– порядок пользования реферативными и справочно-информационными изданиями, а также другими источниками научно-технической информации;

– достижения науки и техники в стране и за рубежом в области технической разведки и защиты информации;

– методы и средства выполнения расчетов и вычислительных работ;

– основы экономики, организации производства, труда и управления;

– основы трудового законодательства Российской Федерации;

– правила и нормы охраны труда, техники безопасности, производственной санитарии и противопожарной защиты;

– [вписать нужное].

1.6. Во время отсутствия специалиста по защите информации (командировка, отпуск, болезнь и пр.) его обязанности исполняет лицо, назначенное в установленном порядке. Данное лицо приобретает соответствующие права и несет ответственность за надлежащее выполнение возложенных на него обязанностей.

II. Функции

На специалиста по защите информации возлагаются следующие функции:

2.1. Обеспечение комплексной защиты информации, соблюдения государственной тайны.

2.2. Участие в обследовании, аттестации и категорировании объектов защиты.

2.3. Разработка организационно-распорядительных документов, регламентирующих работу по защите информации.

2.4. Определение потребности в технических средствах защиты и контроля.

2.5. Проверка выполнения требований нормативных документов по защите информации.

III. Должностные обязанности

Для выполнения возложенных на него функций специалист по защите информации обязан:

3.1. Выполнять сложные работы, связанные с обеспечением комплексной защиты информации на основе разработанных программ и методик, соблюдения государственной тайны.

3.2. Проводить сбор и анализ материалов учреждений, организаций и предприятий отрасли с целью выработки и принятия решений и мер по обеспечению защиты информации и эффективному использованию средств автоматического контроля, обнаружения возможных каналов утечки сведений, представляющих государственную, военную, служебную и коммерческую тайну.

3.3. Анализировать существующие методы и средства, применяемые для контроля и защиты информации, и разрабатывать предложения по их совершенствованию и повышению эффективности этой защиты.

3.4. Участвовать в обследовании объектов защиты, их аттестации и категорировании.

3.5. Разрабатывать и готовить к утверждению проекты нормативных и методических материалов, регламентирующих работу по защите информации, а также положений, инструкций и других организационно-распорядительных документов.

3.6. Организовывать разработку и своевременное представление предложений для включения в соответствующие разделы перспективных и текущих планов работ и программ мер по контролю и защите информации.

3.7. Давать отзывы и заключения на проекты вновь строящихся и реконструируемых зданий и сооружений и другие разработки по вопросам обеспечения защиты информации.

3.8.

Участвовать в рассмотрении технических заданий на проектирование, эскизных, технических и рабочих проектов, обеспечивать их соответствие действующим нормативным и методическим документам, а также в разработке новых принципиальных схем аппаратуры контроля, средств автоматизации контроля, моделей и систем защиты информации, оценке технико-экономического уровня и эффективности предлагаемых и реализуемых организационно-технических решений.

3.9. Определять потребность в технических средствах защиты и контроля, составлять заявки на их приобретение с необходимыми обоснованиями и расчетами к ним, контролировать их поставку и использование.

3.10. Осуществлять проверку выполнения требований межотраслевых и отраслевых нормативных документов по защите информации.

IV. Права

Специалист по защите информации имеет право:

4.1. Знакомиться с проектами решений руководства предприятия, касающимися его деятельности.

4.2. Вносить на рассмотрение руководства предложения по совершенствованию работы, связанной с обязанностями, предусмотренными настоящей инструкцией.

4.3. Получать от руководителей структурных подразделений, специалистов информацию и документы, необходимые для выполнения своих должностных обязанностей.

4.4. Привлекать специалистов всех структурных подразделений предприятия для решения возложенных на него обязанностей (если это предусмотрено положениями о структурных подразделениях, если нет – с разрешения руководителя предприятия).

4.5. Требовать от руководства предприятия оказания содействия в исполнении своих должностных обязанностей и прав.

V. Ответственность

Специалист по защите информации несет ответственность:

5.1. За неисполнение (ненадлежащее исполнение) своих должностных обязанностей, предусмотренных настоящей должностной инструкцией, в пределах, определенных трудовым законодательством Российской Федерации.

5.2. За совершенные в процессе осуществления своей деятельности правонарушения – в пределах, определенных административным, уголовным и гражданским законодательством Российской Федерации.

5.3. За причинение материального ущерба – в пределах, определенных трудовым, уголовным и гражданским законодательством Российской Федерации.

Должностная инструкция разработана в соответствии с [наименование, номер и дата документа].

Руководитель структурного подразделения

[инициалы, фамилия] [подпись] [число, месяц, год]

Согласовано:

Начальник юридического отдела

[инициалы, фамилия] [подпись] [число, месяц, год]

С инструкцией ознакомлен:

[инициалы, фамилия] [подпись] [число, месяц, год]

Источник: http://prom-nadzor.ru/content/dolzhnostnaya-instrukciya-specialista-po-zashchite-informacii

Легальность
Добавить комментарий

;-) :| :x :twisted: :smile: :shock: :sad: :roll: :razz: :oops: :o :mrgreen: :lol: :idea: :grin: :evil: :cry: :cool: :arrow: :???: :?: :!: