Comment nous sommes entrés dans le département de la sécurité de l'information d'une grande entreprise et avons commencé à y travailler. Journal de deux jeunes spécialistes prometteurs

Depuis trois mois, nous, deux étudiants de quatrième année, travaillons dans le service de sécurité informatique de LANIT-Integration . Nous souhaitons partager nos impressions sur cette étape d'entrée dans la profession et dans une grande entreprise informatique. Cet article sera utile à tous ceux qui vont trouver un emploi dans une spécialité ou qui sont intéressés à savoir pourquoi commencer à étudier le cours "Sécurité de l'information". Cela vous aidera à comprendre ce que vous aurez approximativement au cours des premiers mois de travail dans une grande entreprise, quels problèmes se poseront en cours de route et, surtout, comment les résoudre.

Source

Chapitre 1. La sécurité des informations à partir de zéro ou ...

Ce n'est pas un secret qu'en Russie, après l'obtention du diplôme, il est difficile pour les étudiants de trouver du travail dans leur spécialité, sans parler des bonnes pratiques pendant leurs études. Les personnes pleines de désir d'acquérir des connaissances et du travail, sont obligées d'écouter les refus de chaque employeur, ce qui nécessite immédiatement beaucoup d'expérience de travail. Cette approche est fermement ancrée en Russie, c'est pourquoi les jeunes esprits et les gars vraiment bons qui sont diplômés de l'institut devraient aller travailler dans nos boulangeries préférées sous la supervision de ceux qui n'ont pas terminé leurs études et ont décidé de travailler dans la cantine locale dans leur première année ou après l'armée. Dites ce que vous aimez, mais cela ne signifie pas qu'un tel sort attend tout le monde.

En tant qu'étudiants de troisième année de la spécialité "Sécurité de l'information" de l'Université de Kurskaya et en attendant la prochaine session, notre groupe a commencé à chercher des organisations qui leur permettraient de suivre une formation pratique dans notre spécialité. Dans le processus de recherche d'emploi, nous avons rencontré des problèmes typiques de notre profil de formation et pas seulement. Le fait est que nous n'avons pas suffisamment d'expérience de travail et même de pratique (bien que nous soyons venus pour cela), et que les chefs d'organisations eux-mêmes ne savent pas où nous mettre pour le meilleur fonctionnement de la sécurité de l'information dans l'entreprise.

De ce fait, pendant trois années d'études, les connaissances acquises ne nous permettent pas de décrire clairement l'image qui nous attendra après l'obtention du diplôme. On craint de nous retrouver parmi des personnes qui n'ont pas trouvé de travail dans une spécialité pour laquelle une partie de notre vie a déjà été dépensée.

«Sécurité de l'information» est une phrase que quelqu'un aurait pu entendre, mais qui n'y attachait pas d'importance particulière. Il s'est avéré que la spécialité est importante, mais la formation dans cette spécialité se développe mal.

En train de trouver un emploi, nous désespérions déjà, mais la chose désirée est venue à notre université elle-même en la personne du chef du département de la sécurité de l'information de la société LANIT-Integration avec une offre de visiter Open Day. Le but de l'événement était de trouver des personnes dignes pour un stage dans l'entreprise qu'il représente. Nous avons été ravis de l'occasion, bien que de l'extérieur, il nous semblait que cela ressemblait à un chemin à peine foulé sur la pelouse d'un carlin à trois pattes s'écraser sur une autoroute avec un nombre infini de voies.

Mon groupe et moi avons la chance que le chef du département de la sécurité de l'information de LANIT-Integration se réfère à ceux qui aident et donnent aux jeunes une chance d'obtenir un emploi. Nous n'étions pas tenus d'être des maîtres dans le domaine de la sécurité de l'information, il suffisait de montrer notre désir sincère et notre détermination dans la formation et le développement.

Lors de la journée portes ouvertes, nous avons été accueillis avec du thé et des biscuits. Nous avons entendu une présentation de la direction de l'entreprise et commencé à rédiger des tests d'entrée. Il y en avait trois: connaissance de la partie technique, test d'anglais et de QI. Il a également fallu rédiger un essai sur le thème «Pourquoi je veux travailler ici». On nous a tout de suite prévenu que la connaissance à ce stade n'est pas une panacée, l'essentiel est de démontrer notre volonté de se développer dans le domaine informatique. Ayant écrit un essai très spécifique, j'espérais qu'il séduirait les lecteurs avec son originalité. Et c'est venu.

La prochaine étape attendait. Nous avons endossé le rôle de Hachiko en prévision d'une réponse importante après la réunion. Nous voulions être les meilleurs parmi tous ceux qui tentaient d'entrer dans LANIT, mais ils avaient peur de trembler à genoux en nous laissant passer devant la billetterie. Lorsque les résultats de la réunion ont été annoncés, nous avons réalisé que ce n’était pas en vain qu’ils avaient commencé, et qu’ils nous donneraient une chance de faire nos preuves déjà au sein du service de sécurité informatique.

Le premier jour, ils ont rempli tout ce qui était exigé de nous, se sont jetés en rouleaux bon marché depuis la tente la plus proche, comme cela devrait être pour les étudiants pauvres, et étaient prêts à explorer un nouveau chapitre de notre vie, qui n'est pas encore ouvert et qui peut rester à tout moment, comme des pages avec filles d'un magazine automobile entre les mains d'un adolescent de quatorze ans des années 90. Au début de notre connaissance avec des collègues, ils n'avaient pas besoin de dire: "Oubliez tout ce que vous avez appris à l'institut", car il est impossible d'oublier ce qui n'était pas dans nos têtes, contrairement à ce que pense votre petite amie de Ryan Gosling. Peut-être qu'il y avait peu de connaissances, mais ce n'était certainement pas suffisant pour appréhender ce dont ils discutaient au bureau, et cela n'avait rien à voir avec le fait que vous ayez eu des difficultés avec Ryan.

Source

Le principal problème des connaissances acquises à l'université était l'approvisionnement inégal, sans une certaine séquence et sans comprendre l'idée principale du domaine d'activité. Par conséquent, il devient clair que notre première tâche a été d'étudier les bases de la sécurité de l'information.

Chapitre 2. Appuyez deux fois sur la sécurité de l'information après les doubles majuscules

Au cours de la première semaine de notre travail chez LANIT-Integration, il n'était pas clair sur quoi s'emparer. Afin que nous comprenions ce que fait l'entreprise, les conservateurs nous ont rassemblés dans une salle de réunion, où ils ont décrit en termes généraux où nous pouvons nous déplacer. Il a été décidé de nous diviser et de donner des connaissances dans le style «L'un est l'un, l'autre est différent», car le département de la sécurité de l'information de LANIT-Integration est divisé en deux domaines principaux: le conseil et l'ingénierie.

La première direction implique la présence d'une connaissance approfondie du cadre juridique et des normes internationales dans le domaine de la sécurité de l'information. En outre, les consultants doivent être bien familiarisés avec les technologies de l'information modernes afin de communiquer avec les spécialistes techniques des clients au même niveau. L'activité principale de ce domaine est l'interaction avec les clients, la formation d'un ensemble de mesures de protection des informations et la traduction des exigences techniques au secteur de l'ingénierie. Les ingénieurs travaillent sur les données. Ils devraient comprendre quels sont les meilleurs remèdes à utiliser dans un cas donné. Nous avons donc immédiatement commencé à comprendre comment le processus fonctionne et qui a quelles responsabilités.

Il se trouve que je me suis avéré être dans la direction du conseil, et mon ami - dans l'ingénierie. Nous avons décidé qu'il était trop tôt pour choisir durement une spécialisation, car nous n'étions pas encore au premier plan. Par conséquent, nous avons assumé ensemble différentes tâches dans différentes directions. C'est là que les premières difficultés sont apparues.

La mission de conseil consistait à étudier les lois fondamentales et les documents juridiques les plus fréquemment rencontrés dans les activités de LANIT-Integration . Alors le premier à tomber dans notre bagage de connaissances:

• FZ-149 «Sur l'information, les technologies de l'information et la protection de l'information», sur laquelle repose toute la dimension juridique de l'information,
• FZ-152 "Sur les données personnelles",
• FZ-187 «Sur la sécurité des infrastructures d'information critiques de la Fédération de Russie»,
• Ordonnance FSTEC n ° 21,
• Ordonnance FSTEC n ° 17,
• Commande FSTEC n ° 235,
• Ordonnance FSTEC n ° 239,
• Ordonnance FSB n ° 378,
• Décision gouvernementale n ° 127,
• Décision gouvernementale n ° 1119.

Il nous a été assez facile de lire, d'étudier et de comprendre les lois fédérales, les décrets gouvernementaux et autres documents dans le domaine de la sécurité de l'information, mais la tâche dans le domaine technique est beaucoup plus compliquée. Son essence était qu'il fallait décrire en détail tous les moyens de protection de l'information (SZI). Des exemples de tels systèmes sont IPS / IDS, SIEM, PAM, DLP, pare-feu, etc.

Ce n'est pas toute la liste, car il y a beaucoup de fonds, et ils se recoupent. Mais même pour cette petite liste, il était très difficile de trouver des informations simples et nécessaires qui parlent des principes de travail, et non des fonctions principales. À l'institut, nous avons rarement eu à rencontrer des concepts tels que SZI, donc le matériel reposait mal sur la base technique boiteuse.

À la fin de la première semaine, nous avons réalisé que nous devions structurer la réception des informations et jeter les bases correctes et compétentes. Et au début de la deuxième semaine, nous avons rencontré les conservateurs pour discuter du matériel et de la séquence des actions. En conséquence, ils ont convenu que nous serions plus à l'aise et plus productifs pour étudier les mêmes informations. Nous avons discuté d'un plan de développement individuel pour la période d'essai, au cours du premier mois, dans lequel est inclus le livre «CISSP All-In-One Exam Guide» de Sean Harris.

Chaque spécialiste novice de la sécurité de l'information devrait consacrer du temps à ce livre. Il a été écrit en 2011. Certaines choses ne sont plus pertinentes aujourd'hui, mais elles sont très informatives, elles affectent tous les aspects des SI dans l'organisation: de la sécurité physique et des normes internationales à une description détaillée de la plupart des protocoles et de la cryptographie quantique. Nous avons absorbé d'énormes quantités de données écrites dans un langage compréhensible et bien structuré. Parallèlement, des tâches internes ont été effectuées. Par exemple, comme la compilation de questionnaires sur divers moyens de protection des informations. Et même assisté à une réunion avec l'un des clients. Au cours des conversations entre nos collègues, nous avons entendu beaucoup de mots incompréhensibles qui ont été immédiatement introduits dans les moteurs de recherche, et les informations trouvées ont été enregistrées sur des autocollants et collées si possible.

Mon lieu de travail au premier mois de travail

Pour la deuxième et la troisième semaine, nous avons continué à étudier le guide d'examen tout-en-un CISSP. Cette leçon ne promettait pas d'être plus amusante et intéressante que le patihard local, mais nous en avions besoin pour nous gêner. Il nous a fallu deux semaines pour lire neuf cents pages. Les trucs techniques se trouvaient dans le cerveau à des endroits très difficiles, mais l'essence était claire. La chose la plus importante que nous ayons comprise est que l'idée de sécurité de l'information doit venir de la direction. Il porte la plus grande responsabilité pour toutes les informations, tous les actifs et tout le personnel et devrait donc, à tous égards, contribuer à la protection des informations et à la création des conditions nécessaires au fonctionnement du système de sécurité de l'information. En outre, le livre décrit des activités à différents niveaux: administratif, physique et technique. Chaque niveau est décrit en détail avec des analogies et, surtout, est compréhensible. Ce livre aidera tous ceux qui veulent comprendre ce qu'est la SI, quoique pas très profondément, mais la compréhension apparaîtra déjà, et c'est le fondement.

Chapitre 3. L'équipe et la communication

Sur n'importe quel lieu de travail, il est toujours important de prêter attention aux relations des personnes au sein de l'organisation. C'est toujours bien quand les gens sont ouverts et quand on peut parler de divers sujets liés non seulement au travail. Surtout quand il s'agit de l'endroit où une personne est depuis très longtemps. Il était important pour moi de pouvoir contacter mes collègues et d'être sur la même longueur d'onde avec eux. Chez LANIT Integration, je n'ai eu aucun problème de communication avec les conservateurs et autres collègues, sauf peut-être un tas de problèmes qui affectent directement un travail spécifique. Je les remercie tous pour l'aide, l'attention et la grande patience qu'ils nous accordent, car nous avons beaucoup à demander, à clarifier et à corriger. Les relations dans notre département, je peux les décrire comme bonnes et libres. Je me souviens de la série «Office», j'en donne souvent des analogies.

Les bonnes relations ne se limitent pas au département. Ils concernent l'ensemble de l'organisation dans son ensemble. Les informations diffusées au sein de l'entreprise visent toujours à assurer un travail efficace et confortable tant au bureau qu'en dehors. Les employés reçoivent des notifications sur la meilleure façon de rentrer à la maison, les vœux d'anniversaire, les rappels de vacances, etc. Tout cela réchauffe l'atmosphère dans l'équipe.

Source

Chapitre 4. Fin de la période probatoire et résumé

Conformément au contrat, nous disposions de trois mois pour une période d'essai, à l'issue de laquelle nous devions décider si nous convenions ou non à l'intégration LANIT.

Au cours de ces mois, nous avons étudié les actes juridiques réglementaires, les outils de sécurité de l'information, assisté à la conférence du sommet BISA et à l'événement Positive Technologies, effectué une analyse du marché de la sécurité de l'information et des sociétés informatiques, développé la documentation pour divers projets et, surtout, absorbé beaucoup de connaissances et d'expérience. Il est devenu clair pour nous que nous ne devrions pas nous précipiter pour choisir une direction en matière de sécurité de l'information, car il existe à la fois des types d'activités intéressants dans le conseil et l'ingénierie, ainsi qu'une documentation ennuyeuse. Il est nécessaire d'avoir une base suffisante de connaissances et d'expérience dans un sens ou dans l'autre afin de décider précisément ce que nous aimons. Par conséquent, nous accomplissons actuellement des tâches et nous nous développons dans ces deux directions. Naturellement, ce n'est pas facile, mais nous voyons une image complète de ce que font les experts en sécurité de l'information de notre entreprise. Nous sommes intéressés à faire ce que nous faisons actuellement, même si parfois les tâches ne sont pas directement liées à la sécurité de l'information en général, mais elles y sont toutes engagées et il n'y a rien à craindre.

À la fin de toute l'histoire, je voudrais noter qu'il est difficile de dire ce que nos collègues et la direction pensent de nous: nous essayons, mais nous sourions. Qu'est-ce que cela signifie, eux seuls le savent.

Le résultat de la période d'essai sera connu après avoir écrit ces lignes. Nous croyons au meilleur. Bonne chance et bonne chance qui, je l'espère, ne nous quittera pas.



Article écrit avec RZhuravlev

PS

Je vais vendre VAZ 21011 1986, kilométrage 180k, couleur - sport et luxe
Prix ​​négociable, enchérissant sur le capot
8903363283 * Maxim