Como entramos no departamento de segurança da informação de uma grande empresa e começamos a trabalhar nele. Diário de dois jovens e promissores especialistas

Há três meses, nós, dois alunos do quarto ano, trabalhamos no departamento de segurança da informação da LANIT-Integration . Gostaríamos de compartilhar nossas impressões sobre esse estágio de ingresso na profissão e em um grande negócio de TI. Este artigo será útil para todos que desejam conseguir um emprego em uma especialidade ou estão interessados ​​em saber por que começar a estudar o curso "Segurança da informação". Isso ajudará a entender o que aproximadamente você terá nos primeiros meses de trabalho em uma grande empresa, quais problemas surgirão ao longo do caminho e, o mais importante, como resolvê-los.

Fonte

Capítulo 1. Segurança da informação do zero ou ...

Está longe de ser um segredo que, na Rússia, após a graduação, é difícil para os estudantes encontrar trabalho em sua especialidade, sem mencionar as boas práticas enquanto estudam. Pessoas cheias de desejo de adquirir conhecimento e trabalho são forçadas a ouvir rejeições de todos os empregadores, exigindo imediatamente muita experiência de trabalho. Essa abordagem está firmemente arraigada na Rússia, e é por isso que mentes jovens e mocinhos realmente formados no instituto devem trabalhar em nossas padarias favoritas, sob a supervisão daqueles que não terminaram seus estudos e decidiram trabalhar na cantina local no primeiro ano ou depois do exército. Diga o que quiser, mas isso não significa que esse destino aguarde todos.

Como alunos do terceiro ano da especialidade "Segurança da informação" da Universidade de Kurskaya e aguardando a próxima sessão, nosso grupo começou a procurar organizações que lhes permitissem treinamento prático em nossa especialidade. No processo de encontrar um emprego, encontramos problemas típicos do nosso perfil de treinamento e não apenas. O fato é que não temos experiência e nem experiência suficientes de trabalho (embora tenhamos buscado isso) e que os próprios líderes das organizações não sabem onde nos colocar para o melhor funcionamento da segurança da informação na empresa.

Como resultado, nos três anos de estudo, o conhecimento adquirido não nos permite descrever claramente o quadro que nos aguardará após a formatura. Há um medo de que nos encontremos entre pessoas que não encontraram trabalho em uma especialidade para a qual parte de nossa vida já foi gasta.

"Segurança da informação" é uma frase que em algum lugar alguém pode ter ouvido, mas não atribuiu nenhuma importância particular a ela. Aconteceu que a especialidade é importante, mas o treinamento nessa especialidade está se desenvolvendo mal.

No processo de encontrar um emprego, já estávamos desesperados, mas o que se desejava chegou à nossa universidade, na pessoa do chefe do departamento de segurança da informação da LANIT-Integration , com uma oferta para visitar o Open Day. O objetivo do evento era encontrar pessoas dignas para um estágio na empresa que ele representa. Ficamos encantados com a chance, embora do lado de fora parecesse um caminho mal pisado no gramado de um pug de três pernas colidindo com uma rodovia com um número infinito de faixas.

Eu e meu grupo temos a sorte de o chefe do departamento de segurança da informação da LANIT-Integration se referir àqueles que ajudam e dão aos jovens a chance de conseguir um emprego. Não éramos obrigados a ser mestres no campo da segurança da informação, era apenas necessário demonstrar nosso sincero desejo e determinação em treinamento e desenvolvimento.

No Open Day, fomos recebidos com chá e biscoitos. Ouvimos uma apresentação da administração da empresa e começamos a escrever testes de admissão. Havia três: conhecimento da parte técnica, inglês e teste de QI. Também foi necessário escrever um ensaio sobre o tópico "Por que eu quero trabalhar aqui". Fomos imediatamente avisados ​​de que o conhecimento nesta fase não é uma panacéia, o principal é demonstrar nosso desejo de desenvolver na área de TI. Depois de escrever um ensaio muito específico, esperava que ele pegasse os leitores com sua originalidade. E chegou.

O próximo passo estava esperando. Assumimos o papel de Hachiko na expectativa de uma resposta importante após a reunião. Queríamos ser os melhores entre todos os que tentavam entrar no LANIT, mas eles tinham medo de tremer de joelhos para nos deixar passar pela bilheteria. Quando os resultados da reunião foram anunciados, percebemos que não foi em vão que eles começaram isso e que nos dariam a chance de provar a nós mesmos já na equipe do departamento de segurança da informação.

No primeiro dia, eles encheram tudo o que era necessário, jogaram-se em rolos baratos da barraca mais próxima, como deveria ser para os alunos pobres, e estavam prontos para explorar um novo capítulo em nossa vida, que ainda não está aberto e pode ficar a qualquer momento, como páginas com garotas de uma revista de carros nas mãos de uma adolescente de quatorze anos dos anos 90. Nos primeiros dias de nosso conhecimento com os colegas, eles não precisavam dizer: "Esqueça tudo o que você aprendeu no instituto", porque é impossível esquecer o que não estava em nossas cabeças, ao contrário dos pensamentos de sua namorada sobre Ryan Gosling. Talvez houvesse conhecimento mínimo, mas certamente não foi o suficiente para apreender o que eles estavam discutindo no escritório, e isso não tinha nada a ver com o fato de você ter dificuldades com Ryan.

Fonte

O principal problema de conhecimento obtido na universidade era a oferta desigual, sem uma determinada sequência e sem entender a idéia principal do campo de atividade. Portanto, fica claro que nossa primeira tarefa foi estudar o básico da segurança da informação.

Capítulo 2. Toque duas vezes em segurança da informação após caps duplos

Na primeira semana de nosso trabalho na LANIT-Integration, não estava claro o que fazer. Para entendermos o que a empresa está fazendo, os curadores nos reuniram em uma sala de reuniões, onde delinearam em termos gerais para onde podemos nos mudar. Foi decidido nos dividir e fornecer conhecimento no estilo de “Um é um, o outro é diferente”, uma vez que o departamento de segurança da informação da LANIT-Integration é dividido em duas áreas principais: consultoria e engenharia.

A primeira direção implica a presença de um conhecimento aprofundado da estrutura legal e das normas internacionais no campo da segurança da informação. Além disso, os consultores precisam ser versados ​​em modernas tecnologias da informação para se comunicar com especialistas técnicos de clientes no mesmo nível. A principal atividade dessa área é a interação com os clientes, a formação de um conjunto de medidas para proteger as informações e a tradução de requisitos técnicos para o setor de engenharia. Os engenheiros estão trabalhando nos dados. Eles devem entender quais remédios são melhores para usar em um determinado caso. Então, imediatamente começamos a perceber como o processo funciona e quem tem quais responsabilidades.

Aconteceu que eu estava na direção de consultoria e meu amigo - em engenharia. Decidimos que era muito cedo para escolher com dificuldade uma especialização, já que ainda não estávamos na vanguarda. Portanto, assumimos tarefas diferentes em diferentes direções juntos. Foi aqui que surgiram as primeiras dificuldades.

A tarefa da consultoria foi estudar as leis básicas e os documentos legais mais frequentemente encontrados nas atividades da LANIT-Integration . Então, o primeiro a cair em nossa bagagem de conhecimento:

• FZ-149 “Sobre Informação, Tecnologias da Informação e Proteção da Informação”, no qual se baseia todo o lado jurídico da informação,
• FZ-152 "Sobre dados pessoais",
• FZ-187 “Sobre a segurança da infraestrutura de informações críticas da Federação Russa”,
• Pedido FSTEC nº 21,
• Pedido FSTEC nº 17,
• Pedido FSTEC nº 235,
• Pedido FSTEC nº 239,
• Pedido FSB nº 378,
• Decisão do Governo No. 127,
• Decisão do Governo nº 1119.

Foi fácil o suficiente para ler, estudar e entender leis federais, decretos governamentais e outros documentos no campo da segurança da informação, mas a tarefa na área técnica é muito mais complicada. Sua essência era que era necessário descrever em detalhes todos os meios de proteção da informação (SZI). Exemplos de tais sistemas são IPS / IDS, SIEM, PAM, DLP, firewalls etc.

Esta não é a lista completa, pois há muitos fundos e eles se cruzam. Mas mesmo para esta pequena lista, era muito difícil encontrar informações simples e necessárias que mostrassem os princípios do trabalho, e não as principais funções. No instituto, raramente tínhamos que encontrar conceitos como SZI, de modo que o material estava mal colocado na base técnica esfarrapada.

No final da primeira semana, percebemos que precisávamos estruturar o recebimento de informações e estabelecer a base correta e competente. E no início da segunda semana, nos reunimos com os curadores para discutir o material e a sequência de ações. Como resultado, eles chegaram a um acordo de que nós dois estaríamos mais confortáveis ​​e mais produtivos para estudar as mesmas informações. Discutimos um plano de desenvolvimento individual para o período experimental, no primeiro mês em que o livro “Guia do exame CISSP da Multifuncional”, de Sean Harris, está incluído.

Todo especialista em segurança da informação iniciante deve dedicar tempo a este livro. Foi escrito em 2011. Hoje em dia, algumas coisas não são mais relevantes, mas são muito informativas, afetam todos os aspectos do SI na organização: da segurança física e dos padrões internacionais à descrição detalhada da maioria dos protocolos e criptografia quântica. Absorvemos grandes quantidades de dados escritos em uma linguagem compreensível e bem estruturada. Paralelamente, foram realizadas tarefas internas. Por exemplo, como compilar questionários sobre vários meios de proteção de informações. E até participou de uma reunião com um dos clientes. Durante as conversas de nossos colegas, ouvimos muitas palavras incompreensíveis que foram imediatamente direcionadas para os mecanismos de pesquisa, e as informações encontradas foram registradas em adesivos e coladas sempre que possível.

Meu local de trabalho no primeiro mês de trabalho

Na segunda e terceira semana, continuamos a estudar o Guia do exame CISSP All-In-One. Essa lição não prometeu ser mais divertida e interessante do que o patrão local, mas precisávamos que isso atrapalhasse. Levamos duas semanas para ler novecentas páginas. O material técnico estava no cérebro em lugares muito difíceis, mas a essência era clara. A coisa mais importante que entendemos é que a idéia de segurança da informação deve vir do gerenciamento. É o principal responsável por todas as informações, bens e pessoal e, portanto, deve de todas as formas contribuir para a proteção das informações e a criação das condições necessárias para o funcionamento do sistema de segurança da informação. Além disso, o livro descreve atividades em diferentes níveis: administrativo, físico e técnico. Cada nível é descrito em detalhes com analogias e, o mais importante, é compreensível. Este livro ajudará a todos que desejam entender o que é, embora não seja muito profundo, mas o entendimento já aparecerá, e esse é o fundamento.

Capítulo 3. A Equipe e Comunicação

Em qualquer local de trabalho, é sempre importante prestar atenção aos relacionamentos das pessoas dentro da organização. É sempre bom quando as pessoas estão abertas e quando você pode conversar sobre vários tópicos relacionados não apenas ao trabalho. Especialmente quando se trata do lugar onde uma pessoa está há muito tempo. Era importante para mim poder entrar em contato com meus colegas e estar na mesma sintonia com eles. Na LANIT Integration, não tive problemas em me comunicar com curadores e outros colegas, exceto talvez um monte de questões que afetam diretamente um trabalho específico. Gostaria de agradecer a todos pela ajuda, atenção e muita paciência que eles nos dão, porque temos muito a pedir, esclarecer e corrigir. Os relacionamentos em nosso departamento eu posso descrever como bons e gratuitos. Lembro-me da série "Office", muitas vezes faço analogias com ela.

Bons relacionamentos não se limitam ao departamento. Eles se relacionam com toda a organização como um todo. As informações distribuídas na empresa sempre visam garantir um trabalho eficaz e confortável, tanto no escritório como fora dele. Os funcionários recebem notificações sobre a melhor forma de chegar em casa, parabéns, lembretes de férias, etc. Tudo isso aquece a atmosfera da equipe.

Fonte

Capítulo 4. O fim do período de estágio e resumo

De acordo com o contrato, tínhamos três meses para um período de teste, no final do qual uma decisão deveria ser tomada, se somos adequados ou não à integração LANIT.

Ao longo desses meses, estudamos atos legais regulatórios, ferramentas de segurança da informação, participamos da conferência BISA Summit e do evento Positive Technologies, conduzimos uma análise do mercado de segurança da informação e das empresas de TI, desenvolvemos documentação para vários projetos e, o mais importante, absorvemos muito conhecimento e experiência. Ficou claro para nós que não devemos nos apressar em escolher uma direção em segurança da informação, pois existem dois tipos interessantes de atividades em consultoria e engenharia, além de documentação chata. É necessário ter uma base suficiente de conhecimento e experiência em uma direção ou outra para decidir com precisão o que gostamos. Portanto, no momento estamos cumprindo tarefas e desenvolvendo nessas duas direções. Naturalmente, isso não é fácil, mas vemos uma imagem completa do que os especialistas em segurança da informação em nossa empresa estão fazendo. Estamos interessados ​​em fazer o que estamos fazendo agora, mesmo que algumas vezes as tarefas não estejam diretamente relacionadas à segurança da informação em geral, mas todas elas estejam envolvidas e não haja com o que se preocupar.

No final de toda a história, gostaria de observar que é difícil dizer o que nossos colegas e gerentes pensam sobre nós: tentamos, mas eles sorriem para nós. O que isso significa, só eles sabem.

O resultado do período de teste será conhecido após a escrita dessas linhas. Acreditamos no melhor. Toda boa e boa sorte que, espero, não nos deixe.



Artigo escrito com RZhuravlev

PS

Vou vender VAZ 21011 1986, quilometragem 180k, cor - esporte e luxo
Preço negociável, oferecendo no capô
8903363283 * Maxim