«В стране нет общенациональных стандартов оценки уровня подготовки специалистов»

«В стране нет общенациональных стандартов оценки уровня подготовки специалистов»

Каким должен быть специалист по информационной безопасности обсудили участники круглого стола «А бизнес против!?», который прошел на Федеральной территории «Сириус» в рамках конференции «Кадры и образование по ИБ в России: настоящее и будущее».

Тон дебатам задали модераторы дискуссии Дмитрий Гусев, заместитель генерального директора АО «ИнфоТеКС», и Мария Сигаева, директор центра кадровой экспертизы PT Career HUB компании Positive Technologies. Так ли все хорошо в системе подготовки кадров и стоит ли подождать год-другой для решения всех проблем, о чем рапортуют представители регуляторов и ФУМО ВО и СПО?

Во сколько оценивается подготовка молодого специалиста, только что покинувшего стены учебного заведения, его потенциальными работодателями и когда он будет готов приступить к самостоятельной работе? По словам Павла Кузнецова, директора по продуктам ООО «Гарда Технологии, в организации принято концептуальное бизнес решение принимать на работу специалистов уровня middle, с опытом практической работы, поскольку существует разрыв между качеством подготовки выпускников и их обязанностями по работе.

«Человек заинтересованный, искренне стремящийся к знаниям, находящий знания везде, на практике, в интернете, в среднем будет готов к самостоятельной работе через год. С опытом работы до года или без опыта практической работы выпускников вуза уровня junior брать не получается. Разрыв очень высок», — утверждает Павел Кузнецов.

Руководитель Управления безопасности приложений АО «Тинькофф Банк» Николай Исламов согласился с коллегой, отметив, что подготовка молодых специалистов для самостоятельной работы занимает в банке до полутора лет. У «Тинькофф» налажено взаимодействие с вузами, есть финтех школа, учебные программы, в т. ч. на территории «Сириуса». Выпускников программ приглашают на стажировку, однако человек становится полноценным членом команды после получения опыта практической работы. Достижения оцениваются по итогам внутренней аттестации. Экономическая выгода, которая видна с первых дней, отражается в отчете PNL, где учитываются не только расходы на подготовку специалиста, но и прибыль от неполученных штрафов регуляторов, предотвращенных или недопущенных хакерских атак и иных рисков.

О подходе интегратора рассказал Денис Дубицкий, руководитель направления Аттестации и Специальных проектов Т1. Компания использует разные подходы к обучению для имеющих или обучающихся по ИБ, есть практика преподавания сотрудниками компании в организациях высшего, среднего специального и дополнительного образования. Оттуда идет выбор потенциальных кандидатов. Спикер отметил, что знаком с рынком труда и дефицитом кадров в ИБ. «Иногда находятся «бриллианты» — выпускники вузов и колледжей с пониманием и умением в рамках практических занятий, внеклассной работы или самоподготовки. Было бы желание, — подчеркнул Денис Дубицкий. — Однако опыт показывает, что претендовать на должность и уровень запрашиваемой зарплаты могут 1-4 человека из группы человек в 25». У компании есть возможность привлечения кандидатов к работе внутри проектов для получения практического опыта, подчеркнул спикер.

Отвечая на вопрос модераторов о критериях оценки уровня знаний молодых кадров, Антон Сергеев, советник МИЭМ НИУ ВШЭ, отметил, что в стране нет общенациональных стандартов оценки уровня подготовки специалистов. В 2015 г. нечто похожее на контроль качества подготовки было собрано в системе СПО. Это система профессиональных чемпионатов мастерства по всем направлениям подготовки кадров и гармонизированный экзамен выпускников колледжей в рамках стандарта спецификаций. На сегодня это — единственный общенациональный стандарт для оценки практики, когда выпускник СПО по направлениям инфобеза, помимо диплома, в течение шести часов выполняет работу по защите с использованием средств защиты информации. Этот опыт уже скопирован такими странами как Казахстан и Китай.

Как показывает статистика, навыки выпускника колледжа порой выше навыков выпускника бакалавриата и магистратуры. Статистка по ИТ и ИБ-направлениям и опыт коллег показывают отсев кандидатов на уровне 80%. При этом процент трудоустройства выпускников колледжей растет. Но есть сдерживающие факторы — квалификационные требования специальностей ИБ по ФГОС от 2009 г., которые определяют выпускника СПО по направлениям 10.00.00 как специалиста уровня «техник». Поэтому молодые люди вынуждены поступать в университеты на заочное обучение и идти на работу как студенты для соответствия требованиям ФГОС при работе в госорганизациях.

Участники круглого стола отметили, что ранее регуляторы заявляли готовность пойти на пересмотр требований к уровню подготовки специалистов в области ИБ, оставив требования к высшему образованию только для сотрудников, работающих с КИИ.

Бурную дискуссию участников круглого стола и присутствующих в зале вызвал вопрос «Кто нужен разработчикам, интеграторам и эксплуатантам?». В предлагаемых регуляторами учебных программах по ИБ вызывает недоумение деление на направления, идет защита одной и той же инфраструктуры, разница в конечных бизнес-решениях (банки, вендоры) и рисках. Но программы разные, хотя отличаются минимально. Отдельный сегмент — ИБ АСУ ТП и методы криптографической защиты информации, которые имеют свою специфику и выходят за рамки дискуссии.

Компания Positive Technologies создала свою матрицу компетенций с использованием зарубежного опыта требований к специалистам по ИБ и разложила на ней один из девяти отечественных профстандартов, рассказала Мария Сигаева. Оказалось, что он «размазывается» по всем блокам и частично не закрывает требования к работам по ИБ.

О схожей позиции под другим углом зрения рассказал и Денис Дубицкий. По его мнению, нужны разные специалисты по защите в зависимости от инфраструктуры. Необходимо моделирование угроз для определения, какие угрозы актуальны для объекта. «Можно вложить много ресурсов, но не закрыть один канал и поставить под угрозу всю систему», — отметил Денис Дубицкий. Выпускников надо готовить под конкретные задачи, если есть специалисты, преподаватели и соответствующие практики.

В споре о том, что насколько целесообразно давать выпускнику университета фундаментальное техническое образование и стоит ли закладывать специализацию в вузе, приняли активное участие присутствующие в зале слушатели.

Евгений Хасин, заместитель директора Департамента обеспечения кибербезопасности Минцифры России, считает, что нужен специалист с базовым техническим ИТ-образованием, полученным в первые два года обучения, который будет специализироваться по одному из ИБ направлений. Необходим практико-ориентированный подход не как широкий спектр знаний, а как усвоение фундаментальных принципов и готовность создавать новые решения и двигать инфобез как науку и практику, отметил представитель Минцифры.

За исключение «ненужных» для инженера ряда технических и гуманитарных дисциплин из программы подготовки высказался Антон Сергеев. Он отметил, что за первые два года подготовки по фундаментальной программе студенты, поступившие на ИБ направления, не получают знаний по выбранной специальности и бросают учебу. По его мнению, при возвращении на программы специалитета ситуация не изменится и количество часов практической работы не увеличится. И если федеральные университеты, которых мало в общем числе вузов, еще смогут пробить свои программы, то региональные учебные заведения пойдут по программам ФГОС и в подготовке специалистов ничего не поменяется.

В защиту классического подхода к подготовке специалистов с высшим образованием выступил Артем Сычев, советник генерального директора Positive Technologies. Он отметил необходимость подготовки всесторонне развитого специалиста, способного вести диалог с разной аудиторией в различных ситуациях, а не просто получившего образование по ИБ, которому не нужна физика для ловли хакеров. Это касается всех направлений обучения.

Отдельный вопрос — обучение специалистов по ИБ для работы в отраслях, где требуется знание специфики работы в конкретной сфере. В ряде отраслей эта проблема успешно решена. Где-то стоит готовить инженеров узкого профиля с последующим погружением в вопросы ИБ, считают участники дискуссии.

Участники круглого стола предложили создать рабочую группу из представителей отрасли ИБ, которая в тесном сотрудничестве с регуляторами и ФОИВ будет формулировать запрос на направления подготовки и специальности по направлению «Информационная безопасность».