Фриланс в ИБ

Аутсорс в сфере ИБ вроде как существует, а вот как дела с фрилансом? Задавшись этим вопросом я отправился на популярные биржи фрилансеров. Поиск по проектам дал следующие результаты:

Во-первых, в поиске естественно обнаружилось куча проектов не для безопасников (ну, вернее, не связанных с безопасностью). Например, ведение колонки новостей по ИБ, рерайтинг или перевод тематических текстов, разработка логотипов, продвижение и поддержка сайта ИБ тематики и т.п. и т.д.

Во-вторых, как же много ленивых студентов учится готовятся стать нашими коллегами по цеху! Нашел несколько десятков предложений написать контрольные, курсовые, дипломные работы по информационной безопасности и (о ужас!) даже пару кандидатских диссертаций.

Порадовал еще один работодатель, которому "требуется специалист для нестандартного подхода к обеспечению безопасности сервера". Прям интрига, что там за сервер такой, требующий нестандартных подходов.

Ну а теперь к интересному. Буквально пара вакансий нашлась, касающихся поиска уязвимостей на веб-сайтах. И еще одному предприятию требовался сотрудник с дипломом в области ИБ, для подготовки "предприятия к лицензированию в указанной области".

Например такая лицензия
нужна для оказания услуг
по технической защите
конфиденциальной информации

Итого... негусто. Такое небольшое число проектов, доверяемых сторонним людям, в основном связано вообще с проблемой доверия. И это вполне можно понять - придет некто, настроит СЗИ... и оставит пару дыр для дальнейшей продажи заинтересованным сторонам. Или не для продажи, а по неопытности - но какой с него потом спрос? Кроме того, в абсолютном большинстве случаев подобные работы требуют той или иной лицензии, а лицензиатом физическое лицо быть не может. Это, конечно, можно обойти, если фрилансера нанять временно на неполную ставку в штат, а защиту требуется обеспечить исключительно внутри компании. Но проще, пожалуй, обратится к лицензиату. Да и с организации потом можно будет и об ответственности,  в случае чего, поговорить.

А что вообще можно из информационной безопасности передать внешнему исполнителю?

• Анализ объекта - т.е., по сути, любые составные части оценки информационных рисков (анализ активов, уязвимостей, актуальных угроз, последствий инцидентов). По результатам анализа - отчет и рекомендации по снижению рисков или, скажем, закрытию уязвимостей.
• Внедрение СЗИ - т.е. установка и настройка технических средств защиты, разработка документации.
• Мониторинг - лишь от части можно доверить внешним исполнителям. Если под мониторингом понимать периодические проверки состояния (если хотите, переоценку рисков) - то да. А если речь идет об анализе инцидентов, то тут сложнее. В теории, можно отправлять журналы событий безопасности на проверку внешнему сотруднику, но на практике получается бредовая ситуация, ибо теряется непрерывность мониторинга. Другое дело, если в базу данных аутсорсера сбрасываются в режиме реального времени информация об инцидентах ИБ, а он анализирует оные. Но это уже получается совсем не фриланс, а постоянная удаленная работа.
• Реагирование - на самом деле, мы во многих случаях обращаемся к внешним организациям за помощью в реагировании на инциденты - к правоохранительным органам, судам... Но фрилансерам тут делать нечего, если конечно Вы не киллера собрались нанимать :)

Ах, да. Этим вопросом я заинтересовался в свете того, что моя хорошая знакомая занимается фриланс-биржей для людей с ограниченными возможностями. Так что в качестве рекламы: новыеперспективы.рф.

Понравилась статья? Нажми на кнопку и расскажи друзьям: