С осторожностью интерпретируйте оценку дефицита кадров ISC2
Согласно исследованию ISC2 за 2024 год, опубликованному 11 сентября 2024 года, дефицит кадров в сфере кибербезопасности вырос на 19 % за год и достиг 4,8 миллиона рабочих мест. Организация определяет этот дефицит как разницу между существующей численностью персонала и численностью, которая считается необходимой.
ISC2 — профессиональная ассоциация, которая проводит сертификацию. Поэтому она заинтересована в документальном подтверждении нехватки кадров. Это не делает исследование недостоверным, но означает, что показатель следует воспринимать как оценку на основе опроса, а не как количество вакансий. Методика расчета дефицита изложена в полном отчете.
Исследование также показывает, что 90 % организаций сообщают о пробелах в компетенциях своих команд безопасности, а 64 % считают нехватку компетенций более серьезной проблемой, чем нехватку персонала.
Обратите внимание на то, что исследование говорит о найме
Исследование за 2024 год содержит данные о структуре команд. Согласно ему, 31 % респондентов сообщают, что в их команде безопасности нет ни одного сотрудника начального уровня, а 15 % — ни одного младшего специалиста (с опытом от 1 до 3 лет). В исследовании указано, что у 62 % опрошенных руководителей были незакрытые вакансии. При этом подчеркивается, что при найме предпочтение отдается специалистам среднего и высокого уровня.
Эти цифры важны для недавнего выпускника. Они позволяют предположить, что нехватка кадров — это прежде всего нехватка опытных специалистов. Найти работу начального уровня может быть трудно, даже при большом общем дефиците.
Исследование также отмечает, что почти четверть респондентов из Северной Америки и Европы столкнулись с сокращениями в сфере кибербезопасности за последние 12 месяцев, а на Ближнем Востоке и в Африке — 29 %. Исследование связывает эти сокращения с экономическими ограничениями.
Изучите американские прогнозы
BLS прогнозирует рост занятости аналитиков по информационной безопасности на 21 % в период с 2025 по 2035 год, что классифицируется как рост значительно выше среднего по всем профессиям. В мае 2025 года их медианная заработная плата составляла 129 180 долларов США.
В качестве типичного образования для входа в профессию BLS указывает степень бакалавра в области информатики или смежной области, например инженерного дела или математики. Бюро уточняет, что некоторые специалисты приходят в профессию со средним образованием, профессиональной подготовкой и сертификациями. Оно отмечает, что многие работодатели предпочитают кандидатов с сертификацией в области информационной безопасности, не называя конкретную сертификацию.
Эти цифры описывают американский рынок для определенной профессиональной категории. Они не заменяют статистику страны, в которой вы планируете работать.
Сравните диплом и сертификацию в таблице
В таблице ниже представлены функции, которые обычно приписывают диплому и сертификации. Это схема для анализа, основанная на приведенных источниках, а не рейтинг.
| Критерий | Университетский диплом | Профессиональная сертификация |
|---|---|---|
| Основная роль | Теоретическая база и доступ к нескольким профессиям | Подтверждение конкретной компетенции |
| Упоминание в источниках | Типичное образование для входа в профессию по данным BLS | «Предпочтительна для многих работодателей» по данным BLS |
| Продолжительность | Несколько лет | Недели или месяцы подготовки |
| Ограничение | Стоимость и продолжительность | Для некоторых требуется опыт работы |
Эта таблица упрощает картину. Диплом по информатике не дает автоматически компетенций в области безопасности, а сертификация не обеспечивает той глубины теоретических знаний, которую дает диплом. Они скорее дополняют друг друга, чем противостоят друг другу. Само BLS упоминает оба варианта: степень бакалавра как типичное образование для входа в профессию и сертификации как предпочтение многих работодателей, в том числе при найме на начальные должности.
Проверьте требования сертификаций
Сертификации неравнозначны. Одни предназначены для начинающих, другие предполагают многолетний опыт. Например, ISC2 предлагает сертификацию Certified in Cybersecurity (CC), которая на ее странице представлена как сертификация начального уровня, не требующая опыта работы. На другом конце спектра находится CISSP: на странице этой сертификации указано требование 5 лет опыта, перечислены допустимые области деятельности и исключения, касающиеся стажировок; подробности этих правил необходимо читать непосредственно на сайте организации, поскольку они меняются.
Важно понимать, что продвинутая сертификация не заменяет опыт. Начинающий специалист не может получить ее в полном объеме: сначала ему следует ориентироваться на сертификации начального уровня, а затем на должности, позволяющие накопить необходимый опыт.
Исследование ISC2 отмечает, что руководители часто ожидают сочетаний опыта и сертификаций, которые трудно собрать. Кандидатам полезно изучать реальные вакансии, чтобы определить, какие сертификации востребованы в их регионе.
Оцените влияние искусственного интеллекта
В исследовании за 2024 год сообщается, что более трети респондентов называют искусственный интеллект главным пробелом в компетенциях своей команды. Другой вопрос касается компетенций, которые считаются важными: ИИ упоминают 12 % руководителей, отвечающих за найм, и 23 % специалистов. Таким образом, эти процентные показатели измеряют не то же самое, что показатель пробелов в компетенциях.
Это расхождение позволяет предположить, что команды и их руководители по-разному воспринимают потребности. Оно призывает к осторожности: модная компетенция не обязательно востребована в вакансиях.
Для студента прочной основой остаются сети, операционные системы, программирование, криптография и управление рисками. Эти знания применимы при переходе от одной технологии к другой.
Еще один момент, который следует оценивать с осторожностью: исследование ISC2 представляет собой опрос специалистов и руководителей, то есть отражает восприятие, а не объективное измерение потребностей. Восприятие зависит от положения каждого респондента в организации и может быстро меняться с появлением нового инструмента. При выборе курсов актуальные описания вакансий остаются более надежным ориентиром, чем любое исследование тенденций.
Нарабатывайте практический опыт
Поскольку спрос ориентирован на опыт, стажировки, проекты и соревнования играют важную роль. Соревнования типа «захват флага», собственные лаборатории, участие в открытых проектах и стажировки в командах безопасности дают результаты, которые можно показать работодателю.
Университетские программы, включающие стажировки или командные проекты с реальными организациями, сокращают разрыв между получением диплома и первой работой. Полезно спросить у представителей программы, где работали ее выпускники за последние 2 года.
Для тех, кто меняет профессию, краткосрочное обучение может дополнить уже имеющийся диплом в области информатики, сетей или системного администрирования. В таком случае оно служит специализацией, а не отправной точкой.
Вот конкретные способы документально подтвердить компетенцию:
- письменное описание собственной лаборатории с указанием использованных инструментов и результатов;
- участие в соревнованиях по безопасности с указанием занятого места;
- стажировка или летняя работа в ИТ-команде, даже если название должности не связано с безопасностью;
- документально подтвержденный вклад в открытый проект.
А как обстоят дела в Канаде?
Профессии в сфере кибербезопасности в Канаде не регулируются так, как инженерные или медицинские профессии. При этом звание инженера защищено: выпускник, который хочет его использовать, должен пройти процедуру в профессиональном объединении соответствующей провинции. Работодатели же прежде всего требуют дипломы по информатике, сертификации и опыт. Статистика занятости по профессиям публикуется федеральными ведомствами отдельно; ее не следует смешивать с американскими показателями из этой статьи. Сертификации ISC2 являются международными: их можно пройти в Канаде, как и в других странах, независимо от университетской системы, что позволяет сочетать их с канадским дипломом.
StudyCanada предлагает, в частности, программу по информатике Университета Ватерлоо (University of Waterloo) и программу Оттавского университета (University of Ottawa / Université d’Ottawa), а также программы по кибербезопасности Университета Макгилла (McGill University) и Монреальского университета (Université de Montréal) — управление и безопасность информационных систем. Университет Ватерлоо представлен здесь программой по общей информатике, а не специализированной программой по кибербезопасности.