Информационная безопасность сегодня является одной из самых актуальных проблем ИТ-индустрии, и большинство руководителей компаний рано или поздно осознают, что главным вопросом здесь является не наличие тех или иных технологий, не говоря уже о продуктах, а высокий профессиональный уровень соответствующих специалистов. Чтобы не ошибиться в выборе будущего сотрудника, следует прежде всего обращать внимание на то, имеет ли он сертификацию по информационной безопасности. Хотя споры о том, насколько сертификация отражает реальную способность специалиста решать поставленные задачи, продолжаются и до сих пор, но пока что не существует лучшего механизма для оценки его возможностей. Тем более что практический опыт, иногда противопоставляемый формальной сдаче сертификационных экзаменов, уже давно является требованием хорошей сертификации.
О значении повышения квалификации и сертификации специалистов по информационной безопасности свидетельствуют финансовые показатели. По данным отчета IDC за прошлый год, 40% топ-менеджеров примерно из тысячи ведущих компаний причисляли информационную безопасность к главным приоритетам своих бюджетов, а оплата соответствующих специалистов стабильно занимает первые строчки в списках оплаты квалифицированных ИТ-специалистов. И, надо отметить, эти вложения окупаются. Так, согласно обзору CompTIA 2004, охватывающему 900 компаний, те из них, которые инвестируют средства в подготовку и сертификацию своего персонала по информационной безопасности, менее уязвимы в части защиты информации: 80% компаний, вложивших деньги в обучение персонала, и 70% компаний, потратившихся на сертификацию специалистов по защите, почувствовали улучшение корпоративной защиты информации. Требования по подготовке в области информационной безопасности для вновь принимаемых на работу ИТ-специалистов в минувшем году предъявлялись в 28% организаций против 18% в 2003-м.
Сертификации по информационной безопасности можно разделить на два типа — вендорские и вендоронезависимые.
Вендорские сертификации, первоначально появившиеся как составляющие маркетинговых программ вендоров, до сих пор удерживают довольно сильные позиции. Такие признанные производители систем и технологий защиты, как Cisco, ISS, Symantec, CheckPoint и др., имеют собственные линейки сертификаций (как правило, трехступенчатые), которые соответствуют разным уровням применения продукта/технологии, экспертного знания и построения решений на основе продуктов данной компании. По престижности (и величине оплаты сертифицированных специалистов) здесь лидируют сертификации Cisco, характеризующиеся также значительными вложениями в подготовку. Самые крупные вендоры ИТ-отрасли, а именно Microsoft, Sun, Computer Associates, 3СОМ, Nortel Networks и т.д., тоже предлагают специализации по защите в рамках своих сертификационных программ, но рассчитаны они скорее не на собственно специалистов по защите, а на инженеров, администраторов и т.д. В целом вендорские сертификации адекватно отражают функции технического персонала по эксплуатации или реализации отдельных подсистем защиты, хотя сегодня подобная сертификация уже не является достаточной для специалиста по информационной безопасности.
Вендоронезависимая сертификация подразумевает, что сертифицированный специалист способен оптимально организовать комплексную информационную безопасность организации и обеспечить ее поддержку путем сочетания различных методов и технологий. Данный уровень предполагает всесторонний подход к информационной безопасности: от специалиста требуются знания технических и управленческих аспектов защиты, а также владение широким спектром самых разных вопросов — от криптографии до физической защиты. Высшие сертификации данного типа обладают и рядом дополнительных условий — это, в частности, опыт работы в течение нескольких лет непосредственно в качестве специалиста по информационной безопасности, регулярное обучение и др.Согласно уже упоминавшемуся обзору CompTIA, 68% респондентов предпочитают вендоронезависимый тип обучения и сертификации специалистов по информационной безопасности, а большинство остальных считают, что вендоронезависимые обучение и сертификация должны дополнять вендорские.
В данной статье мы ограничимся рассмотрением вендоронезависимых сертификаций, которые, в свою очередь, можно условно разделить на сертификации начального, среднего и высшего уровней.
Лидерство по числу сертифицированных специалистов среди сертификаций начального уровня (12 тыс. специалистов из более чем 115 стран) принадлежит CompTIA Security+ — известной международной ассоциации Computing Technology Industry Association (CompTIA, www.comptia.org). Данная сертификация гарантирует знание специалистом защиты информации на фундаментальном уровне. Для сертификации необходимо сдать экзамен и иметь не менее 2 лет опыта работы в области сетевых технологий.
Как пример и один из лучших вариантов сертификации среднего уровня можно привести сертификацию SANS GSEC (SANS — SysAdmin, Audit, Network, Security; GSEC — Security Essentials Certification). SANS Institute (www.sans.org) входит в число самых известных в мире и солидных источников информации, обучения и сертификации по информационной безопасности. С 1999 года SANS Institute ведет программу Global Information Assurance Certification (GIAC), а GSEC является одной из сертификаций GIAC (более 3 тыс. специалистов) и ориентирована на начинающих специалистов по информационной безопасности, имеющих опыт работы с системами и сетями. GSEC гарантирует подготовку специалиста по позициям, связанным с техническими аспектами защиты.
А теперь перейдем к высшим сертификациям — ISACA CISM, SANS GIAC Specialist/Expert и CISSP.
Сертификат CISM (Certified Information Security Manager) присваивается ассоциацией Information Systems Audit and Control Association (ISACA, www. isaca.org), известной как ведущая профессиональная организация специалистов по управлению информационными системами по их контролю, аудиту и безопасности. Эта ассоциация, основанная в 1967 году, имеет в своем составе десятки национальных отделений (в том числе в России) и занимается исследованиями, стандартами в предметной области (в частности, ей принадлежит известный стандарт CObIT), профессиональной сертификацией специалистов. Основной сертификацией для членов ISACA является сертификация CISA (Certified Information Systems Auditor), насчитывающая более 35 тыс. специалистов, а сертификация CISM впервые проводилась в прошлом году, но на данный момент по CISM сертифицировано уже около 5 тыс. специалистов (правда, около половины из них получили ее в наследство от CISA).
Сертификация CISM ориентирована на опытных управленцев системами/структурами информационной безопасности. Сертификат CISM подтверждает, что специалист имеет надлежащие знания, опыт и способен эффективно управлять защитой информации в организации или консультировать по вопросам управления в указанной области. Можно сказать, что CISM скорее является менеджмент-сертификацией в определенной предметной области и сфокусирована на управлении рисками информационных систем, хотя сертифицированный специалист владеет принципами и методами защиты информационной системы на концептуальном уровне.
Для сертификации CISM необходимо сдать экзамен, подписать кодекс профессиональной этики ISACA и подтвердить наличие опыта работы в предметной области. Экзамен проводится раз в год (обычно в июне) в один и тот же день по всему миру и состоит из 200 вопросов в письменном виде. Кстати, подобная бумажная технология является характерной чертой высших сертификаций, поскольку позволяет максимально обезопасить от компрометации материал экзамена. Экзамен длится 4 часа, плата за него составляет 450-500 долл. Тематика экзамена: регулирование в информационной безопасности (21%), управление рисками (21%), управление программой информационной безопасности (21%), управление защитой информации (24%), управление реагированием (13%). Для сертификации требуется опыт работы в области информационной безопасности не менее 5 лет, причем не менее 3 лет по управлению защитой в тех областях, которые перечислены как темы экзамена. В зачет 1-2 лет общего опыта в информационной безопасности могут идти различные сертификаты (Security+, SANS GIAC, CISA и др.), но это не отменяет 3-летнего срока работы по управлению защитой. Сертификацию необходимо подтверждать посредством постоянного профессионального обучения (не менее 120 часов обучения каждые 3 года и не менее 20 часов в год) по одобренным ISACA программам. Для подготовки к экзамену работают курсы, проводимые ISACA во время конференций и в отделениях ассоциации.
В целом сертификация CISM оценивается как одна из лучших для управленцев, работающих в области обеспечения информационной безопасности.
Сертификация SANS GIAC Specialist входит в состав программы GIAC SANS Institute, и на данный момент сертифицировано около 7 тыс. специалистов. В процессе сертификации проверяется не только знание кандидатом определенной области, но и его способность применить это знание на практике, вследствие чего в исследовании Gartner Group отмечена предпочтительность GIAC для тех, кто связан с техническими вопросами защиты.
Сертификации GIAC Specialist проводятся по различным направлениям: обнаружение вторжения, межсетевые экраны и защита периметра, обработка инцидентов, безопасность операционных систем; соответственно присваиваются квалификации GIAC Certified Intrusion Analyst (GCIA), GIAC Certified Firewall Analyst, GIAC Certified Incident Handler, GIAC Certified Windows Security Administrator, GIAC Certified UNIX Security Administrator. Стоимость прохождения сертификации — 800 долл. Для сертификации необходимо в течение 5 месяцев выполнить практическое задание (проект), затем в течение месяца сдать два онлайн-экзамена, каждый из которых состоит из 75 вопросов, а на ответы отводится по 2 часа. Например, программы экзаменов GIAC Certified Firewall Analyst включают такие вопросы, как бизнес-потребности и защита, фрагментация в IP, транспорты и службы IP, TCPdump, WINdump, анализаторы, статическая фильтрация пакетов, фильтрация и инспекция пакетов с контролем состояния, прокси-серверы, углубленные знания распространенных межсетевых экранов, реализация защиты при помощи маршрутизаторов Cisco, обнаружение вторжения, централизованное протоколирование, анализ журналов межсетевых экранов, сообщения при протоколировании, IPSec, SSL, SSH, построение защищенного периметра, актуальный инструментарий, узловой и сетевой аудит и др. Каждые 2 или 4 года (в зависимости от направления) обладатель сертификата должен сдавать подтверждающий онлайн-экзамен, стоимость которого составляет 120 долл.
Сертификация GIAC Security Expert является высшей ступенью программы GIAC. После сертификации по пяти позициям (причем не менее чем по одной с баллом более 90%) GIAC Specialist должен сдать устный экзамен, выполнить ряд практических заданий, сдать письменный экзамен, построенный по принципу сценария, и выполнить устную презентацию на тему по своему выбору.
SANS GIAC Specialist/Expert являются высшими сертификациями для специалистов по безопасности, работа которых тесно связана с техническими аспектами защиты информации, и можно только пожалеть об их отсутствии в России.
Сертификация CISSP (Certified Iinformation Systems Security Professional) проводится международным консорциумом ISC (International Information Systems Security Certification Consortium, Inc., www.isc2.org), который с самого начала создавался с целью обеспечения профессионалов и специалистов-практиков по информационной безопасности стандартами профессиональной сертификации. Ядро (ISC)2 составляют эксперты государственных структур, академических институтов, крупных корпораций. CISSP — главная и практически единственная сертификация консорциума. За 15 лет, которые прошли с момента создания консорциума и сертификации CISSP, было сертифицировано около 27 тыс. специалистов в более чем 106 странах, и сегодня CISSP является наиболее известной и всеми признанной сертификацией. CISSP является первой сертифицированной по ISO/ANSI сертификацией специалиста по информационной безопасности. Сертификат CISSP подтверждает высшую квалификацию специалиста по комплексной безопасности информационных систем и свидетельствует об информационной позиции безопасности самого высокого уровня — таких как CISO (Chief Information Security Officer).
CISSP основана на «Общепринятом объеме знаний» (Common Body of Knowledge, CBK) специалиста по информационной безопасности. В CBK собраны лучшие принципы, методики и практики защиты, поддерживаемые и постоянно обновляемые экспертами отрасли. Сертифицированный специалист должен быть компетентен в 10 областях (доменах) CBK — это системы и методология управления доступом, безопасность разработки приложений и систем, планирование непрерывности бизнеса и планирование восстановления после чрезвычайных ситуаций, криптография, законодательство, расследования и этика, безопасность операций, физическая безопасность, архитектуры и модели безопасности, практика управления безопасностью, безопасность телекоммуникаций и сетей. Сертификация CISSP является международным стандартом, поскольку CBK не содержит специфики, характерной только для какой-либо страны или региона.
Оплата труда специалистов по информационной безопасности, тыс. долл. в год
(источник: Certification Magazine Salary Survey, 2004)
Сертификация требует опыта работы в доменах CBK не менее 3-4 лет, причем специалист должен не просто решать проблемы защиты, а согласно своим должностным обязанностям отвечать за те или иные аспекты обеспечения безопасности. Для сертификации необходимо сдать сложный сертификационный экзамен, соответствовать этическим нормам (ISC)2 и постоянно проходить профессиональное обучение (не менее 120 часов каждые 3 года). Экзамен длится 6 часов, состоит из 250 вопросов в письменном виде и принимается комиссией (ISC)2. Стоимость экзамена составляет 700 долл. После сдачи экзамена потребуется рекомендация одного из обладателей сертификата CISSP (в некоторых случаях она может быть заменена рекомендацией работодателя). Предусмотрена предварительная сертификация CISSP Associate (сдача экзамена с последующим набором опыта работы). Возможно дальнейшее развитие CISSP по специализациям (концентрациям): ISSAP (Concentration in Architecture), ISSEP (Concentration in Engineering), ISSMP (Concentration in Management). Экзамены CISSP с 2003 года проводятся в России, и сегодня насчитывается порядка 100 сертифицированных специалистов. Экзамены проходят в учебном центре «Микроинформ» (www.microinform.ru), процент успешной сдачи составляет 60-70%.
Наиболее популярные сертификации специалистов по информационной безопасности
Для подготовки к сертификации CISSP предоставляются предэкзаменационные консультации консорциума, а также работают авторизованные консорциумом учебные программы. Одним из основных партнеров (ISC)2 по обучению является MIS Training Institute (www.misti.com), причем эти программы являются одним из самых распространенных способов подготовки к сертификации и поддержания статуса CISSP, доступным и в России.
Суммируя все вышесказанное, отметим, что возможностей получить сертификацию у специалистов по информационной безопасности, несмотря на их крайнюю востребованность, не так уж и много. Если какой-либо компании нужен специалист с базовым знанием проблематики (или если сам специалист находится в начале своей карьеры), стоит рассмотреть сертификации CompTIA Security+ или SANS GSEC соответственно для управленческой и технической специфики. Привлекая наиболее квалифицированных специалистов (или выбирая себе долгосрочную высшую цель карьеры), ориентируйтесь на сертификаты CISM для направления менеджера в управлении информационной безопасностью, SANS GIAC Specialists/Expert для технического специалиста, CISSP для профессионала в области комплексного обеспечения безопасности.
Автор: Дмитрий Крылов, КомпьютерПресс 4’2005