אבטחת מידע - התייעצות

[זה עני]

חבר קרוב שאל אותי ולא ידעתי מה לענות אבל נראה לי מתאים לשאול פה:

בעל תואר ראשון הנדסה. יש לו ניסיון באבטחת מידע אבל לא hands-on (לא כתב קוד) אלא יותר בהתוויית הנחיות, גיבוש מדיניות ויצירת מדיניות עבור מגוון מערכות/פרויקטים וכו' עם מלא השלכות.
סוג של קב"ט עם זיקה טכנולוגית (יש כמה כאלה בתעשיות הביטחוניות הגדולות).

היום עובד בארגון שבו המשכורת יחסית נמוכה ורוצה להתקדם. רוב המשרות שחיפש דרשו גם ניסיון פרקטי בתוכנה.
יש לו מה לחפש בהייטק? יש המלצות לכיוונים?

 

[ריש-לקיש]

שווה לבדוק ניהול מערכות מידע ונגזרותיו

 

[זה עני]

מעדכן ומחדד - סוג של ciso רק בלי הסמכה רשמית אבל תואר הנדסי. כאמור הוא עוסק בהחלטות ניהוליות ולא ברמה הפרקטית...

 

[YPV]

מאיפה הידע שלו באבטחת מידע? עשה קורסים? הסמכות בינ"ל? CISSP? CISM?

 

[זה עני]

מאיפה הידע שלו באבטחת מידע?

בגדול, צה"ל אבל קצת שיתוף פעולה עם כמה תעשיות ביטחוניות בקטנה

עשה קורסים? הסמכות בינ"ל?

לא

 

[Solid seat]

איזורי GRC, זה המקבילה בחברות הייטק גדולות.

 

[זה עני]

איזורי GRC, זה המקבילה בחברות הייטק גדולות.

תודה
יש לך קצת מידע לגבי ביקוש? טווח שכר? אפיקי קידום?
אכן נשמע נישתי וכנראה שהביקוש לא רב ומנגד משהו מועיל לחברות אם האדם יודע על מה הוא מדבר ובטח אין הרבה שמכוונים את עצמם לתפקיד הזה

 

[cypher]

בתור מישהו בתחום קשור קשה לי עם מה שאתה רושם, אף פעם לא היה hands-on והוא מתווה הנחיות זה מצב שאסור שיקרה, היית קונה רכב שמי שתכנן אותו הוא בלי רישיון נהיגה ,מעולם לא נהג ברכב ואף פעם לא החליף שמן או גלגל? אם לא אז למה אתה חושב שזה סביר שמי שתכנן מידיניות אבט"מ מעולם לא היה צריך ליישם אחת?

אם הוא באמת רציני בתחום הוא חייב ללמוד להיות hands-on, תואר והכשרות ותעודות לא משנה (גילוי נאות גם לי אין), אבל בלי ניסיון ממשי ורציני בשוחות אין לו את הכלים הדרושים לכתוב מדיניות\הנחיות\כו' (זה בדרך כלל משהו שנחשב מאוד בכיר).

אם הוא רוצה להיות מקצועי המלצה שלי היא שיתחיל בללמוד את הבסיס (וזה דורש תכנות, רשתות, חומרה ועוד מיליון דברים אחרים, אבט"מ זה תחום שדורש כמות ידע רבה משמעותית מהרבה תפקידים אחרים בהייטק, אי אפשר להתעלם מזה), יתמקצע ואז יגדל, זה שהיה לו מזל והוא נפל איכשהו לעמדת מקבל החלטות בלי הידע הדרוש לקבל אותם בעבר בצבא לא אומר שזה יקרה לו בהייטק איפה שהוא ידרש להוכיח יכולת בשביל להתקבל למשרה מקבילה.

המשרות היחידות בעולם האבט"מ שאני מכיר שלא דורשות hands on הם:

1. עובדי SOC (security operations center) שבגדול אומר לשבת מול מסכים ושהתראה קופצת לעקוב כמו תוכי אחרי מדריך שמישהו כתב בשביל לפתור אותה
2. compliance officer שבגדול אומר לעקוב כמו תוכי אחרי רשימה של סטנדרטי אבטחה (שמישהו אחר כתב) ולדרוש מעובדים אחרים בחברה לספק לך תמונות שמוכיחות שהסטנדרטים האלה נשמרים ואז לרשום דוח עם כל התמונות, וכן זה חייב להיות תמונות, פעם בביקורת שלחתי קובץ טקסט במקום תמונה של הקובץ טקסט ומהתגובות שקיבלתי אפשר היה לחשוב שזימנתי את לוציפר

אם שני המשרות האלה נשמעות כמו סיוט בירוקרטי זה בגלל שזה בדיוק מה שהם, אבל זה למה אין בהם דרישה להבנה עמוקה יותר (ששוב לא יכולה להתקיים בלי ידע hands on מקדים)

 

[Solid seat]

תודה
יש לך קצת מידע לגבי ביקוש? טווח שכר? אפיקי קידום?
אכן נשמע נישתי וכנראה שהביקוש לא רב ומנגד משהו מועיל לחברות אם האדם יודע על מה הוא מדבר ובטח אין הרבה שמכוונים את עצמם לתפקיד הזה

התחום מבוקש ויחסית לא עמוס מה שדוחף את המשכורות מעלה, באמת מצפים מרוב האנשים הסטוריה של hands on. טווחי השכר למיטב ידיעתי נעים בין 17,000 לעובד מתחיל ועד לאיזור ה40 למנהל בדרג הביניים. בדרך כלל אין ניהול בכיר באיזור הזה.

לגבי קידום - בדרך כלל תחנה בדרך להיות chief risk officer או CIO, או אחד מהתפקידים מהסוג הזה.

אני מצטרף להמלצה מעלי - שישקיע בhands on כדי שיהיה לו סיכוי ויבלוט.