Не можем найти специалиста по информационной безопасности: почему поиск затягивается и что делать
Вакансия специалиста по информационной безопасности может оставаться открытой неделями, даже если резюме на рынке есть.
Один кандидат хорошо знает средства защиты, но почти не работал с реальными инцидентами. Другой силён в SOC и SIEM, но вакансия фактически требует Security Engineering. Третий подходит по техническому опыту, но никогда не работал в регулируемой отрасли. Четвёртый выглядит как Senior, однако большая часть его задач выполнялась внутри уже выстроенного процесса — а компании нужен человек, способный построить направление практически с нуля.
Поэтому проблема часто не в том, что специалистов по информационной безопасности вообще нет.
Чаще компания ищет слишком широкий или плохо определённый профиль — и реальный рынок оказывается значительно уже, чем выглядел в момент открытия вакансии.
Почему специалиста по информационной безопасности бывает сложно найти
Название «специалист по информационной безопасности» объединяет очень разные рынки кандидатов.
Под одной и той же вакансией компания может подразумевать инженера по защите инфраструктуры, аналитика SOC, AppSec-специалиста, DevSecOps, архитектора безопасности, эксперта по соответствию требованиям или будущего руководителя функции ИБ.
У этих специалистов пересекается профессиональная область, но задачи, прошлый опыт и карьерная траектория могут сильно различаться.
Поэтому поиск только по названию должности быстро создаёт большую выборку резюме, из которой после изучения реального опыта остаются единицы.
Основной вопрос здесь не «сколько специалистов ИБ есть на рынке», а сколько из них уже решали задачи, похожие на задачи конкретной компании.
«Специалист по ИБ» — это не один профиль
Одна из самых частых причин затянувшегося поиска — попытка искать «безопасника вообще».
Если основная задача связана с инфраструктурой, нужен один тип опыта.
Если речь идёт о безопасности приложений и взаимодействии с разработкой — другой.
Если специалист должен анализировать события SIEM и расследовать инциденты — третий.
Если компания готовится к аудитам и должна соблюдать отраслевые или регуляторные требования — профиль снова меняется.
Поэтому ещё до расширения поиска полезно определить, какую функцию должен закрыть сотрудник.
Infrastructure Security
Здесь особенно важны сети, серверы, облачная или on-prem инфраструктура, доступы, hardening, средства защиты и реальный опыт работы с сопоставимой средой.
SOC / SIEM / Incident Response
Фокус смещается на мониторинг событий, выявление угроз, расследование инцидентов, корреляцию событий и процессы реагирования.
AppSec
Нужен опыт непосредственно с безопасностью приложений и процессов разработки: архитектура, уязвимости, secure development, SAST/DAST, threat modeling и взаимодействие с engineering-командами.
GRC / compliance
Это уже значительно меньше похоже на чистую инженерную безопасность. В центре оказываются риски, политики, требования, аудиты, контроль соответствия и взаимодействие с бизнесом.
Если смешать эти профили в одной вакансии, откликов может быть достаточно, а подходящих кандидатов — почти не быть.
Почему DevSecOps не равен обычному DevOps
Отдельная зона пересечения появляется на стыке DevOps и информационной безопасности.
Компания может ожидать от DevSecOps-инженера понимания CI/CD, инфраструктуры, контейнеризации и автоматизации одновременно с security-практиками.
Это уже заметно более узкий рынок, чем просто DevOps или Security Engineer.
Особенно если требуются практический опыт Kubernetes, IaC, cloud, secrets management, security scanning, контроль pipeline и взаимодействие одновременно с разработкой, инфраструктурой и ИБ.
Поэтому добавление слова DevSecOps в вакансию не расширяет поиск. Обычно оно, наоборот, делает профиль значительно более точечным.
Когда компания пытается объединить несколько ИБ-ролей в одной вакансии
Требования к специалисту часто собираются сразу от нескольких участников.
Инфраструктурная команда хочет сильные сети и Linux.
Разработка — AppSec и DevSecOps.
Руководитель ИБ — понимание SIEM, процессов реагирования и управления рисками.
Бизнес добавляет требования регуляторов и проведение аудитов.
В результате компания ищет человека, который одновременно является Security Engineer, SOC-аналитиком, AppSec, GRC и архитектором.
Каждая компетенция по отдельности выглядит логично.
Но специалист, который одинаково глубоко работает во всех этих направлениях, встречается значительно реже.
Поэтому при затянувшемся поиске полезно разделить требования на действительно обязательные и те, которые могут закрываться другими участниками команды.
Отрасль и регулируемая среда резко меняют профиль
В информационной безопасности контекст компании особенно важен.
Опыт кандидата из продуктовой IT-компании может существенно отличаться от опыта специалиста из банка, промышленности или организации с критической инфраструктурой.
Меняется не только набор технологий.
Меняется подход к рискам, документации, процессам, ответственности и взаимодействию с регуляторами.
Иногда отраслевой опыт действительно критичен.
Но если автоматически требовать человека только из нескольких конкретных компаний, рынок может сократиться до десятков потенциальных кандидатов ещё до начала поиска.
Поэтому важно определить, какие элементы отраслевого опыта действительно невозможно быстро перенести из соседней среды, а какие являются желательными, но не обязательными.
Middle, Senior, Lead и Head — разные рынки
Грейд в ИБ нельзя определять только количеством лет опыта.
Middle может уверенно работать внутри уже существующих процессов и инструментов.
Senior обычно способен самостоятельно разбирать сложные ситуации, принимать технические решения и отвечать за существенный участок функции безопасности.
Lead добавляет техническое лидерство, стандарты, координацию специалистов и взаимодействие нескольких команд.
Head или CISO — это уже другая логика роли: стратегия, риски, команда, бюджет, процессы и ответственность перед бизнесом.
Если компания публикует вакансию Senior, но ожидает фактически Head-функцию, поиск будет постоянно давать «не тех» кандидатов.
И наоборот, если под названием руководителя ИБ скрывается исключительно инженерная работа, управленцы будут отказываться уже после первого разговора.
Почему откликов может быть много, но подходящих специалистов мало
Информационная безопасность — хороший пример рынка, где число откликов мало говорит о качестве воронки.
Формально кандидат может знать SIEM, средства защиты или стандарты безопасности.
Но после разговора выясняется, что он только пользовался уже настроенной системой, а компании нужен специалист, способный самостоятельно её проектировать или внедрять.
Или кандидат участвовал в инцидентах, но никогда не отвечал за расследование.
Или работал с безопасностью инфраструктуры, а вакансия требует тесного взаимодействия с разработчиками.
Поэтому простое увеличение числа резюме редко решает проблему узкого профиля.
Нужно менять критерии поиска и смотреть глубже названий должностей и списков технологий.
Что происходит после исчерпания job-сайтов
В начале поиска большинство работодателей работают с активным рынком.
Вакансия публикуется, HR изучает отклики, ищет резюме и связывается с подходящими специалистами.
Но через некоторое время выборка начинает повторяться.
Одни и те же кандидаты встречаются на разных площадках. Новые резюме редко соответствуют требованиям лучше предыдущих.
В этот момент очередное поднятие вакансии может дать ещё несколько откликов, но не открывает новую часть рынка.
Для сложной Security-вакансии это один из главных признаков, что обычный поиск близок к исчерпанию.
Почему сильные специалисты по ИБ часто находятся на пассивном рынке
Опытный специалист по информационной безопасности не обязательно активно ищет работу.
Особенно если речь идёт о Senior, Lead, архитекторе или руководителе.
Такие люди уже работают, участвуют в критичных проектах и нередко получают входящие предложения без публикации собственного резюме.
При этом они могут быть готовы обсуждать переход, если новая роль даёт более интересную инфраструктуру, более высокий уровень ответственности, возможность построить функцию или работать с более зрелой командой.
Поэтому отсутствие человека среди активных резюме не означает, что его нет на рынке.
Это означает, что к нему приходится выходить напрямую.
Подробнее о такой части рынка мы рассказывали в материале о пассивных кандидатах.
Почему список средств защиты не заменяет проектный опыт
Ещё одна частая ошибка — искать кандидата исключительно по названиям продуктов.
DLP, SIEM, WAF, EDR, PAM, IDS/IPS и другие решения помогают сузить поиск, но сами по себе мало говорят об уровне специалиста.
Один человек мог только работать оператором уже настроенной системы.
Другой участвовал во внедрении.
Третий проектировал архитектуру, выбирал решение, интегрировал его в инфраструктуру и отвечал за результат.
В резюме у всех троих может стоять одно и то же название продукта.
Поэтому при поиске сильного специалиста важно выяснять не только с чем человек работал, но и что именно он делал самостоятельно.
Построение функции ИБ с нуля и усиление команды — разные задачи
Компания, в которой уже есть зрелая команда информационной безопасности, обычно ищет точечную компетенцию.
Например, AppSec, SOC, DevSecOps, Security Architecture или compliance.
Компания, которая только строит функцию ИБ, может искать гораздо более универсального специалиста.
Ему потребуется определить приоритеты, выбрать инструменты, выстроить взаимодействие с IT и бизнесом, сформировать процессы и постепенно расширять команду.
Такой профиль значительно реже.
Поэтому при старте поиска важно честно определить: нужен исполнитель внутри существующей системы или человек, который сам должен эту систему создавать.
Почему незакрытая Security-вакансия может стоить дороже обычной задержки найма
У незакрытой позиции в информационной безопасности последствия не всегда видны сразу.
Релиз продукта может состояться и без нового специалиста.
Инфраструктура продолжит работать.
Но часть задач начинает откладываться: внедрение средств защиты, работа с уязвимостями, пересмотр доступов, аудит, автоматизация security-процессов, развитие SOC или AppSec.
Другие сотрудники берут дополнительные функции на себя.
Критичные знания концентрируются у одного человека.
А проекты, которые должны снижать риски, постоянно уступают место более срочным операционным задачам.
Поэтому через некоторое время проблема становится уже не HR-задачей, а ограничением для развития самой функции безопасности.
Когда нужен прямой поиск
Переходить к прямому поиску имеет смысл, когда открытый рынок несколько недель не даёт новых релевантных специалистов.
Особенно если нужен Senior, Lead или Head, редкая комбинация Security-компетенций, специфический отраслевой опыт или человек под построение функции с нуля.
В direct search исходной точкой становится не список активных резюме.
Сначала определяется, в каких компаниях и проектах люди могли получить нужный опыт.
Затем ищутся конкретные специалисты, оценивается их реальная ответственность и только после этого начинается прямой контакт.
Это позволяет выйти на часть рынка, которая никогда не откликнулась бы на обычную публикацию вакансии.
Когда внешний IT-рекрутер становится разумным решением
Передавать Security-вакансию агентству нужно не всегда.
Если внутренняя команда хорошо понимает профиль, имеет достаточно времени и уже умеет работать с пассивным рынком, поиск можно вести самостоятельно.
Внешний рекрутер становится полезен, когда активный рынок практически исчерпан, требования сложны, а внутренний поиск начинает повторять одних и тех же кандидатов.
Особенно если для вакансии сначала нужно определить границу между Security Engineering, SOC, AppSec, DevSecOps, GRC или управленческой ролью.
В таком случае задача рекрутера — не просто разместить ещё одну вакансию, а разобраться в функции, построить карту рынка и выйти на специалистов с подходящим проектным опытом.
Если поиск дошёл именно до этого этапа, подробнее о работе с такими вакансиями — на странице
подбор специалистов по информационной безопасности.
Что менять, если обычный поиск больше не работает
Если специалиста по информационной безопасности долго не удаётся найти, сначала стоит определить, что именно ограничивает воронку.
Если откликов много, но люди совершенно разные — слишком широко определена сама роль.
Если кандидаты формально подходят по технологиям, но не по реальной ответственности — нужно искать по проектному опыту.
Если рынок резко сужается после требования конкретной отрасли — стоит проверить, действительно ли этот опыт обязателен.
Если от одного человека ждут одновременно инфраструктурную безопасность, SOC, AppSec и compliance — возможно, вакансия объединяет несколько разных функций.
Если активный рынок уже полностью просмотрен — нужно переходить к прямому поиску и пассивным специалистам.
Главный вопрос в такой ситуации — не «где ещё разместить вакансию по информационной безопасности», а «какой именно Security-профиль нам нужен и какую часть рынка мы пока не видим».