Information Security Analyst

Также называют: Security Analyst, SOC Analyst, Cyber Security Analyst, Security Operations Analyst, Threat Analyst.

Кто такой Information Security Analyst и чем он занимается?

Information Security Analyst — это специалист, который следит за угрозами, расследует инциденты и находит уязвимости в системах компании раньше атакующих. В зависимости от компании фокус может быть на мониторинге и реагировании (SOC), управлении уязвимостями, анализе угроз или соответствии стандартам вроде ISO 27001, SOC 2 или PCI DSS:

• разбирает события в SIEM и отделяет реальные атаки от ложных срабатываний;
• расследует инциденты, помогает их локализовать и описывает, что изменить после;
• ищет уязвимости, приоритизирует их и следит, чтобы команды их исправили;
• пишет и настраивает правила обнаружения;
• проверяет права доступа и конфигурации и готовит материалы для аудитов.

Когда компании нужен Information Security Analyst?

Information Security Analyst нужен, когда у компании уже есть средства защиты и поток событий, но некому их разбирать каждый день. Частые триггеры: требование крупного клиента или регулятора пройти аудит, первый серьёзный инцидент, рост облачной инфраструктуры, после которого DevOps-команда больше не успевает следить за безопасностью. В банках, финтехе и телекоме роль обычно нужна раньше, чем в других отраслях. Роль не сработает, если у компании ещё нет ни стратегии безопасности, ни бюджета на инструменты: тогда сначала нужен CISO или Head of Security, который это выстроит.

Чем Information Security Analyst отличается от CISO?

Information Security Analyst отличается от CISO тем, что делает практическую работу по защите, а CISO отвечает за стратегию безопасности, бюджет и риски и отчитывается перед руководством. Аналитик работает внутри правил, которые задал CISO, и даёт ему данные для решений. DevSecOps Engineer встраивает безопасность в разработку и CI/CD, а аналитик в основном работает с тем, что уже запущено. В небольших компаниях один аналитик часто совмещает все эти направления.

Почему Information Security Analyst сложно нанять?

Information Security Analyst сложно нанять, потому что под одним названием скрываются очень разные профили, а опыт реальных расследований есть не у всех.

• Название широкое: мониторинг, уязвимости, анализ угроз и соответствие стандартам требуют разных навыков, и кандидат, сильный в одном, может не подойти для другого.
• Сертификаты легко получить без практики, поэтому по резюме сложно отличить человека, который расследовал инциденты, от того, кто знает о них по курсам.
• Многие вакансии требуют сменного графика или дежурств, и сильные кандидаты отказываются от них.
• Опытные аналитики из банков и провайдеров услуг безопасности держатся за текущие места и редко откликаются на вакансии.

Что выяснить до найма Information Security Analyst?

• Какое направление важнее: мониторинг и реагирование, уязвимости, анализ угроз или соответствие стандартам? От ответа зависит весь профиль кандидата.
• Что есть сейчас: SOC и SIEM или безопасность выстраивается с нуля? Первый аналитик в компании должен уметь выбирать и настраивать инструменты, а не только работать в готовых.
• Есть ли сменный график или дежурства на случай инцидентов? Об этом нужно сказать в начале, иначе кандидаты отпадут на финальных этапах.
• Что защищаете: облако, свою инфраструктуру, корпоративную сеть или продукт? Опыт расследований в облаке и в корпоративной сети заметно отличается.
• Каким стандартам и регуляторам нужно соответствовать? От этого зависит, нужен ли опыт подготовки к конкретным аудитам.

Где искать Information Security Analyst?

Information Security Analysts чаще всего приходят из SOC банков, финтеха, телекома и крупных продуктовых компаний, из провайдеров услуг безопасности и вендоров средств защиты; часть вырастает из системного администрирования и сетевой инженерии. Сильный сигнал в профиле — расследованные инциденты, написанные правила обнаружения и результаты в CTF. Сертификаты имеют вес, когда за ними стоит практика. NEWHR ищет таких кандидатов по результатам работы, а не по откликам на вакансию.

Как проверить Information Security Analyst на интервью?

Information Security Analyst проверяют разбором инцидента, который кандидат расследовал, и практическим заданием на наборе логов или алертов. В задании нужно отличить реальную атаку от ложного срабатывания и объяснить, что делать дальше. Со стороны компании участвуют CISO или SOC Manager и Infrastructure Engineer, который задаёт вопросы про сети и операционные системы.

Сильные сигналы:

• рассказывает об инциденте по шагам: как заметили, что нашли в логах, как локализовали, что изменили после;
• объясняет, почему какое-то срабатывание сочтёт шумом, и как настроил бы правило, чтобы его убрать;
• понимает, как работают сети и операционные системы, а не только интерфейс SIEM.

Красные флаги:

• описывает работу только как реагирование на алерты по инструкции;
• не может привести пример инцидента, который расследовал сам;
• перечисляет сертификаты и инструменты вместо того, чтобы рассказывать о решениях.

Сколько длится поиск Information Security Analyst?

Первых кандидатов на роль Information Security Analyst показываем через 5–7 дней после брифа.

Смежные роли

• CISO — отвечает за стратегию безопасности, бюджет и риски компании.
• DevSecOps Engineer — встраивает безопасность в разработку и CI/CD.
• Network Security Developer — пишет сами средства защиты сети, которыми пользуется аналитик.
• DevOps Engineer — отвечает за инфраструктуру, в которой аналитик ищет угрозы.