Хорошая работа в ИБ, или Как найти достойную должность
В трехсерийной статье Бен Ротке (Ben Rothke) решил разобраться с вопросом о нехватке людей в секторе информационной безопасности.
В проницательной статье Тэйлора Амердинга “Confronting the widening infosec skills gap” есть несколько интересных мыслей о состояния рынка найма сотрудников в сфере информационной безопасности и о проблемах, с которыми сталкиваются компании при приеме на работу новых талантов в этой области.
Пока мы самостоятельно переваривали полученную из статьи информацию, Питер Линдстром (Peter Lindstrom) и Кристина Ричмонд (Christina Richmond) из аналитической компании IDC, провели много времени, исследуя вопросы, касающиеся зарплаты и рабочих мест в сфере информационной безопасности. Все исследования детально описываются в их отчете: “Исследования для IDC - сфера безопасности”. Здесь сделаны два важных наблюдения.
Первое наблюдение привело к выводу, что нехватка рабочих мест в сфере информационной безопасности начинается не с начальных уровней знаний сотрудников, где от человека не ждут ничего суперсложного. Такие вакансии заполняются максимум за три месяца. А недостаток вакансий начинается с высшего уровня, где опыт работы составляет более 10 лет, поскольку в этом случае внимание к кандидату и его знаниям намного выше.
Также их исследование показывает, что респонденты меняют работу в среднем больше шести раз за всю свою карьеру. Соответственно, если компания хочет нанять сотрудника на вакансию по безопасности, то квалифицированных сотрудников найти очень сложно, а заполнять ответственные места людьми с начальным уровнем знаний и без опыта работы - бывает даже опасно. Реальная проблема - сохранение квалифицированных работников и контроль их «оттока». Говоря проще, главный вопрос - это «Почему люди покидают свои рабочие места после того, как повышают квалификацию и почему более выгодные вакансии заполняются людьми, имеющими вообще другие профессии?»
Зарплата в сфере ИБ
Мы заметили, что во многих организациях, предлагающих должность по обеспечению ИБ на полный рабочий день, заработная плата часто не соответствует реальной рыночной стоимости данных квалифицированных услуг. Конечно, они не завышены, а занижены, и происходит это чаще всего из-за персонала сторонних компаний по найму, которые набивают себе карманы благодаря поиску редких специалистов в сфере ИБ
Эти фирмы “заряжают” дополнительные комиссии на контрактные почасовые ставки. Несмотря на значительное увеличение кибер-атак и расширяющиеся угрозы безопасности, а также другие факторы, такие как технические роли, расширенные обязанности, разработка программ, и ограничения в кадровых ресурсах, компании по-прежнему не желают работать по конкурентоспособным ставкам/зарплатам для молодых и перспективных сотрудников из сферы ИБ.
Вот несколько примеров, где зарплаты были взяты «с потолка»:
- Старший инженер по информационной безопасности, подотчетный старшему директору, по ИБ - $70 в час. Также предоставлялся длинный список существенных и сложных технических обязанностей и требований.
- Старший архитектор безопасности - менеджер безопасности приложений. $90 тыс в год.
- Менеджер информационной безопасности в Инвестиционный Банк - $130 тысяч в год.
- Старший ИТ инженер - $60 в час.
- ИТ консультант по рискам и безопасности - $45 в час.
- Аналитик по соблюдению политики кибербезопасности - $50 в час.
- Операционный инженер по облакам в главный офис фармацевтической компании в Нью-Джерси - $80 в час.
- Главный специалист по управлению информационными рисками в Мировую Финансовую Компанию - $90 тыс. в год.
- Аналитик реагирования на инциденты - $50 тыс. в год.
Но самые несуразные деньги платили администраторам и разработчикам программных расширения для платформы управления кибербезопасностью RSA Archer, специалисты с опытом работы не менее 10 лет получали всего $40 в час. Другая фирма хотела сотрудника, работающего с платформой Archer 5.x за $55 в час.
Многие рекрутеры в поиске наивных кандидатов на такие вот должности обращаются за помощью к опытным разработчикам с многолетним опытом и знаниями. Учитывая большую базу знакомых и бывших коллег, они рассчитывают найти заинтересованных людей, предлагая им часто заниженную оплату. В дополнение к низкой компенсации труда, позиция многих компаний по поводу найма квалифицированных сотрудников в ИБ, как правило, четко не определена и фирма не может или не желает предлагать повышение или другой стимул для своего работника.
В результате, вербовщики отвечают, что будут продолжать искать кандидатов, но чаще просят поднять их ставку, предлагая на должность кандидатов с низким уровнем квалификации. При этом поиск этих сотрудников занимает не один месяц. Отсутствие конкурентных рыночных ставок служит им на руку и на месяцы задерживает поиск кандидатов. Это в свою очередь приводит к нежелательным рискам и воздействию на организации, ищущие талантливых сотрудников.
Комментарий Алексея Лукацкого, бизнес-консультанта по безопасности Cisco:
Хочу отметить, что в России не принята почасовая ставка для сотрудников, взятых в штат и работающих в информационной безопасности. Собственно и в США - ситуация аналогичная и почасовая оплата присуща скорее приглашенным консультантам и специалистам. Если же перевести данные почасовые ставки в годовой оклад, то цифра получится вполне адекватной для американского рынка - $80-110 тысяч. С другой стороны ни в США, ни в России действительно нет общепринятого классификатора специальностей по ИБ и зарплатных вилок для них. Отсюда и разброс предложений. В разных штатах США уровни зарплат для одних и тех же должностей могут отличаться на 20-25%. В России такой разброс может достигать 1000% в Москве и в регионах. И очевидно, что специалисты “за МКАДом" не всегда жалуют своих столичных коллег, считая их "зажравшимися" (не учитывая уровень жизни в столице). Но и те, и другие считают, что их недооценивают и платят зарплату, несоответствующую их способностям.
Опубликовано 21.12.2015