17-09.02: Różnice pomiędzy wersjami

Rosnąca rola bezpieczeństwa teleinformatycznego oraz obserwowany, zarówno w Polsce jak i na świecie, pogłębiający się deficyt pracowników związanych zawodowo z tym obszarem, wymusza podjęcie zdecydowanych działań mających na celu uporządkowanie definicji i potwierdzenie kwalifikacji zawodowych pracowników.

Rozpatrując aktualizację zawodów związanych z branżą IT chcielibyśmy zwrócić uwagę na nieobecność zawodu informatyka w aktualnej Klasyfikacji zawodów i specjalności, wprowadzonej rozporządzeniem Ministra Pracy i Polityki Społecznej z dnia 7 sierpnia 2014 r. (Dz. U. z 2014 r. poz. 1145; zm.: Dz. U. z 2016 r. poz. 1876). Jest to o tyle dziwne, że w tejże Klasyfikacji znajdujemy takie zawody i specjalności jak:

• bioinformatyk,

• informatyk medyczny,

• inżynier teleinformatyk,

• technik informatyk.

W opinii Polskiego Towarzystwo Informatycznego zawód informatyka powinien się pojawić w czterocyfrowej grupie 2120 Matematycy, aktuariusze i statystycy i informatycy oraz 2152 Inżynierowie elektronicy. Równocześnie powinny być poczynione działania na rzecz utworzenia osobnej grupy, zawierającej różne kategorie zawodu informatyka w zgodzie aktualnymi tendencjami rozwoju tej dziedziny. Dodatkowo warto zaktualizować niektóre nazwy i rodzaje specjalności w grupie 25. Specjaliści teleinformatycy.

Rozważania dot. zawodów i specjalności związanych z obszarem cyberbezpieczeństwa bądź też bezpieczeństwa teleinformatycznego proponujemy rozpocząć od uporządkowania terminologii.

Brak zdefiniowanego pojęcia cyberbezpieczeństwo (próba dookreślenia tego terminu została podjęta jedynie w Doktrynie Cyberbezpieczeństwa Rzeczypospolitej Polskiej  

z 2015) utrudnia jednoznaczną definicję zawodów I specjalności, w nazwie których występuje to pojęcie.

Rekomendujemy, aby konsekwentnie w polskiej terminologii zamiast terminu cyberbezpieczeństwo stosować określenie bezpieczeństwo teleinformatyczne.  

Porównanie zapisów "Klasyfikacji zawodów i specjalności" z zestawieniem zawodów i specjalności związanych z obszarem ICT poszukiwanymi obecnie przez pracodawców pokazuje, że istnieje szereg poszukiwanych zawodów/specjalności związanych z obszarem bezpieczeństwa teleinformatycznego, które nie znajdują odzwierciedlenia w przywoływanej tu wielokrotnie Klasyfikacji.  

Poszukiwane zawody i specjalności

• Analityk Bezpieczeństwa 2 linii (2L) Security Operation Center (SOC)

• Analityk Śledczy (IT Security)

• Blue Team Security Analyst

• Cloud Security Engineer

• Cyber Security Operator

• Cyber Security Scanning Engineer

• Data Protection Officer

• Ethical Hacker (Penetration tester)

• Information and Data Security Officer

• Information Security Analyst

• Information Security Architect

• Information Security Engineer

• Infrastructure Security Consultant

• IT Application Security Architect

• IT Auditor

• IT Security Engineer

• IT Security Senior Advisor

• IT Security Specialist

• IT Security Specialist – Cyber Security Monitoring

• Network Cyber Security - SOC SIEM Analyst

• Network Security Architect

• Security and Privacy Architect

• Security Architect

• Security Assessment Specialist

• Security Auditor

• Security Consultant

• Security Engineer

• Security Manager

• Security Operations Center (SOC) - Monitoring Specialist

• Security Program Manager

• Security Risk Analyst

• Security Solutions Architect

• Senior Cyber Security Operations Analyst

• Senior Cyber Security Operations Analyst

• Senior Security Engineer

• Software Security Engineer

• Vulnerability Researcher

Jak widać, większość z tych pozycji nie znajduje odzwierciedlenia w obowiązującej "Klasyfikacji zawodów i specjalności". W szczególności zasadne wydaje się dodanie takich nowych pozycji jak:

• Architekt bezpieczeństwa teleinformatycznego

• Analityk bezpieczeństwa teleinformatycznego

• Analityk ryzyka bezpieczeństwa teleinformatycznego

• Audytor bezpieczeństwa teleinformatycznego

• Audytor systemów informacyjnych

• Inżynier bezpieczeństwa teleinformatycznego

• Tester penetracyjny

• Analityk śledczy  

Obecnie pracodawcy weryfikują kompetencje dot. bezpieczeństwa teleinformatycznego pracowników opierając się na posiadanych przez nich certyfikatach zawodowych. Najczęściej są to certyfikaty branżowe wystawiane przez niezależne organizacje oraz producentów rozwiązań bezpieczeństwa. Pierwsze z wymienionych są certyfikacjami neutralnymi technologicznie a drugie są wprost powiązane z rozwiązaniami technicznymi oferowanymi przez danego producenta.

Najpopularniejsze obecnie certyfikaty branżowe związane z bezpieczeństwem teleinformatycznym to:

• CISSP (Certified Information Systems Security Professional)

• CISA (Certified Information Systems Auditor)

• CISM (Certified Information Security Manager)

• CRISC (Certified in Risk and Information Systems Control)

• SSCP (Systems Security Certified Practitioner)

• CompTIA Security+

• CEH (EC-Council Certified Ethical Hacker)

• OSCP (Offensive Security Certified Professional)

• OSCP (Offensive Security Certified Professional)

• OSCE (Offensive Security Certified Expert)

• GXPN (GIAC Exploit Researcher and Advanced Penetration Tester)

• OSWP (Offensive Security Wireless Professional)

Bardzo istotne jest, że uzyskanie wielu z ww. certyfikatów wymaga nie tylko zdania stosownych egzaminów, ale również udokumentowania pewnego okresu doświadczenia zawodowego w obszarze związanym z bezpieczeństwem teleinformatycznym. Co więcej, wiele z najbardziej wartościowych certyfikatów ma określony okres ważności (np. 3 lata) i ich przedłużenia wymaga ciągłej edukacji.

Naszym zdaniem warto jest rozważyć stworzenie całkowicie polskiego systemu certyfikacji zawodowej w obszarze bezpieczeństwa teleinformatycznego. Taki system certyfikacji zawodowej powinien uwzględniać czołowe certyfikacje oferowane przez takie organizacje jak ISACA (certyfikaty CISA, CISM, CRISC), (ISC)2 (certyfikaty CISSP, CCSP) oraz polskie i europejskie regulacje (np. RODO, dyrektywa NIS).