Центр компетенций на 15 человек или внешний архитектор: как среднему заводу закрыть кадры на стыке производства, ИТ и ИБ

Автор статьи о киберустойчивости в энергетике, которую я разбирал в заметке про воздушный зазор, описал кадровую проблему энергетики точнее, чем я встречал где-либо ещё. Современному специалисту по релейной защите нужны сетевые протоколы, криптография и информационная безопасность. Выпускники с такими компетенциями есть, а спроса на них нет, потому что энергокомпании не умеют их оценивать. Его рецепт: крупным компаниям создать центры компетенций из 10–15 специалистов на стыке энергетики, ИТ и ИБ, поменять корпоративную культуру и систему оплаты. Такие люди будут востребованы ближайшие 10–15 лет.

Для крупной энергокомпании это правильный рецепт, и спорить с ним я не буду. Эта заметка о тех, кому он недоступен: о заводе на триста или тысячу человек в металлургии, химии, добыче или энергосбыте, у которого объект КИИ есть по отраслевому перечню, план перехода на доверенные ПАК спущен ведомством, на линии стоит модель предиктивного обслуживания, а ИТ-отдел состоит из пяти человек, и безопасностью занимается системный администратор по совместительству.

У такого завода требования те же, что у крупной компании. Центра компетенций у него не будет никогда. Вопрос, как закрыть разрыв, и у меня есть конструкция, которая работает.

Почему центр компетенций недоступен среднему заводу

Четыре причины, и ни одна из них не про желание собственника.

Деньги. Пятнадцать специалистов на стыке трёх дисциплин по рыночной ставке это фонд оплаты труда, сопоставимый с бюджетом на модернизацию линии. Для холдинга это строка, для завода это выбор между людьми и оборудованием.

Рынок. По оценкам Минцифры и отраслевых исследований, дефицит специалистов по информационной безопасности в России сейчас около 50 тысяч человек, к 2027 году он вырастет до 55–65 тысяч. На стыке с промышленностью и энергетикой дефицит глубже, потому что таких людей готовят единицы вузов. Крупные компании с центрами компетенций забирают их первыми и платят больше. Завод в региональном центре в этой очереди стоит последним.

Нагрузка. Даже если удалось нанять, у завода нет постоянной работы на пятнадцать человек. Категорирование делается раз в несколько лет, план перехода раз в год, инцидент, к счастью, редко. Специалист, который большую часть времени ждёт, уходит туда, где работа есть. Я писал об этом применительно к аналитикам в заметке нужно ли держать дорогих Data Scientist'ов в штате, и с безопасностью всё ровно так же.

Оценка. Автор той статьи пишет, что энергокомпании не умеют оценивать нужные компетенции. Завод не умеет тем более. Собственник, который не может отличить специалиста по ИБ АСУ ТП от администратора с сертификатом по межсетевым экранам, наймёт того, кто лучше прошёл собеседование. О том, как рынок оценивает опыт на самом деле, я писал в заметке опыт в ИТ дорожает не сам по себе.

Что обязательно должно быть внутри

Конструкция, которую я предлагаю, начинается не с найма, а с назначения. Внутри завода должны быть два человека, и оба, как правило, уже есть.

Первый: владелец риска. Главный инженер или директор по производству. Человек, который знает линию, понимает, что остановится и что сломается, и которому есть что терять. Он не разбирается в ИБ, и это нормально. Его задача подписывать: категорирование, план перехода, регламент цифрового следа, план реагирования. И требовать, чтобы перед подписью ему объяснили, что он подписывает, на языке останова и ущерба, а не на языке приказов ФСТЭК.

Второй: владелец карты. Человек из ИТ-отдела, который знает, где какой контроллер стоит, как устроена сеть между корпоративным и технологическим сегментом, у кого есть удалённый доступ. Обычно это тот самый системный администратор по совместительству. Его задача не защищать, а знать и поддерживать карту: инвентаризацию с теми четырьмя признаками, которые я описал в заметках про 187-ФЗ и доверенные ПАК.

Это не два новых найма. Это две роли, которые нужно назначить, записать в должностные обязанности и, что важно, освободить под них время. Владелец карты, который ведёт инвентаризацию между заявками на принтеры, карту не ведёт.

Нанимать штатного специалиста по ИБ АСУ ТП среднему заводу я не советую. Не потому, что он не нужен, а потому, что на этом рынке завод его не удержит, а конструкция, завязанная на одного человека, рассыпается в день его увольнения.

Что берётся снаружи и чем это отличается от интегратора

Экспертиза, которой внутри нет, приходит снаружи в виде внешнего архитектора с командой на проект. Я описываю свою модель работы, и честно скажу об этом в оговорках, но конструкция не зависит от того, кто именно её исполняет.

Что делает архитектор. Оценивает риски и готовит материалы для категорирования, которые подписывает комиссия завода. Проектирует защиту, встроенную в системы, а не прикрученную сбоку. Составляет план перехода на доверенные ПАК с четырьмя классами узлов и датами, привязанными к остановам. Внедряет с командой: сегментацию, журналы, снимки конфигураций, компенсирующие меры для незаменимого. Выстраивает цифровой след, о котором я писал в заметке про расследование аварии. Переводит требования регулятора к ИИ в контуре в архитектуру, как в заметке про раздел 3.18. После проекта остаётся на часах: сопровождение, участие в комиссии по аварии, дежурство по уведомлению НКЦКИ по договору.

Чем это отличается от интегратора и от сервисного центра мониторинга. Интегратор продаёт средства защиты, и его интерес в том, чтобы их было больше. Центр мониторинга продаёт мониторинг, и его интерес в том, чтобы к нему подключили больше источников. Оба могут быть хорошими подрядчиками, но ни один из них не на стороне завода при выборе, что покупать. Архитектор не продаёт ни коробок, ни подписок, и его единственный интерес в том, чтобы конструкция работала и защищалась перед ведомством и собственником. Про то, как отличить подрядчика, который усложняет проект ради собственного объёма, я писал в заметке как понять, что подрядчик усложняет технологический проект.

Отдельно про страх «вы с нашим оборудованием не работали». Он понятен, и я отвечал на него в заметке про незнакомый стек: паттерны промышленных сетей повторяются между вендорами, а то, что действительно специфично, узнаётся у вашего же технолога за два дня. Архитектор, который приходит на завод с готовым решением до того, как обошёл линию, это плохой архитектор.

Конструкция ответственности: кто что подписывает

Главный риск модели с внешней экспертизой не в том, что она хуже внутренней, а в том, что ответственность повисает между подрядчиками. ИТ-отдел показывает на интегратора, интегратор на вендора, вендор на архитектора, архитектор на ИТ-отдел. Чтобы этого не произошло, распределение подписей фиксируется до начала проекта.

• Категорирование. Подписывает комиссия завода во главе с владельцем риска. Архитектор готовит материалы и объясняет критерии. Ответственность субъекта по закону остаётся на субъекте, и переложить её нельзя, я об этом прямо говорю каждому заказчику.

• План перехода. Подписывает владелец риска, направляет в ведомство завод. Архитектор составляет и защищает перед ведомством вместе с владельцем карты.

• Регламент цифрового следа. Подписывает владелец риска, ведёт владелец карты, проверяет раз в квартал архитектор и отчитывается владельцу риска.

• Уведомление НКЦКИ. Назначенное лицо внутри завода, обычно владелец карты, с правом подписи и доступом к каналу. Внешний дежурный по договору помогает увидеть и описать инцидент, но уведомляет субъект.

• Комиссия по аварии. Владелец риска включает в неё ИБ-специалиста по внутреннему регламенту. Это внешний специалист по договору, вызываемый по той же процедуре, что и представитель вендора.

• Эксплуатация средств защиты. ИТ-отдел. Настройка и изменения правил делаются командой архитектора по заявке владельца карты, и каждая фиксируется в журнале.

Принцип один: подпись всегда внутри, экспертиза может быть снаружи, но у того, кто подписывает, должен быть доступ к экспертизе до подписи, а не после инцидента.

Чем это отличается от «отдать всё на аутсорс»

Отдать всё на аутсорс означает, что завод получает папку и подключение к мониторингу, а внутри никто не может сказать, работает ли это. Через год папка устаревает, карта расходится с реальностью, и при инциденте выясняется, что единственный человек, который понимал схему, работал у подрядчика и уволился.

Конструкция с двумя внутренними ролями отличается тем, что знание переносится. После проекта владелец карты умеет снимать снимки конфигураций, проверять хэши прошивок, читать журнал удалённого доступа и понимает, почему правило на границе сегмента выглядит именно так. Владелец риска умеет читать квартальный отчёт и задавать по нему вопросы. Архитектор остаётся на часах, но завод не зависит от него в ежедневной работе. Это та же логика, что и во втором пути из заметки про аналитиков: ваши люди перезапускают настроенные цепочки, а не ждут подрядчика.

Перенос знания требует времени от ИТ-отдела, и это нужно заложить в проект явно. Если владельцу карты не выделили часы на обучение, через год завод окажется в первом сценарии.

Про деньги

Сравнение, которое я привожу собственникам, выглядит так. Центр компетенций это пятнадцать ставок на постоянной основе, из которых большую часть времени загружены три. Конструкция с двумя внутренними ролями это ноль новых ставок, проект на один-два квартала и сопровождение по часам, объём которого в спокойный год сопоставим с одной штатной ставкой специалиста среднего уровня.

Разница не только в сумме. Разница в том, что проект заканчивается, и его результат остаётся на заводе, а ставка не заканчивается никогда. Инвестиционные бюджеты сейчас режут, и на этом рынке проект с конечной датой и переносом знания проходит там, где не проходит штат.

Честные оговорки

• Для крупных компаний автор прав. Холдинг с десятками объектов и постоянным потоком инцидентов должен иметь центр компетенций внутри. Моя конструкция для среднего сегмента, где такой поток отсутствует, а требования те же.

• Внешний архитектор не заменяет дежурную смену. Для значимого объекта первой категории с требованием непрерывного взаимодействия с ГосСОПКА нужен круглосуточный мониторинг, и это либо собственная смена, либо сервисный центр. Архитектор выстраивает, кому и что этот центр должен отдавать, но не дежурит вместо него.

• Я описываю свою модель и продаю её. Конфликт интересов очевиден, и я его не скрываю. Проверить конструкцию можно по одному признаку: предлагает ли архитектор что-то купить до того, как обошёл линию и прочитал инвентаризацию. Если да, это не архитектор.

• Внешних специалистов тоже не хватает. Дефицит кадров бьёт и по консалтингу. Поэтому конструкция рассчитана на то, что архитектор на заводе бывает редко, а владелец карты живёт там постоянно.

Если коротко

• Рецепт центра компетенций из 10–15 человек верен для крупных энергокомпаний и недоступен среднему заводу по деньгам, рынку труда, нагрузке и невозможности оценить кандидата.
• Дефицит ИБ-специалистов в России около 50 тысяч человек и растёт, на стыке с промышленностью глубже. Завод в этой очереди стоит последним.
• Внутри обязательны две роли, а не два найма: владелец риска, обычно главный инженер, который подписывает, и владелец карты из ИТ-отдела, который знает, где что стоит.
• Снаружи берётся архитектор с командой на проект, который не продаёт ни коробок, ни подписок, и после проекта остаётся на часах.
• Подписи распределяются до проекта: категорирование, план перехода, цифровой след, уведомление НКЦКИ, комиссия по аварии, эксплуатация средств защиты. Подпись всегда внутри.
• От аутсорса конструкция отличается переносом знания: после проекта ИТ-отдел умеет вести карту и след сам, а архитектор не нужен в ежедневной работе.

Если у вас объект КИИ, план перехода и модель на линии, а безопасностью занимается системный администратор между заявками, я помогаю выстроить эту конструкцию: назначить роли, распределить подписи, сделать проект и оставить знание на заводе. Обсудить задачу можно через форму. Если у вас уже есть подрядчик и вы хотите понять, не усложняет ли он проект, есть отдельный формат второго мнения за 7–10 дней. Первый разговор ни к чему вас не обязывает.