Если вы хотите стать специалистом по информационной безопасности без программирования, присмотритесь к направлению GRC — Governance, Risk and Compliance, или «управление, риски и соответствие». Такие специалисты оценивают риски, пишут политики, готовят компанию к проверкам и следят, чтобы защита соответствовала законам и стандартам. Код здесь писать не нужно, но понимать, как устроены системы и сети, всё равно придётся. Это хороший вход для юристов, аудиторов, менеджеров и всех, кто сильнее в анализе и текстах, чем в технике.
Чем занимается GRC-специалист
Оценка рисков. Какие активы есть у компании, что им угрожает, насколько это вероятно и чем грозит. Результат — реестр рисков и план мер.
Политики и регламенты. Правила доступа, работы с паролями, удалённой работы, реагирования на инциденты — так, чтобы их можно было выполнить, а не просто положить в папку.
Соответствие требованиям. Проверка, что компания выполняет нормы законов, требования регуляторов и выбранных стандартов, например ISO/IEC 27001.
Аудит. Внутренние проверки и подготовка к внешним.
Оценка поставщиков. Насколько безопасно передавать данные подрядчику.
Обучение сотрудников. Программы повышения осведомлённости.
Кибербезопасность и право: какие законы нужно знать
GRC-специалист работает на стыке техники и права. Базовый набор для России:
152-ФЗ «О персональных данных» — правила обработки и защиты сведений о людях. С ним сталкивается почти любая компания.
187-ФЗ «О безопасности критической информационной инфраструктуры» — касается организаций в ключевых отраслях, таких как энергетика, транспорт, связь, финансы.
Статьи 272, 273 и 274.1 УК РФ — ответственность за неправомерный доступ, вредоносные программы и воздействие на критическую инфраструктуру. Их важно понимать, чтобы корректно строить внутренние регламенты.
Помимо законов, есть требования регуляторов и отраслевые стандарты. Их актуальные редакции всегда проверяйте по официальным источникам: нормативная база регулярно обновляется.
Рабочий день GRC-специалиста
Утро — переписка с подразделениями: уточнить, какие данные обрабатывает новый сервис.
Интервью с владельцем системы для оценки рисков.
Работа над документом — обновление политики или подготовка ответа на запрос аудитора.
Встреча с ИТ-командой: согласовать, какие меры реально внедрить и в какие сроки.
Обновление реестра рисков и статусов задач.
Это работа с людьми и документами не меньше, чем с технологиями. Много переговоров и поиска компромиссов. Хороший GRC-специалист не просто требует соблюдать правила, а объясняет, зачем они нужны и как выполнить их с минимальными неудобствами для бизнеса.
Навыки и кому подходит профессия
Навык | Почему важен |
|---|---|
Аналитическое мышление | раскладывать сложную систему на риски и меры |
Работа с нормативными документами | читать законы и стандарты, переводить их в конкретные требования |
Деловое письмо | политики должны быть понятными и выполнимыми |
Базовая техническая грамотность | говорить с инженерами на одном языке |
Коммуникация | убеждать, а не приказывать |
Профессия подойдёт тем, кто любит порядок, систему и ясные формулировки. Сюда часто переходят юристы, аудиторы, специалисты по качеству, проектные менеджеры и бывшие сотрудники ИТ-поддержки.
Вход без опыта: честно
«Без программирования» не значит «без технической базы». На собеседовании вас могут спросить, что такое межсетевой экран, шифрование или резервное копирование, и ответить нужно уверенно. Хорошая новость: эту базу можно освоить за несколько месяцев. Проще всего войти, если у вас уже есть опыт в юриспруденции, аудите или управлении проектами, — его можно «перепаковать» под ИБ. Начальные позиции часто называются «специалист по защите информации», «аналитик по соответствию» или «младший аудитор ИБ».
Ориентиры дохода
Ориентиры, которые мы используем на CYBY: стажёр — от 55 000 ₽, джун — около 120 000 ₽, мидл — около 220 000 ₽, лид — около 520 000 ₽. По данным Positive Technologies и SuperJob (CNews, 2 апреля 2026 года), средняя зарплата специалиста по ИБ в Москве — 230 тыс. ₽, а руководителя службы ИБ — 350 тыс. ₽. Опыт в GRC часто помогает расти именно в управленческие роли.
Как начать
Освойте технический минимум: сети, доступы, шифрование, резервное копирование.
Прочитайте 152-ФЗ целиком — это лучше любого пересказа.
Разберитесь, как устроена оценка рисков, и попробуйте сделать её для вымышленной компании.
Напишите учебную политику, например по работе с паролями, и проверьте, понятна ли она человеку без ИТ-опыта.
Ищите стажировки в отделах ИБ, аудита или комплаенса.
На CYBY есть карьерный трек «Риски и соответствие (GRC)», где AI-ментор отвечает по проверенной базе материалов — удобно, когда нужно разобраться в непривычной терминологии.
Частые вопросы
Действительно можно работать в ИБ без кода? Да, GRC — как раз такое направление. Но техническая грамотность на уровне понимания систем нужна.
Юристу легко перейти в GRC? Знание права — сильное преимущество. Добавить придётся техническую базу и понимание того, как устроены риски ИБ.
Это скучная бумажная работа? Документов много, но смысл в том, чтобы реально снижать риски. Хороший GRC-специалист влияет на решения компании.
Начните без единой строчки кода
Пройдите подбор направления из 10 вопросов на cyby.ai и попробуйте трек GRC на бесплатном тарифе Demo.