Специалист по GRC (управление рисками и комплаенс)

Практически весь метод. Ты уже тестируешь контроль, а не веришь словам; ведёшь рабочие документы; формулируешь замечание так, чтобы его нельзя было оспорить; следишь за устранением до закрытия. «Остаточный риск» и «компенсирующая мера» — твой рабочий язык, а не термины из курса. Опыт сопровождения внешней проверки переносится целиком: меняется предмет, не роль. Это самый короткий латеральный переход во всём каталоге.

Предметная область: чем именно являются те контроли, которые ты будешь тестировать. Нужно понимать устройство учётных записей и прав доступа, сегментацию сети, резервное копирование, журналирование и классы средств защиты — на уровне «вижу, что мне показывают, и понимаю, чего мне не показали». Плюс замена финансовой нормативки на ИБ-шную: 152-ФЗ и подзаконка, приказы ФСТЭК 17/21/239, 187-ФЗ и категорирование КИИ, для банка — ГОСТ Р 57580 и положения ЦБ. Это месяцы, не годы.

Ты уже живёшь в нормативном тексте: находишь применимый пункт, отличаешь обязательное от рекомендованного, пишешь документ для недоброжелательного читателя, отвечаешь на запросы регулятора. Если ты ведёшь 152-ФЗ — политику обработки, согласия, уведомление в Роскомнадзор, договоры с обработчиками, — ты уже делаешь примерно четверть работы GRC-специалиста и просто не называешь это так. Умение спокойно разговаривать с проверяющим переносится полностью.

Техническая половина 152-ФЗ, которую юрист обычно не трогает: приказы ФСТЭК 21 и 17, уровни защищённости, модель угроз, состав организационно-технических мер — то есть переход от «что должно быть написано» к «что должно быть настроено и как это проверить». Плюс всё, что за пределами персональных данных: 187-ФЗ и категорирование КИИ, управление рисками как отдельная дисциплина с реестром и планом обработки, для банков — ГОСТ Р 57580. И одна привычка: юрист чаще проверяет документ, GRC-специалист проверяет, что описанное в документе действительно происходит.

Главная профессиональная привычка отрасли у тебя уже есть, и её труднее всего поставить с нуля: утверждение без подтверждающего документа не считается. Ты умеешь закрывать период к дате, собирать первичку у людей, которые не торопятся, готовиться к проверке и объяснять проверяющему, откуда взялась цифра. Ты знаешь внутреннее устройство компании — кто согласует, где лежит приказ, как на самом деле оформляется приём и увольнение, — а это ровно те процессы, вокруг которых строится половина организационных мер защиты. Умение посчитать потерю и обосновать затраты — язык, на котором в этой отрасли разговаривают с руководством.

Предметная база с нуля: учётная запись, домен, права доступа, резервная копия, журнал событий, классы средств защиты — не чтобы настраивать, а чтобы понимать, что тебе показывают, и замечать, чего не показали. Дальше нормативка: 152-ФЗ и приказы ФСТЭК, 187-ФЗ и КИИ, основы управления рисками. И одно неочевидное различие: в бухгалтерии правильный ответ существует, здесь его часто нет — есть несколько приемлемых, у каждого своя цена, и его надо обосновать, а не найти. Первые месяцы это раздражает сильнее, чем любая терминология.

Ты уже выдерживаешь поток однотипных разборов, где почти всё оказывается пустым, и не бросаешь эту работу — квартальный цикл здесь устроен так же, только медленнее. Работа по регламенту и в срок, эскалация, отчётность регулятору и подготовка подтверждающих документов по запросу — это буквально та же дисциплина доказательства, а нормативные акты ЦБ тебе уже не чужие. Плюс редкая вещь: ты знаешь банк изнутри — как проходит платёж, кто согласует, где реально лежит риск. Банки — крупнейший работодатель в этой роли на российском рынке, и отраслевое знание там весит больше, чем ещё один сертификат.

Предметка по информационной безопасности: устройство ИТ-инфраструктуры и мер защиты на уровне понимания, ГОСТ Р 57580 и оценка соответствия (проводится раз в один-три года и длится от двух недель до трёх месяцев), 152-ФЗ и приказы ФСТЭК, управление рисками как отдельный процесс. И смена позиции: в операционной роли ты исполняешь регламент, здесь ты его пишешь и потом добиваешься исполнения от других. Это другая работа с людьми — гораздо более неудобная, потому что у тебя нет над ними никакой власти.

Главный навык профессии у тебя уже есть: добиваться действия от людей, которые тебе не подчиняются, у которых свои сроки и свои премии — здесь это не «часть работы», это и есть работа. Ты пишешь документы, которые потом оспаривают — ТЗ, протоколы, планы, и переводишь между бизнесом и техникой в обе стороны. Ты знаешь, как в компании реально принимаются решения, а не как нарисовано на схеме.

Предметная часть целиком: российская нормативка (152-ФЗ, приказы ФСТЭК, 187-ФЗ и КИИ, для финансов — ГОСТ Р 57580), управление рисками как метод, устройство мер защиты. И переключение роли, которое даётся тяжелее знаний: проект кончается, а контроль — нет. Здесь нет момента сдачи и забвения — тот же пересмотр доступов вернётся через квартал, и удовлетворение «сдал и закрыл» получить негде.

Режим, пропускной порядок, инструкция на каждый случай и доклад по факту — это организационный контур защиты информации почти дословно, и ты им уже занимаешься. Тебе привычно, что документ и подпись имеют значение, а «я сделал» без записи не считается; умеешь писать так, чтобы к тексту не придрались при разборе; читаешь нормативный документ как рабочий инструмент, а не как препятствие. Если проверяешь контрагентов — это готовый навык оценки поставщиков, отдельный и растущий блок работы. Отдельно: часть работодателей — госструктуры, банки, лицензиаты ФСТЭК — опыт службы и готовность к оформлению допуска скорее открывают, чем закрывают.

ИТ и информационная безопасность как предмет: инфраструктура, учётные записи и права, средства защиты, журналирование — на уровне понимания, не настройки. Современная нормативка в её технической части: приказы ФСТЭК 17/21/239, 152-ФЗ, категорирование КИИ по 187-ФЗ. И самое непривычное — способ добиваться результата: здесь нет подчинения и приказа, есть переговоры с равными, которые могут просто не сделать, и им за это ничего не будет. Это перестройка, а не доучивание.

Половина этой работы — объяснять людям, которые не обязаны понимать и не очень хотят слушать: обучение сотрудников, разбор политики с подразделением, интервью с аудитором, вводный инструктаж новичкам. Ты умеешь держать аудиторию, которой неинтересно, и в отрасли это редкость. Ты пишешь методический текст — то есть документ, устроенный так, чтобы по нему действовал другой человек, и составляешь программу с нуля; политика и регламент устроены так же. Программа повышения осведомлённости — обязательное требование в банковских и КИИ-контурах, и её обычно пишет тот, кто никогда не преподавал.

Всё предметное: ИТ-основы, устройство мер защиты, российская нормативка, управление рисками. И темп обратной связи: у преподавателя результат виден на занятии и на проверочной работе, здесь — через квартал, а иногда не виден вовсе. Плюс жанр разговора: вместо мотивированной аудитории будет взрослый человек старше тебя по должности, который считает твой инструктаж потерей часа.

Ты заходишь с той стороны, с которой эта роль обычно слепа: знаешь, как права выдаются на самом деле, почему уволенный три месяца остаётся в системе, что такое резервная копия, которую ни разу не восстанавливали, и как выглядит настройка, о которой в политике написано, что она есть. Собеседник не сможет отделаться формулировкой, и это делает тебя сильнее ровно там, где непрофильные кандидаты слабы. Ты уже живёшь в потоке заявок и сроков, умеешь объяснить пользователю то, что ему неинтересно, и знаешь свою отрасль изнутри.

Нормативка целиком — 152-ФЗ и приказы ФСТЭК, 187-ФЗ и КИИ, ГОСТ Р 57580 — и метод: управление рисками, тестирование контроля, сбор свидетельств, ведение реестра, подготовка к оценке. Но главное не это: администратор чинит сам и быстро, а здесь ты не чинишь вообще — ты описываешь, требуешь и ждёшь квартал. Для многих сисадминов это оказывается тяжелее любой нормативки, и об этом честнее узнать до перехода, а не на третьем месяце.

Ты умеешь свести выгрузки и показать в них расхождение — а половина сбора свидетельств здесь это и есть: выгрузка прав доступа против списка сотрудников, список привилегированных учёток против списка согласований, журнал изменений против заявок. Там, где остальные спрашивают у владельца системы и верят, ты можешь проверить самостоятельно. Ты умеешь объяснить бизнесу, почему цифра поехала, и посчитать эффект — это язык обоснования затрат на защиту.

Нормативка и метод — 152-ФЗ, приказы ФСТЭК, 187-ФЗ, управление рисками, для международного контура ISO 27001. И, что важнее, другой тип работы: в аналитике ты работаешь с данными, здесь — с людьми, которые эти данные тебе не отдают. «Выгрузку сделаю в следующем спринте» будет твоим постоянным фоном, и ускорить это техническим способом нельзя.

Выносливость к потоку однотипных обращений у тебя уже доказана, и ты не бросаешь эту работу — квартальный цикл здесь устроен так же, только растянут во времени. Ты умеешь говорить с человеком, у которого всё сломалось и он злится, и объяснять то, что собеседник не обязан понимать. Ты видишь изнанку компании: кто как получает доступ, кто с кем делится паролем, что происходит при увольнении — то есть заранее знаешь, где именно свидетельства окажутся неудобными. Это один из двух реальных выходов с первой линии, и он не требует лаборатории и мощного ноутбука.

Всё предметное: нормативка, управление рисками, устройство мер защиты, метод сбора свидетельств и подготовки к проверке. И главное отличие: в поддержке ты отвечаешь на чужой запрос, а здесь неудобный разговор инициируешь ты и ведёшь его до конца, в том числе с человеком старше тебя по должности, который вправе сказать «не сейчас». Это другая социальная роль, и она даётся не всем.

Оценка поставщиков и контрагентов — отдельный и постоянно растущий блок этой работы, и ты им уже занимаешься: проверить компанию по открытым источникам, сопоставить реестры, не поверить первой ссылке. Ты умеешь отделять подтверждённое от заявленного и писать текст, который кто-то будет оспаривать — это ровно жанр заключения по поставщику и раздела «выводы» в отчёте об оценке.

Предмет и нормативка полностью, метод управления рисками, устройство мер защиты. И работа с внутренней бюрократией вместо расследования: материал заканчивается публикацией, а контроль не заканчивается никогда — тот же поставщик придёт на пересмотр через год, с теми же незакрытыми замечаниями, и «мы уже писали об этом» здесь не аргумент.

Пропускной режим, журнал происшествий, инструкция на каждый случай, доклад по факту — это организационные меры защиты в чистом виде, только про двери, а не про учётные записи; логика контроля, свидетельства и разбора у тебя уже рабочая. Ты читаешь инструкцию как инструмент и умеешь сказать «нельзя» человеку, которому очень надо, не превращая это в конфликт — здесь это ежедневное занятие.

Разрыв здесь самый большой из перечисленных: ИТ-основы с нуля, устройство инфраструктуры и мер защиты, вся нормативка по информационной безопасности, метод управления рисками. Переход реален, но он длиннее остальных. Честнее ставить первым шагом не должность специалиста по соответствию, а любую роль внутри подразделения безопасности, где твой нынешний опыт засчитывается сразу — организационная документация, режим доступа, инструктажи, — и уже оттуда добирать предметную часть.