От PM к безопасности: что действительно переходит

Менеджеры проектов, думающие о переходе в кибербезопасность, часто предполагают, что они начинают с нуля. Это не так. Soft skills, которые делали вас хорошим менеджером проектов — управление заинтересованными сторонами, отслеживание рисков, координация инцидентов — напрямую применяются к работе в области безопасности. Чего не хватает, это технический фундамент, и этот пробел закрываем за 12-18 месяцев, если подходить к этому целенаправленно.

Что действительно переходит

Если вы управляли проектом с реестром рисков, вы уже понимаете базовую логику оценки безопасности: определите актив, оцените вероятность и влияние, решите тактику (принять, снизить, передать, избежать). Команды безопасности используют ту же самую схему, просто применяя её к системам вместо результатов работы. NIST's Risk Management Framework и ISO 27005 — это формализованные версии того, что сертифицированный PMP менеджер проектов уже делает интуитивно.

Управление инцидентами — это ещё одно пересечение. Проведение war room во время простоя на производстве структурно похоже на проведение такого же совещания во время события с ransomware: кому-то нужно управлять коммуникациями, кому-то отслеживать временную шкалу, кому-то принимать решения под давлением без полной информации. Команды безопасности называют это incident command; вы можете узнать его как управление кризисом с другой терминологией.

Контроль над поставщиками и контрактами также хорошо переносится. Управление рисками третьих сторон — проверка SaaS-поставщиков, анализ SOC 2 отчётов, ведение переговоров по пункам безопасности в контрактах — это растущая специализация внутри GRC (управление, риск и соответствие) ролей, и она вознаграждает того, кто уже знает, как читать контракт и управлять отношениями с поставщиком.

Технический пробел, который вы не можете пропустить

Вот где большинство переходов из PM в безопасность зависают: вы не можете управлять SOC, анализировать отчёт о penetration test или определять объём плана исправления уязвимостей без понимания того, что под этим находится. Вам нужны практические знания о сетях (TCP/IP, DNS, как брандмауэр действительно фильтрует трафик), базовая командная строка Linux и как работают уязвимости из OWASP Top 10 на практике, а не просто как пункты в слайде.

Это не значит стать penetration tester. Это значит быть способным читать вывод сканирования Nessus или Qualys и понимать, почему отсутствующий патч на port 445 имеет значение, или почему неаутентифицированный Redis экземпляр, открытый в интернет — это чрезвычайная ситуация. Потратьте время на home lab: запустите несколько VM в VirtualBox, установите pfSense как брандмауэр, запустите Wireshark против собственного трафика. Концепции приживаются быстрее, когда вы что-то сломали сами.

Сертификаты, которые имеют смысл на этом пути

Не прыгайте прямо на OSCP или что-то из offensive-security — это другой трек. Для фона PM последовательность, которая обычно работает, это:

1. CompTIA Security+ — даёт вам словарный запас и базовые концепции по сетям, угрозам и средствам защиты.
2. CISM или CRISC (ISACA) — они ориентированы на управление и риск, что играет на ваши существующие сильные стороны и часто более актуально для GRC или ролей security program manager, чем технические сертификаты.
3. CISSP — в итоге, когда у вас будет какая-то практическая подготовка; для полной сертификации требуется пять лет соответствующего опыта, поэтому это средняя цель, а не стартовая точка.

Избегайте накопления сертификатов вместо опыта. Менеджер по найму на роль Security Program Manager хочет видеть, что вы можете интеллектуально говорить о процессе triage SIEM оповещений, а не то, что у вас четыре аббревиатуры после вашего имени.

Где вы действительно приземлитесь первым

Реалистичная точка входа обычно не