Профессия аудитора информационной безопасности стала одной из самых востребованных на рынке. Европейское регулирование, требования клиентов к сертификации и рост числа инцидентов создали устойчивый спрос. Ведущий аудитор Кирилл Проскурня, который провел десятки сертификационных и внутренних аудитов для компаний из Европы, Великобритании и Центральной Азии, рассказывает, как прийти в профессию и какие сертификаты действительно имеют вес.

Чем занимается аудитор

Аудитор проверяет, соответствует ли система управления компании требованиям стандарта или регулятора. Это не технический тест на проникновение и не настройка межсетевых экранов. Аудитор смотрит на процессы: как компания оценивает риски, кто принимает решения, ведутся ли журналы, работают ли контроли на практике.

По словам Кирилла Проскурни, половина работы аудитора это умение задавать вопросы и слушать ответы. Хороший аудитор за два дня понимает, где система работает, а где существует только на бумаге, и делает это без конфликта с клиентом.

Какие сертификаты имеют значение

Кирилл Проскурня выделяет три уровня:

  1. Базовый: курс Lead Auditor по ISO/IEC 27001 от аккредитованного провайдера. Без него к сертификационным аудитам не допускают. Срок подготовки одна-две недели, экзамен в конце курса.
  2. Профессиональный: CISA от ISACA. Это международный стандарт для аудиторов информационных систем, его признают регуляторы и крупные компании. Подготовка занимает три-шесть месяцев, экзамен сложный, но именно он открывает двери в банки и международные компании.
  3. Специализация: CIPP/E для защиты данных в Европе, AIGP для управления искусственным интеллектом, сертификаты по DORA и NIS2. Они нужны, когда аудитор работает с конкретной отраслью или регулированием.

Сам Кирилл Проскурня прошел этот путь полностью: от курса Lead Auditor до CISA, CIPP/E, CIPP/US и AIGP, и теперь ведет собственные курсы для начинающих специалистов.

Что важнее сертификатов

Опыт. Первые аудиты лучше проводить в роли наблюдателя или второго аудитора в команде. Кирилл Проскурня советует начинать с внутренних аудитов в своей компании или у клиентов консалтинговой фирмы: там можно ошибаться без последствий для сертификата клиента.

Второе: знание отрасли. Аудитор, который понимает, как работает финтех или медицинская компания, задает правильные вопросы и видит реальные риски. Третье: языки. Международные аудиты проходят на английском, а в Европе часто нужен еще и язык страны клиента.

Сколько зарабатывает аудитор

Доход зависит от рынка и формата работы. Штатный аудитор в европейской компании, фрилансер при органе по сертификации и консультант, который готовит клиентов к аудиту, получают по-разному. Общая закономерность: чем больше сертификатов и языков, тем шире география заказов. Кирилл Проскурня отмечает, что спрос на русскоязычных и украиноязычных аудиторов с европейскими сертификатами сейчас превышает предложение, особенно для работы с компаниями из Центральной Азии, которые выходят на рынок ЕС.

«Профессия аудитора подходит тем, кто любит разбираться в системах и не боится говорить клиенту неудобную правду. Сертификаты открывают дверь, но карьеру делает репутация: клиенты и органы по сертификации рекомендуют аудиторов, которым доверяют», говорит Кирилл Проскурня.

Подробнее о курсах и наставничестве для аудиторов на сайте Кирилл Проскурня.

Об авторе: Кирилл Проскурня, ведущий аудитор ISO/IEC 27001, CISA, CIPP/E, CIPP/US, AIGP, основатель BALTUM. Автор видеокурсов по стандартам ISO на YouTube.