Проанализировал вакансию Head of DevOps в «Динамике», hh.ru/vacancy/139271496. Компания делает low-code платформу для банков, вакансия от 9 ноября, удалённо. Открываю блок «Чем предстоит заниматься»: двенадцать пунктов, вакансия в целом приятная, с метриками поставки и закрытыми контурами. Спотыкаюсь на двух пунктах.

«Построить систему информационной безопасности внутреннего контура: сегментацию, управление доступами, MFA, ведение журналов, управление уязвимостями и секретами». И следом: «Обеспечить соответствие требованиям 152-ФЗ по защите персональных данных: определить места хранения ПДн, регламентировать доступы, внедрить маскирование на стендах, подготовить необходимые документы». Это работа ИБ-специалиста и комплаенса, а не рутина DevOps-инженера.

Один пункт про ИБ, другой про 152-ФЗ.

Одиннадцать строк требований: шесть лет в DevOps или SRE, GitLab, Java-приложения и Maven, Docker и Kubernetes, Ansible, PostgreSQL и Liquibase, сеть, LDAP и Keycloak, Prometheus с Grafana, поставка on-premise в изолированные контуры. Про сегментацию, MFA, секреты и ПДн ни слова. В плюсах: «Опыт работы с банками и знание требований ГОСТ Р 57580, 152-ФЗ, ФСТЭК, а также процедур приёмки и сертификации». Задача обязательная, опыт необязательный. И там же девять инструментов доставки в одну строку: GitLab, Jenkins, Archiva, Jira, Confluence, Wiki, Redmine, TestIT, Kaiten, четыре из них про задачи и базу знаний.

В командах, где я руководил, ИБ-контур всегда жил отдельно от DevOps: свой человек, свой бюджет, свой доступ. Смешаешь две роли в одну, получишь две роли по половине бюджета, первая заберёт своё по SLA, а ИБ уедет в конец списка. Считаю, что такая вакансия ищет человека, который умеет всё, и по факту это две вакансии.

Если вы HRD и ищете Head of DevOps под банковский контур, я бы дописал в требования две строки: «опыт построения ИБ-контура: доступы, MFA, журналы» и «соответствие 152-ФЗ: места хранения ПДн, работа с тестовыми данными». Без них вы получите либо ИБ-специалиста, который не умеет в пайплайны, либо DevOps-инженера, который пообещает приёмку с ГОСТом, а потом не приедет.