А я уж подумал это по новой только утвержденной методике нормальную модель угроз способны разработать 1.5 конторы в стране )

По-моему ты правильно прочитал :)

Так и есть

У меня нет профильного образования в ИБ. Человек, который организовал работу пентестеров сперва в Информзащите, потом у нас, по образованию железнодорожник. Первая пара десятков специалистов, из которых вырос наш исследовательский центр и нынешняя пентестерская команда, профильного образования по ИБ не имела - в то время выпускники профильных факультетов для такой работы были профнепригодны. Даже сейчас "профессиональных ИБшников" среди них сильно меньше половины :)

Способность человека нормально разобраться в моделировании угроз и в защите от этих угроз  определяется не дипломом, а горящими глазами и желанием разбираться в предметной области.

Другое дело, что для того, чтобы таких людей себе найти, этим нужно всерьез озадачиться.  Гендир предприятия таким заниматься не будет, а вот главному безопаснику сам бог велел или самостоятельно начинать разбираться в вопросе, или искать толкового помощника :)

Я вижу требования НПА, ты опять про какую то другую вселенную.

"Вам шашечки, или ехать?" :)

Я отвечаю на "у СУКИИ нет ресурсов для практического моделирования угроз"

Главный безопасник - ФСБшник. Занавес....

Уж извините, но подавляющее большинство пентестеров умеет только ломать. Строить и защищать они не умеют от слова совсем, да и не интересно им это.

И я так и не понял, какой НПА мешает тебе взять на работу пацана лет 26 через три года после получения диплома.  Самое то, когда ценз по стажу он уже проходит, а желание учиться профессии еще не пропало

не будет ни шашечек ни движения

А модель угроз - это как раз про "ломать" :)

Если не двигаться - не будет, естественно.

а, уже лучше. уже не сразу, а через три года. А еще не забываем про про подтвреждение "практический опыт
оценки информационных рисков". Много лицензиатов ТЗКИ сможет выполнить такие квалификационные требовнаия?

Нет такого требования в НПА.

Мои ответ ыне читаешь? я уже выше процитировал требование дословно. - Для организации работы экспертной группы рекомендуется определять
специалиста по защите информации (обеспечению информационной
безопасности), имеющего стаж работ не менее трех лет и практический опыт
оценки информационных рисков.

Человек с горящими глазами и задатками пентеста в большинстве случаем сбежит из типового СКИИ не дотерпев до окончания испытательного срока. Слишком много монотонной текучки :)

Читаю. Есть рекомендация. Хорошая рекомендация, поддерживаю.  Требования - нет

А эту текучку ему кто создает? :)

Я утверждаю, что человеческий ресурс для решения этой задачи есть. А если субъект не умеет работать с людьми, то это его личная половая драма :)

Дмитрий, давай ближе к делу. Сейчас в СуКИИ есть специалист безопасности с 72 часами повышения квалификации. Он ничего сделать не сможет. Даже если глаза гореть будут

Текучку создаёт жизнь. Выделять ШЕ с нормальной ЗП для молодого и перспективного, да ещё и с тепличными условиями, это точно другая вселенная :)