Да, отдельная работа есть. Информационная безопасность — не только пентест. Ваш опыт больше подходит для процессной и организационной безопасности, где важны учет доступов, регламенты и контроль.

Подходящие должности

• Специалист по управлению доступом (IAM) — выдача и отзыв прав, согласование заявок, проведение ревизий учетных записей.
• Специалист по информационной безопасности — соблюдение требований, подготовка документов, контроль выполнения мер защиты.
• Специалист по соответствию требованиям / GRC — внутренние проверки, оценка рисков, работа с политиками и стандартами.
• Специалист по аудиту ИБ — проверка процессов и документов, поиск несоответствий; иногда нужны технические проверки, но не взлом.
• Администратор средств защиты информации — настройка и сопровождение систем защиты. Тут потребуется техническая подготовка, но пентест обычно не нужен.
• Специалист по защите персональных данных — организация обработки и защиты данных, документы и контроль процессов.

Ищите вакансии по словам: IAM, управление доступом, учетные записи, GRC, комплаенс, аудит ИБ, внутренний контроль, защита персональных данных, документация ИБ. В небольших компаниях обязанности могут быть смешанными, поэтому смотрите описание вакансии: иногда под названием «специалист ИБ» действительно ожидают и сетевые задачи.

На собеседовании можно прямо уточнить, какая доля работы приходится на доступы и документы, а какая — на администрирование, мониторинг и технические проверки. Ваш профиль для таких позиций вполне нормальный.

После специальности «Информационная безопасность автоматизированных систем» без пентеста вы можете работать:

• Администратором прав доступа (IAM-специалист) — настройка и учёт прав пользователей, ролевая модель, аудит доступов.
• Специалистом по документации и политикам ИБ — разработка регламентов, инструкций, ведение записей по требованиям 152-ФЗ, ГОСТ Р ИСО/МЭК 27001.
• Аналитиком compliance / GRC — проверка соответствия стандартам, внутренний аудит, отчёты для руководства и регуляторов.

В крупных компаниях, банках и госструктурах такие роли существуют отдельно и не требуют взлома сетей. В небольших организациях часто совмещают с другими задачами, но можно сразу указывать в резюме фокус на управлении доступами и документации.

Да, отдельная работа есть — и это не «недо-пентест»

Управление доступами и документами по ИБ — это самостоятельное, востребованное направление. Пентест там не нужен вообще.

Типичные должности под ваш профиль:

• Специалист / инженер по управлению доступами (IAM-специалист). Вести учётки, роли, права, ревью доступов, разбор заявок, разбор инцидентов «лишние права». Часто это отдельная команда.
• Администратор СЗИ / администратор ИБ. Настройка и сопровождение средств защиты (антивирус, DLP, SIEM-агенты, средства контроля доступа), ведение политик, разбор событий.
• Специалист по ИБ в организации (in-house). Политики, регламенты, инструкции, работа с персоналом, аудит соответствия (152-ФЗ, приказы ФСТЭК, ISO 27001, ГОСТ).
• Аудитор ИБ / специалист по комплаенсу. Проверки, оценка соответствия, подготовка к аудитам, внутренний контроль.
• Специалист по защите персональных данных. Отдельная ниша: согласия, модели угроз, уведомления в РКН, работа с обработчиками ПДн.
• GRC-специалист (Governance, Risk, Compliance). Риски, политики, соответствие требованиям — почти без техники.

Где это востребовано: банки, госсектор, крупные промышленные и телеком-компании, интеграторы, аудиторские и консалтинговые фирмы.

Про «взломаю сеть»

Опасение понятное, но оно верно только для узкой части вакансий — пентест, red team, SOC-аналитик уровня L2+ с оффенсив-уклоном. В IAM, комплаенсе, аудите, администрировании СЗИ от вас ждут знание требований, аккуратность, умение работать с документами и людьми, а не Metasploit.

Что стоит подтянуть, чтобы расти

• Нормативка: 152-ФЗ, 187-ФЗ (КИИ), приказы ФСТЭК №17, №21, №239, ГОСТ Р 57580 (для финансов).
• Инструменты: IAM-системы (Keycloak, SailPoint, отечественные), Active Directory, SIEM (MaxPatrol SIEM, Kaspersky KUMA, Splunk), DLP.
• Сертификаты (по желанию): CISSP (дорого, но весомо), CISM, ISO 27001 Lead Auditor, отечественные курсы по ПДн и КИИ.
• Английский — открывает вакансии в международных компаниях и GRC.

Короткий вывод

Ваш профиль — это «административно-процессный» ИБ, а не оффенсив. Таких людей меньше, чем пентестеров-энтузиастов, и они стабильно нужны. Если нравится работать с доступами и документами — спокойно стройте карьеру в IAM/GRC/комплаенсе, пентест осваивать не обязательно.

Карьера в ИБ без пентеста

Учёт доступов и документация — это полноценное направление, и спрос на него часто выше, чем на пентестеров. Вот куда смотреть:

Прямые роли

• Специалист по защите информации / ИБ-инженер — внедрение и поддержка СЗИ, мониторинг, инциденты
• Администратор ИБ / GRC-специалист — политики, процедуры, соответствие требованиям (152-ФЗ, ГОСТ, ISO 27001)
• Аудитор ИБ / специалист по комплаенсу — проверки, аттестации, акты, отчёты
• Специалист по управлению доступом (IAM) — как раз ваш кейс: учётные записи, роли, разрешения, периодические перепроверки
• Аналитик SOC L1 — если захочется чуть больше техники, но без «взлома»

Где это ценится

• Банки и финтех — там IAM и комплаенс обязательны по регулятору (ЦБ), отдельные вакансии с нормальным грейдом
• Госсектор и госзаказчики — аттестации, ФСТЭК, документооборот; пентест там редко нужен каждый день
• Крупные корпорации — отделы ИБ часто разделены: одни тестируют, другие ведут учёт и политики
• Консалтинг и аудиторские компании — внешний аудит по стандартам

Про «везде ждут взлом»

Нет. Разделение есть: offensive (пентест, red team) и defensive/GRC (защита, управление, соответствие). Вакансии GRC/аудита/управления доступом обычно прямо так и называются — ищите по запросам:

• «специалист по информационной безопасности»
• «GRC», «комплаенс ИБ»
• «аудитор ИБ», «аттестация»
• «IAM», «управление доступом»
• «специалист по защите информации»

Практический совет

1. В резюме делайте акцент на учёте доступов, документировании, аттестациях, а не на «ИБ вообще».
2. Добавьте знание 152-ФЗ, ГОСТ Р 57580 / ISO 27001, ФСТЭК приказы — это сразу поднимает отклик.
3. Если хотите лёгкий рост — изучите SIEM-инструменты (Wazuh, Splunk) на уровне мониторинга, не атаки.

Пентестеры вакансий меньше, чем кажется, а уметь грамотно вести учёт доступов и документацию — это дефицит в любой организации с регулятором.

Есть много ролей в ИБ, где нужны учёт доступов и работа с документами, и пентест для них не обязателен. Вам можно смотреть в сторону таких направлений:

Подходящие роли

• Специалист по управлению доступом (IAM / IAM-аналитик). Учёт учётных записей, ролей и прав, проверка их соответствия, настройка процессов выдачи и отзыва доступа. Часто стартовая точка в ИБ.
• Аналитик по соответствию (compliance, GRC-специалист). Работа с требованиями 152-ФЗ, приказами ФСТЭК, ГОСТ, стандартом ISO 27001. Подготовка политик, регламентов, отчётов для аудита.
• Специалист по защите персональных данных. Ведение документов по ПДн, модели угроз, журналы доступа, уведомления в регулятор, взаимодействие с аудиторами.
• Инженер по информационной безопасности (администратор СЗИ). Эксплуатация средств защиты: учётные записи, журналы, настройка прав, контроль выполнения регламентов. Атаковать сети здесь не нужно.
• Аудитор ИБ (внутренний аудит). Проверка процессов и выполнения требований, оформление актов и рекомендаций.
• Специалист SOC (аналитик мониторинга, Level 1). Разбор событий в SIEM, работа по регламентам и заявкам. Навыки учёта и аккуратной документации здесь очень полезны.

Как не упереться в пентест

• При отклике указывайте в резюме именно учёт доступов, документацию, работу с регламентами. Это реальный опыт, а не запасной вариант.
• Ищите вакансии по запросам «IAM», «GRC», «соответствие 152-ФЗ», «администратор СЗИ», «специалист по ПДн».
• Полезные сертификаты для этих ролей: ISO 27001 Lead Implementer/Auditor, CISA или CISM (для аудита и управления), сертификаты по IAM-решениям (например, по Active Directory или Microsoft Entra ID).

Пентест в ИБ не единственное направление: многие компании ищут именно людей, которые умеют выстраивать процессы и вести документацию.

Специалист по контролю доступа, администратор информационной безопасности, специалист по управлению рисками ИБ, специалист по документации ИБ, специалист по защите персональных данных, аналитик SOC, специалист по управлению учетными записями

Попробуй рассмотреть вакансии специалиста по информационной безопасности, администратора доступов или специалиста по иб документации