Криминология для самых маленьких

Неочевидный для меня разворот о котором я стал думать только сейчас Поскольку у социологии профессий есть «бенчмарки» для изучения вроде врачей и юристов мне хотелось попробовать соотнести работу пентестеров с их трудом. И о чем я вспомнил: когда я собирал данные год назад я стал регулярно сталкиваться с образом «бумажного безопасника» о котором говорили информанты. В целом это можно считать скорее пейоративом, хотя бывали и позитивные коннотации. Бумажная безопасность — это про комплаенс, законодательство и написание документации, которая нужна регуляторам. При этом для многих она казалась нежеланной рутиной и профессиональной болью. Обычно истории делились на два типа. Во-первых, люди с надрывом описывали то, что университетское образование по информационной безопасности к удивлению посвящающегося в ремесло студента оказывается переполнено чтением и созданием правовых документов. Обучение этому описывалось как что-то более простое чем занятия «результативной безопасностью», когда из вас действительно делают тех, кто взламывает. Если в твоей программе в вузе перевес первого — значит ты упускаешь второе, а оно куда важнее для развития в сфере. Во-вторых, на уровне практик «бумажный безопасник» появлялся там, где формализация довлела над творчеством и поиском. Мой первый информант весь наш разговор уверял меня, что мои попытки построить модель того, как пентестеры ищут уязвимости никогда не станут успешны: нельзя формализовать интуицию. А если можно, то это уже не интуиция — это малоинтересная и не очень качественная работа по правилам. Апофеоз формализации здесь — словарь ФСТЭК. Поскольку мне было интересно писать о рисках, я порой использовал это слово в разговорах — и натыкался на технические определения из мира менеджмента (который в российском случае перенесся в мир регуляторов и правоприменителей). Получается, что юрист — тот на ком во-многом был построен баундари-ворк моих информантов. Чем ближе пентестер к воображаемому юристу — тем меньше он хакер.