Егор Богомолов — "Научить нельзя. Можно только создать условия"

МЕНЮ

Жители

Партнеры

Хакинг как профессия гипотезы
Я долго пытался объяснить людям вне индустрии, почему хакингу нельзя научить так же, как учат бухгалтерии или управлению проектами.

Ответ оказался очень простым:
Хакинг это не профессия алгоритма, это профессия гипотезы. Бухгалтер делает то, что уже описано в стандарте, белый хакер делает то, о чём стандарт ещё не написан.

Егор Богомолов

Генеральный директор и со-основатель "CyberOk"и Singleton Security

Наступательная безопасность живёт там, где

нет готового чек-листа;
нет гарантии, что подход, который сработал вчера, сработает завтра;
нет «правильного ответа» в конце учебника.

И вот здесь классическое образование упирается в потолок.
Вуз может и должен дать основу, ОС, сети, криптографию, питон, C, веб.
Но между этим фундаментом и боевым специалистом — пропасть, которую лекциями не закрыть.

Эту пропасть закрывает только практика, живая, стрессовая, с реальными системами и реальными последствиями ошибок.

30/70: почему настоящий хакинг не помещается в учебный план
В CyberEd мы довольно быстро пришли к правилу, которое сейчас соблюдаем жёстко:

30% обучения — это структурированные программы, курсы, преподаватели.
70% — самостоятельная работа, турниры, полигоны, CTF, общение с комьюнити.

Многие платформы пытаются сделать наоборот, годовые программы, три занятия в неделю, красивый учебный план.

Мы тоже так пробовали.
Результат — взрослые IT‑специалисты просто не выдерживают темп дневного отделения, выгорают, бросают, теряют интерес.

Мы сократили программы до 4 месяцев:

дать основу,
дать понятный план развития,
дать сообщество.

А дальше человек либо растёт, либо нет. Это честно.
Потому что в нашей профессии успех зависит не только от качества программы, но и от задатков самого человека:

настойчивость;
гибкость мышления;
широкий техкругозор;
способность строить гипотезы и не бросать их после трёх неудач.

Этому невозможно «научить» в лоб.
Максимум — создать среду, где эти качества проявляются и оттачиваются.

Среда, главное слово в ИБ-образовании

ИБ‑образование исторически родилось не в аудиториях, а в комьюнити:

сначала — форумы и IRC;
потом — конфы, митапы, закрытые чаты;
потом — курсы, сделанные самими практиками, а не методистами.

Важно понять, обучение белых хакеров работает не там, где есть «программа с сертификатом», оно работает там, где есть живая среда:

где эксперт и студент сидят рядом и разбирают реальный кейс;
где провал на CTF обсуждают за кофе с человеком, который пять лет назад проваливался так же;
где вместо «правильного ответа» есть «давай посмотрим, как это можно было сделать по‑другому».

Полигон в таком контексте — это уже не просто технический тренажёр.
Это социальный институт, точка концентрации опыта, ошибок, гипотез и чужих шишек.

МАКОРРАТ как образовательный полигон

Сегодня в России по‑настоящему "боевых пентестеров" считаные тысячи человек. При этом страна объективно в топ‑3 по наступательной кибербезопасности.

Парадокс в том, что система, которая рождает таких специалистов, почти не институционализирована. Полноценной национальной системы сертификации offensive‑специалистов нет: рынок по‑прежнему ориентируется на OSCP, CEH, Burp/OffSec‑сертификации и репутацию в комьюнити.

Заслужить доверие нельзя:

ни за год,
ни одним указом,
ни одной линейкой курсов.

Западные центры шли к этому тридцать лет.

Мы свой путь только начинаем — и он точно будет идти не только через ФГОС и профстандарты, а через живые места, где культура передаётся «из рук в руки».

Вот здесь появляется МАКОРРАТ Это цифро‑физическая инфраструктура, которая позволяет:

собирать реальные кейсы из банков, e‑commerce, систем городских админисмтаций
превращать их в сценарии для полигонов, а не в «стерильные кейс‑стади»;
сажать за один стол CISO банка, основателя стартапа и начинающего пентестера — не на конференции раз в год, а регулярно, в резиденциях по всей стране.

Человек может:

не просто послушать лекцию о SOC или социнженерии,
а увидеть, как конкретная атака проходила цепочку от фишинга до lateral movement;
попробовать повторить её на полигоне под присмотром эксперта;
тут же обсудить, что он сделал не так и как делают «по‑взрослому».

Это прямое попадание в главный разрыв российского ИБ‑образования:
между теорией и опытом.

«Научить нельзя» как инструкция к действию

Мне часто задают прямой вопрос: — "Сколько времени нужно, чтобы «вырастить с нуля» хорошего специалиста по наступательной безопасности?Честный ответ с нуля — никак.

По опыту CyberEd:

75–80% наших студентов старше 25 лет;
у всех уже есть IT‑бэкграунд — разработка, тестирование, администрирование
Они приходят не за азбукой.
Они приходят за сменой угла зрения.

Дальше математика такая:

до уверенного мидла — 1,5–2 года, при условии, что человек «горит» и делает больше, чем от него требуют;
до сильного сеньора — 4–5 лет практики, ошибок, CTF, проектов и ревью от коллег.

Но главное не срок, а способность работать в условиях неопределённости:

не паниковать, когда «алгоритм закончился»;
уметь построить гипотезу там, где учебник молчит;
гарантировать заказчику не «я взломаю всё», а конкретный набор проверок, конкретный процент покрытия и прозрачный результат.

Это и есть зрелость.И она не появляется из курса — она появляется из среды.

«Научить нельзя. Можно создать условия» — как миссия

В этом смысле наша задача как CyberEd и Singleton Security — не «произвести тысячу пентестеров в год».

Наша задача — строить экосистему, где:

сильным специалистам есть где делиться опытом без потери времени;
новичкам есть куда прийти за честной обратной связью, а не только за сертификатом;
бизнесу есть, где проверить свои системы на полигоне, а не в продакшене.

Пространства: Кибердом и Киберэтаж — это узлы такой экосистемы:

физические пространства, в которых безопасники, хакеры, основатели и регуляторы говорят на одном языке;
киберполигоны, где учебный сценарий максимально близок к реальному;
Кибергостиные, где доверие строится не по регалиям, а по совместным делам.

Научить нельзя.

Можно только создать условия, в которых тот, у кого есть задатки, дорастёт до уровня, который нужен новой экономике — быстро, честно и без иллюзий.

Именно эти условия мы и строим.

Егор Богомолов

CEO CyberEd и Singleton Security
белый хакер, OSCP/CEH, управляющий директор одной из ведущих образовательных платформ по кибербезопасности в России.

к другим персонам на главную страницу