Привет, дорогие хабровчане! Меня зовут Илья Лощаков. Я работаю инженером-автоматизатором процессов безопасной разработки в InfoWatch — то есть, devsecops’ом. Расскажу личную историю о том, как я кардинальным способом справился с процессуальным выгоранием, будучи ручным тестировщиком. Не всем подобный путь может подойти, но может кто-то почерпнет для себя полезное, а может даже вдохновится на перемены. А может и нет. В общем, как говорила Наталья Морская Пехота СТАРТУЕМ!
До момента, когда вдруг ощутил, что теперь мне это в тягость, я проработал ручным тестировщиком 6 лет. Для выполнения даже простых задач, которые раньше делались на раз-два, теперь приходилось себя перебарывать и прикладывать значительные усилия. Разъедало чувство вины за то, что могу делать больше, а делаю все меньше. Вдобавок все интересное из работы тестировщиком исчезло. Осталось только написание тест-кейсов — регресс — актуализация тест-кейсов — цикл «повторить» до появления «синего экрана смерти» в мозгу.
Я пробовал развиваться в разных направлениях — разработка, автоматизация тестирования. Не зашло. Пробовал в нагрузочное тестирование — тоже не заинтересовался. Начал читать книжку для аналитиков, но понял, что работа с документами не мое. Вроде все логичные ветки развития перебрал, а ничего не подходит. И тут встал вопрос, — а чего мне хочется? Я думал, что немного новизны сможет развеять мои упаднические настроения, поэтому написал заявление на увольнение по собственному желанию.
Поскольку за время сидения дома в период ковида я почти разучился говорить, начал бегать на четвереньках и есть сырое мясо прямо с пола, то нужно было очеловечиваться. Стал искать компанию c обязательной работой в офисе. Также смотрел, чтобы тестируемый продукт как можно сильнее отличался от того, с чем я работал раньше. Несмотря на то, что улицы наводнили тестировщики, только прошедшие курсы — подходящее место я нашел быстро. И платили там больше, чем на прошлом.
Крутое пике
Забегая вперед и перефразируя вступление одной из рубрик легендарной телепередачи, последующие полгода я могу описать так: «Кукуха 29-летнего мужчины терпит крушение над водами атлантического океана в течение 325 серий. Экипаж лайнера отважно борется за спасение жизни пассажиров».
Я вышел на новое место. Новый офис, новый продукт, новые люди — вроде всё хорошо, и денег больше будут платить. Уже на третий день понял — дело не в месте, а в том, что мне просто надоело быть тестировщиком. И с этим надо что-то делать. Ранее я рассматривал вертикальное и горизонтальное развитие, и знал, что попытки двигаться в одном из тех направлений обречены на провал — просто неинтересно. Я задал себе вроде простой вопрос: чего я хочу от работы? Над ответом пришлось подумать. Выделил несколько важных для себя пунктов будущей профессии:
1. Деньги и стабильность. Я привык к определенному образу жизни — снижать его не хочется. Еще не хотелось, чтобы мой кот откусил мне пятку из-за того, что у меня нет денег на его любимый корм для чувствительного пищеварения.
2. Должно быть интересно. Одно из ключевых условий счастья — люби то, что делаешь и делай то, что любишь.
3. Новизна в работе. Собственно, однообразие и привело меня в то неприятное состояние, в котором я оказался. Хотелось, чтобы такого больше не произошло.
4. Перспективы и варианты дальнейшего развития в выбранной области. Жизнь не стоит на месте — нужно всегда куда-то двигаться. Желательно вперед. Хочется развиваться в рамках профессии.
5. Востребованность и сейчас, и в будущем. Мир всё время меняется. Одни профессии исчезают, другие появляются — не хочу оказаться представителем вымирающих видов.
Каков путь
Мне в голову пришел только один вариант, соответствующий всем пунктам — уйти в пентестеры. Немного загуглил вопрос и понял, что обучаться придется минимум пару лет, — и это с учетом того, что все свое свободное время буду уделять учебе. Решил, что все равно вариантов нет: начал неспеша окунаться в мир информационной безопасности.
Как это обычно бывает, чем больше я узнавал, тем отчетливее осознавал, как мало знал о мире ИБ. К примеру, всю жизнь думал, что безопасник — это такой человек-оркестр, который и периметр компании может защитить, и пентест продукта сделает, и документы на соответствие ГОСТ проверяет. Как оказалось, я был не прав. В ИБ много различных направлений и специальностей. Причем для одной и той же специальности требования в вакансии могут сильно различаться.
Я продолжал страдать на новой работе. Понял, что было бы проще, если желаний пойти в ИБ пришло ко мне на прошлом рабочем месте, но дело уже сделано. На работе я пытался влиться в процессы, а после работы — влиться в ИБ. Вливание в ИБ я начинал с общих вещей: стандарты ISO/IEC, отечественные ГОСТ и прочая регуляторика. Осознал, что «бумажная» безопасность — это совсем не мое. Да и непонятно, где она кроме банков нужна.
Далее я перешел к более практическим вещам. Нашел различные сервисы с лабораторными работами по поиску уязвимостей в приложениях и начал — по мере сил — заниматься ими. Но времени на всё было мало, а сил как будто и того меньше. Постепенно узнавал новое и появлялась хоть и совсем маленькая, но уверенность что я все-таки могу.
Неожиданный поворот
После двух месяцев на новой работе мне сказали — я не прохожу испытательный срок. Это стало легким шоком, поскольку работу я выполнял исправно. Были интересные моменты. Например, когда я написал тест-кейсы по задаче, а наставница говорила, что надо по-другому. Вместо меня правила их, а потом уже руководитель мне говорила, что надо писать опять другому — именно так, как я писал изначально. В общем, история странная и в подробности я вдаваться не буду, но осадочек остался.
После этой неудачи я понял, что более-менее набрался знаний в ИБ и решил разместить резюме в этой области. Откликов было не густо — точнее, их практически не было. В итоге меня пригласили на собеседование в одну компанию и дали тестовое задание.
Меня рассматривали на проект по маскированию данных — это когда в базе данных изначально указан Иванов Иван, а его нужно замаскировать под Васю Пупкина. В тестовом задании я должен написать регулярные выражения для поиска в тексте персональных данных — ФИО, ИНН, КПП, данные паспорта и т.д. В сумме около 20 полей, плюс еще регулярки на идентификацию в тексте названий этих полей.
Сперва выглядело не так сложно. Чем дальше углублялся в то, как это может выглядеть в тексте, тем сложнее становилось. Все выходные я потратил на тестовое задание — самое душное из всех, которые мне встречались — и как-то его сделал. Меня взяли на работу. Хоть оклад и был в два раза меньше, чем на прошлой работе, зато меня порадовала новая сфера — информационная безопасность.
Радость была недолгой
Как новоиспеченный ИБ-специалист, я освоил программу по маскированию данных. Затем меня начали учить как готовить данные на вход в эту программу. Это таблица в Excel из десятков тысяч строк, где у каждой строки по 20 столбцов — и ее нужно привести к единому формату, где в каждом столбце конкретное значение: имя, фамилия и т.д. В реальности у трети строк все было перемешано и приходилось глазами смотреть и вручную менять поля местами — что-то добавлять, что-то удалять. И тут я понял — работа оказалась еще душнее, чем тестовое задание.
По мере сил, в свободное время я продолжал решать лабораторные работы, читать книги про безопасную разработку и различные практики — надеясь, что в какой-то момент меня перекинут на другой проект. За три месяца испытательного срока я впал в ещё большее уныние и чувствовал, что попал в какое-то болото, из которого непонятно как выбираться.
По истечении трех месяцев мне опять сказали, что я не подхожу из-за недостаточной вовлеченности. Причина справедливая — вовлеченности у меня было «ноль». И поскольку финансовой подушки у меня уже не было, снова решил искать работу тестировщиком.
Материалы обучения:
· Безопасность разработка в Agile-проектах: Белл, Брантон-Сполл, Смит · Серия стандартов iso/iec 27000 · Сервисы с лабораторными работами: portswigger.net, hackthebox.com, owasp.org/www-project-webgoat |
Возврат на исходную
Ситуация с поиском работы тестировщиком была не сахар. Если до ковида на интересующую меня вакансию было в среднем 100-200 откликов, то после ковида и начала СВО эта цифра местами переваливала за 1000.
На собеседованиях всегда задавали вопросы: «Что интересно? Куда хочется развиваться?». Я честно отвечал про информационную безопасность, но, как оказалось, ожидали от меня услышать совсем не это.
В итоге меня позвали на собеседование в InfoWatch — компанию, которая разрабатывает DLP-системы. Это программные средства, которые позволяют вашему работодателю контролировать что и кому вы отправляете, сколько времени за компьютером и в каких программах проводите, как часто ковыряетесь в носу и т.д.
Собеседование прошло хорошо. Мне также задали вопрос про то, куда я хочу развивается, и я выдал тот же ответ, что и ранее. В этот раз, к моему удивлению, к моим поискам смысла жизни отнеслись нормально, и я получил оффер.
Третья попытка
Разбираться и тестировать продукт, на который меня взяли, оказалось интереснее чем все, с чем я сталкивался до этого — но и настолько же сложнее. Не буду тянуть – испытательный срок в этот раз я прошел.
Как раз после завершения моего испытательного срока руководство собрало всех, чтобы поделиться планами. В планах — делать шаги в сторону безопасной разработки. Тут я понял, что попал по адресу — заявил о своей заинтересованности в вопросе. Об этом узнало все мое руководство вплоть до технического директора, но как я смог поспособствовать развитию этого направления в компании не знал никто — в том числе и я. Поэтому для меня ничего не изменилось.
Мой друг, уже работающий devsecops’ом в другой компании, порекомендовал развернуть у нас в компании продукт dependency-track для SCA. Он пояснил, что это база — с этого должна начинаться безопасная разработка. Время от времени я пытался развернуть эту систему, пока еще был тестировщиком, но на тот момент не знал, что такое «борьба с инфраструктурой» и какие действия нужно выполнить, чтобы взять и развернуть какой-то сервис внутри периметра компании.
В компании уже создали отдел по безопасной разработке, назначили руководителя и выкатили вакансию инженера в отдел. Увидев вакансию, я немного разочаровался, поскольку нужен был человек с опытом. Я не подходил. Мой друг посоветовал не суетиться и подождать, когда найдут этого самого мидла — чтобы он выбрал стек технологий, все настроил и уже под его началом я бы мог обучаться. Это звучало вполне логично, если бы не одно «но». Вакансия висела около четырех месяцев и на нее никого не могли взять.
Иду на риск
За это время я вновь почувствовал негодование от бытия тестировщиком. Собравшись с силами и преодолев чувство собственного отстоинства, я написал руководителю отдела по безопасной разработке и рассказал, что хотелось бы к нему в отдел. К сведению он это принял, и мы договорились о собеседовании. Собеседование прошел нормально, но меня не покидало ощущение, что я пытаюсь прыгнуть выше, чем могу.
Мне решили дать шанс и перевели в искомый отдел на испытательный срок после месяца отработки на текущей должности. Одно из условий — если я не пройду испытательный срок и на мое прошлое место найдут человека, то я останусь за бортом.
Риск был велик — опять искать работу не хотелось. Но все-таки я решил на это пойти. Весь оставшийся месяц каждый день после работы активно изучал python и docker. По заданию на испытательный срок писал скрипт для обработки информации по уязвимостям на сторонние компоненты, которые предоставляет другая компания.
Мой выход
К началу работы в новой должности я уже был готов проверить этот скрипт на «боевых данных». Увы, с этим вариантом не сложилось — компания-поставщик просто не отвечала на письма.
И тут — мой выход. Предложил начальнику развернуть ту систему, которую я пытался развернуть ранее, будучи тестировщиком. Решили попробовать. Мне сразу назвали имена коллег, которые отвечают за корпоративную инфраструктуру — они подсказали, что я делал не так. Буквально за неделю мы смогли развернуть эту систему. Получилось, что за неделю моей работы в новом отделе мы успели отказаться от первоначального плана, придумать новый и реализовать его. По факту, задачу на испытательный срок я выполнил за пару недель.
Далее начались исследования этой системы — что она может и не может, поиск дефектов. С ними я обращался к разработчику-индусу. Проходила настройка этого сервиса под производственные рельсы — переключение на https, подключение к ldap, подключение к отдельной базе данных. В итоге я успешно прошел испытательный срок и официально стал инженером-автоматизатором процессов безопасной разработки.
Выводы
В процессе очень быстрой смены работ я на собственном опыте убедился, что мир ИТ очень тесен. Так, я собеседовался к человеку, который ранее был руководителем тестирования в первой компании, куда меня взяли в начале моего нового пути.
Тема выгорания довольно распространена, мой опыт может и не уникален, но мне захотелось им поделиться. Как выяснилось, просто отдохнуть, сделать перерыв и поменять место работы — не выход. Чем дольше это продолжается, тем тяжелее становится. И сил на то, чтобы что-то поменять, становиться все меньше. Тут как с любой проблемой — чем раньше начать подход к решению, тем лучше.
Провал — это не всегда плохо. Если бы я успешно проходил испытательные сроки, то не попал бы на текущее место работы, где смог проявить себя.
Страх неизвестного — это нормально. Если бы я его не переборол, то ничего в моей жизни не поменялось.
