Кто такой Security Operations Manager
Security Operations Manager отвечает за повседневную работу службы, которая непрерывно следит за безопасностью криптовалютной платформы: биржи, обменника, кастодиальногоКастодиальный кошелёкКастодиальный кошелёк — криптокошелёк, закрытые ключи от которого хранит третья сторона (биржа или сервис), а пользователь управляет средствами через логин и пароль. сервиса или DeFiDeFiDeFi (децентрализованные финансы) — финансовые сервисы на блокчейне, где кредиты, обмен и доходность работают через смарт-контракты без банков и посредников.-протокола. Его задача в том, чтобы атаки, взломы, попытки мошенничества и внутренние нарушения обнаруживались быстро, а реакция на них была предсказуемой и документированной. В криптовертикали цена ошибки высока: украденные средства часто нельзя вернуть, поэтому роль стоит на стыке инфраструктуры, финансовых операций и комплаенса.
Компании в криптосегменте выделяют эту роль, потому что угрозы здесь специфические: фишинг сотрудников и пользователей, компрометация приватных ключей, атаки на горячие кошельки, подмена адресов вывода, социальная инженерия в поддержке, эксплойты смарт-контрактовСмарт-контрактСмарт-контракт — программа, которая хранится в блокчейне и автоматически выполняет заложенные в неё условия, когда они выполнены. и атаки на API. Общие SOC-процессы из традиционного IT нужно адаптировать под блокчейнБлокчейнБлокчейн — распределённая база данных в виде цепочки блоков, где каждая запись связана криптографически с предыдущей, а копии хранятся у множества участников сети.-транзакции, мультиподписи и холодное хранение. Security Operations Manager связывает эти элементы в один рабочий процесс.
Обычно роль подчиняется CISO или руководителю информационной безопасности, а в небольших командах — CTO или COO. Внутри команды находятся аналитики SOC, инженеры по реагированию на инциденты и иногда специалисты по мониторингу блокчейна. Руководитель распределяет смены и приоритеты, согласует эскалации с инфраструктурой, риск-командой и юристами и отчитывается о состоянии защиты перед руководством.
Обязанности
- Организовать круглосуточный мониторинг событий безопасности: алерты SIEM, EDR, сетевых сенсоров и on-chain аналитики по подозрительным выводам средств.
- Управлять жизненным циклом инцидентов: классификация, эскалация, сдерживание, устранение и разбор после инцидента (post-mortem).
- Контролировать процедуры работы с ключами и горячими кошельками: мультиподпись, разделение полномочий, ротацию ключей, лимиты на вывод.
- Согласовывать с инженерией и DevOps правила доступа к продакшену, сегментацию сетей и управление привилегированными учетными записями.
- Вести реагирование на фишинг и социальную инженерию, включая блокировку доменов, работу с пользователями и взаимодействие с поддержкой.
- Координировать тестирование защиты: баг-баунти, внешние аудиты, учения по реагированию (tabletop-упражнения), проверку правил детектирования.
- Готовить регулярную отчетность для руководства и, при необходимости, для регулятора или партнеров: состояние угроз, закрытые инциденты, риски с владельцами.
- Поддерживать актуальность регламентов и runbook-ов, обучать смены и смежные команды действиям при инцидентах.
- Взаимодействовать с правоохранительными органами и внешними провайдерами расследований в рамках установленных процедур.
Навыки
- Понимание архитектуры криптоплатформы: горячие и холодные кошельки, мультиподписи, ноды, API, бриджи.
- Знание атакующих техник: фишинг, компрометация учетных записей, эксплойты контрактов, подмена адресов, атаки на цепочку поставок ПО.
- Умение управлять инцидентом под давлением: принимать решения при неполных данных и четко коммуницировать статус.
- Построение процессов SOC: приоритизация алертов, пороги эскалации, взаимодействие смен.
- Базовое понимание блокчейн-транзакций и on-chain анализа для отслеживания выведенных средств.
- Работа с политиками доступа и принципами least privilege, управление привилегиями.
- Написание понятных регламентов, отчетов и постмортемов для технической и нетехнической аудитории.
- Управление людьми и подрядчиками: распределение нагрузки, оценка качества работы, развитие аналитиков.
Инструменты
- SIEM-системы для сбора и корреляции логов
- EDR и системы защиты конечных точек
- SOAR-платформы для автоматизации реагирования
- Системы управления привилегированным доступом (PAM)
- Инструменты on-chain мониторинга и аналитики транзакций
- Трекеры задач и инцидентов (Jira, ServiceNow или аналоги)
- Системы управления ключами и HSM
- Инструменты сканирования уязвимостей и управления патчами
Как оценивают работу: KPI
- Среднее время обнаружения (MTTD) и время реагирования (MTTR) на критичные инциденты.
- Доля инцидентов, обнаруженных до финансового ущерба или до обращения пользователя.
- Сумма предотвращенных или возвращенных средств относительно объема подозрительных операций.
- Доля алертов, закрытых как ложные срабатывания, и динамика ее снижения после тюнинга правил.
- Выполнение плана по учениям, аудитам и закрытию критичных находок в установленные сроки.
- Количество инцидентов, повторно возникших по той же причине после post-mortem.
Особенности по вертикалям
Crypto
В криптовалютных проектах роль фокусируется на защите ключей, горячих кошельков и выводов средств, а также на отслеживании транзакций в блокчейне. Ущерб от атаки часто необратим, поэтому процессы подтверждения операций и лимитов важнее, чем в традиционном IT.
Грейды: чем отличается уровень
Management
На управленческом уровне руководитель отвечает за стратегию и бюджет службы, выстраивает процессы и метрики, принимает решения об эскалации и коммуникации с руководством. Он не только реагирует на инциденты, но и проектирует систему так, чтобы инциденты случались реже и обходились дешевле.
Как стать Security Operations Manager
Чаще всего в роль приходят из SOC-аналитиков, инженеров по реагированию на инциденты, системных администраторов с опытом безопасности или специалистов по мониторингу мошенничества в финтехе. Важны практический опыт работы с алертами, расследованиями и инцидентами, а также понимание инфраструктуры, в которой нужно защищаться.
Для криптовертикали нужно отдельно изучить устройство блокчейнов и кошельков: как работают приватные ключи, мультиподписи, холодное хранение, какие векторы атак характерны для бирж и DeFi-протоколов. Полезно разобраться в on-chain аналитике и в том, как отслеживать выводы средств между адресами и сервисами.
Рост обычно идет через переход от исполнения к управлению: сначала ведение смены или ключевого направления, затем руководство командой и процессами, потом ответственность за стратегию защиты и взаимодействие с руководством. Управленческий опыт, умение писать отчеты для нетехнической аудитории и выстраивать межкомандное взаимодействие ценятся не меньше технической экспертизы.
Куда расти дальше: CISO (Chief Information Security Officer), Head of Security или руководитель направления безопасности, Руководитель Incident Response, Руководитель Risk & Fraud Operations, Head of Infrastructure Security
Термины, которые нужно знать
- SOC (Security Operations Center)
- SIEM
- Incident Response
- Hot wallet / cold storage
- Мультиподпись (multisig)
- On-chain аналитика
- PAM (управление привилегированным доступом)
- Фишинг и социальная инженерия
Частые вопросы
Чем Security Operations Manager отличается от CISO?
CISO отвечает за стратегию информационной безопасности всей компании, бюджет и управленческие решения на уровне совета директоров. Security Operations Manager отвечает за операционную работу: мониторинг, реагирование на инциденты, процессы смен и ежедневную эффективность защиты. Часто именно эта роль готовит кандидатов на CISO.
Нужно ли знать программирование или смарт-контракты?
Глубокое программирование обычно не обязательно, но понимание кода, логов и API необходимо для расследований. Базовое понимание смарт-контрактов помогает оценивать риски эксплойтов и разговаривать с разработчиками на одном языке. Специалисты по аудиту контрактов — отдельная профессия.
От чего зависит доход в этой роли?
Уровень дохода определяется масштабом платформы, объемом управляемых средств, требованиями регулятора к защите, размером команды и географией работодателя. Важны также глубина опыта реагирования на реальные инциденты и управленческий стаж. Конкретные суммы зависят от рынка и переговоров.
Какие сертификаты помогают в этой роли?
Работодатели ценят подтвержденный опыт расследований и реагирования больше, чем сертификаты, но общепризнанные отраслевые программы в области информационной безопасности и управления рисками обычно учитываются при найме. Сертификат дополняет практику, а не заменяет ее.
Как работать в криптовертикали, если опыта в крипте нет?
Переход возможен из финтеха, банковской безопасности или телеком-SOC. Важно за короткий срок изучить специфику кошельков, ключей и блокчейн-транзакций и показать, как ваши навыки реагирования переносятся на новые угрозы. На собеседовании полезно разобрать реальный кейс взлома или фишинга.
Какая смена обычно у команды SOC?
Работа SOC часто организована в сменном или дежурном формате, потому что угрозы в криптосегменте не останавливаются ночью и в выходные. Руководитель отвечает за график, справедливое распределение дежурств и правила эскалации в нерабочее время.