Exención de responsabilidad rápida: estos tipos de descripciones de trabajo varían de una compañía a otra y, a veces, incluso entre departamentos o personal de recursos humanos. Esta es solo mi impresión general después de trabajar en este campo durante bastante tiempo.
La distribución de habilidades requerida (tecnología vs no tecnología) depende en gran medida del proyecto en el que esté trabajando y su paso de carrera, pero generalmente necesita una buena formación técnica, idealmente con experiencia en desarrollo de software, redes y otros campos relevantes. Y las habilidades de gestión de proyectos deben ser una necesidad para cualquier persona que trabaje en el campo de TI. Lo más probable es que las habilidades del cliente, o interpersonales en general, sean más importantes para los consultores, ya que generalmente son entidades externas con mucho contacto con el cliente.
En cuanto al pago, según mi experiencia, el personal de seguridad interna cobra más que los consultores. Pero YMMV y, como en la mayor parte de este tema, depende en gran medida de su empresa / posibles empleadores futuros.
Consultor
En general, usted proporciona conocimiento de seguridad de TI a un cliente porque ese cliente no tiene suficiente conocimiento relevante o no lo tiene. Eres un externo que está agregando valor a un proyecto.
En cuanto al conjunto de habilidades, depende de la fase del proyecto y del tipo de proyecto.
Por ejemplo, puede trabajar para un cliente durante la fase de concepción de un nuevo sitio web de comercio electrónico. En esa fase, necesita una buena base técnica y una visión general (conozca los principios de diseño seguro, los métodos para lograr las partes relevantes de la CIA, etc.). Sus principales responsabilidades serán ayudar a los arquitectos de soluciones, analistas de negocios y similares a crear un concepto de diseño seguro y tratar de detectar posibles vulnerabilidades antes de que existan.
Otro ejemplo sería que trabaje durante la fase de implementación de dicho proyecto. Entonces, dependiendo de su declaración de trabajo con el cliente, también verá la implementación real del concepto que apoyó. Entonces necesita una comprensión técnica más profunda, saber cómo funciona el lenguaje de programación específico, conocer sus dificultades. P.ej. Si se trata de un proyecto de C ++, debe saber que existen desbordamientos de búfer y cómo evitarlos. Si se trata de un sitio web de JSP, necesita saber cómo funciona XSS (y otros OWASP-Top 10s) y cómo mitigar esos puntos vulnerables.
Arquitecto
Esta posición es la mayoría de las veces interna y, básicamente, también podría actuar como la versión interna de un consultor externo. Pero al igual que con cualquier cargo, esto puede ser completado por personal interno o externo.
En general, esto está más en línea con la posición común de CISO o del departamento de seguridad de TI interno. En esa posición, debe tener una visión general completa de la infraestructura de TI de su empresa y de los mecanismos de protección existentes, como IDS / IPS, firewalls, configuración de red (topografía DMZ / Bastion), etc. Tú serás quien intente pensar como un adversario, anticipar qué partes de tu paisaje son las "frutas colgantes" y donde los atacantes podrían tener una superficie válida.
También ayuda a diseñar y proteger otras partes de las necesidades de su empresa, como la infraestructura de intercambio de conocimientos, la gestión de identidad y acceso, etc.
Especialista
TBH, solo escuché este término como un "catch-all". Es algo similar a cuando las estaciones de TV entrevistan a un " $RANDOMTOPIC expert" para un segmento corto. Nunca he conocido a un "Especialista en seguridad de TI" en libertad, y la mayoría de las veces, cualquiera tiene al menos algún campo en el que se especializa.