Полтора года назад я одной рукой заполнял матрицу рисков в Confluence для аудита по ISO 27001, а другой помогал SOC-команде разбирать эскалацию алерта в QRadar. Два разных мира, один рабочий день, одна вывеска "безопасность". По данным ISC2 (2024 Workforce Study), в мире не хватает 4,8 миллиона специалистов по безопасности. BLS (U.S. Bureau of Labor Statistics) прогнозирует рост занятости information security analysts на 28,5% за 2024-2034 - в семь раз быстрее среднего по всем профессиям. А тем временем значительная часть соискателей путает информационную безопасность с кибербезопасностью ещё на этапе выбора вакансии. И приходит не на то собеседование.
Информационная безопасность и кибербезопасность: в чём разница на практике
Объясню через аналогию, которая помогла мне самому при переходе из системного администрирования. Информационная безопасность - правила дорожного движения: весь свод политик, стандартов и мер, которые защищают информацию в любом виде. Бумажные документы в сейфе, разговоры в переговорной, цифровые файлы на сервере - всё это периметр InfoSec. Кибербезопасность - работа ГИБДД на конкретном участке: практическая защита цифровых систем, сетей и данных от атак здесь и сейчас. Подробнее - в нашем статье о карьера в кибербезопасности.Обе дисциплины опираются на триаду CIA - конфиденциальность, целостность, доступность. Но реализация отличается кардинально.
Специалист по информационной безопасности пишет политику контроля доступа согласно NIST SP 800-53 (семейство AC - Access Control), выстраивает процесс Security Awareness-тренингов (семейство AT - Awareness and Training), готовит организацию к аудитам по ISO 27001. В российском контексте сюда добавляется серьёзный регуляторный слой: ФЗ-152 о персональных данных, приказ ФСТЭК №21 с мерами ИАФ (идентификация и аутентификация), УПД (управление доступом), РСБ (резервное копирование), а ещё приказ ФСБ №378 с классами криптозащиты от КС1 до КА.
Специалист по кибербезопасности настраивает правила детекции в SIEM, анализирует сетевые аномалии по модели NIST CSF v2.0 (функции Detect - DE.AE-01, Respond - RS.AN-01) и работает с фреймворком MITRE ATT&CK. Например, отслеживает технику Spearphishing Link (T1566.002, Initial Access) - одну из самых частых точек входа - или мониторит разведывательную активность через Social Media (T1593.001, Reconnaissance) и сбор данных о сотрудниках (T1589.003 - Employee Names, T1591.004 - Identify Roles).
| Критерий | Информационная безопасность | Кибербезопасность |
|---|---|---|
| Что защищает | Информацию в любой форме | Цифровые системы, сети, данные |
| Формат угроз | Физические, социальные, цифровые | Кибератаки, вредоносное ПО, эксплойты |
| Фреймворки | ISO 27001, NIST SP 800-53, ФЗ-152, ФСТЭК | NIST CSF, MITRE ATT&CK, OWASP |
| Типичные роли | GRC-аналитик, специалист по защите информации | SOC-аналитик, пентестер, security engineer |
| Фокус работы | Политики, комплаенс, управление рисками | Мониторинг, реагирование, тестирование |
| Главный документ на столе | Матрица рисков, политика ИБ | Дашборд SIEM, отчёт о сканировании |
Кибербезопасность - подмножество информационной безопасности с фокусом на цифровую среду. На практике оба мира пересекаются: GRC-аналитик не напишет осмысленную политику, не понимая, как работает SOC. А SOC-аналитик не приоритизирует алерты без понимания бизнес-рисков.
Профессии в ИБ: кто чем занимается на самом деле
Роли делятся на два крупных лагеря - defensive (blue team) и offensive (red team) - плюс управленческий трек. Вот позиции, с которых реально начинают карьеру.
SOC-аналитик: обязанности и вход в кибербезопасность
SOC-аналитик первого уровня - самая распространённая точка входа. Security Operations Center - первая линия: мониторинг потока алертов из SIEM (Splunk, Microsoft Sentinel, IBM QRadar), отделение реальных угроз от ложных срабатываний, эскалация серьёзных инцидентов старшей команде.Рабочий день - дашборды, логи и быстрые решения о том, что требует внимания. Hard skills на входе: основы сетей (TCP/IP, DNS, принципы работы файрвола), базовое понимание Windows и GNU/Linux, умение строить запросы в SIEM. По данным Coding Temple, сигнал готовности к следующему грейду - когда вы начинаете писать собственные правила детекции, сокращаете false positives и понимаете не только содержание алертов, но и причины за ними. Из soft skills критична стрессоустойчивость: SOC L1 - сменный график, ночные дежурства и постоянный поток событий. Если в 3 ночи прилетает алерт на lateral movement - надо разобраться, а не отложить до утра.
GRC-аналитик: комплаенс и управление рисками
GRC (Governance, Risk and Compliance) - бизнес-сторона безопасности. Тут не стоят перед дашбордами с алертами. Вместо этого - ревью политик, работа с ISO 27001 и NIST CSF, подготовка к аудитам, контроль выполнения ФЗ-152 и приказов ФСТЭК №21. Ежедневные инструменты: Jira для трекинга задач комплаенса, Confluence для документирования политик, платформы типа KnowBe4 для запуска и анализа Security Awareness-тренингов.Я пришёл в GRC из системного администрирования, и переход занял около шести месяцев - три на самоподготовку по ISO 27001 и три на стажировку. Если у вас бэкграунд в IT-поддержке, проектном управлении или финансах - GRC может стать самым органичным входом в безопасность. Взаимодействие с SOC происходит на уровне эскалации инцидентов: достаточно для понимания контекста, но без погружения в технические детали каждого алерта.
Пентестер: карьерный путь в offensive security
Пентестер - offensive-направление: легальный взлом систем для поиска уязвимостей до того, как их найдут злоумышленники. По данным Splunk, средняя зарплата пентестера в США - около $139,000/год. Но пентест - не entry-level роль. Сюда не приходят сразу после курсов. По данным TripleTen и Coding Temple, типичный путь к пентесту проходит через 2-3 года работы в SOC или vulnerability assessment.Промежуточный шаг - vulnerability assessment analyst: сканирование систем инструментами (Nessus, Qualys, OpenVAS), приоритизация находок, написание отчётов для инженерной команды. Методичная работа, которая строит фундамент для перехода в полноценный пентест. Отдельный путь - bug bounty-программы: позволяют нарабатывать портфолио легально, без привязки к работодателю.
ИБ специальности и зарплаты: карьерная лестница 2026 года
По данным TripleTen, карьера в безопасности - решётка (lattice), а не лестница. Можно начать в SOC, уйти в GRC, перейти в cloud security. Но типичная вертикальная прогрессия выглядит так:| Этап | Роль | Опыт | США (USD/год) | Россия, Москва (RUB/мес, оценка) |
|---|---|---|---|---|
| 1 | SOC-аналитик L1 | 0-2 года | $50,000-$70,000 | 80,000-130,000 |
| 2 | Security Analyst | 2-5 лет | ~$124,910 (медиана BLS) | 150,000-220,000 |
| 3 | Security Engineer | 5-8 лет | ~$159,454 (Glassdoor) | 250,000-400,000 |
| 4 | Security Architect / Manager | 8-12 лет | $149,773-$189,516 | 300,000-500,000 |
| 5 | CISO | 12+ лет | $200,000-$244,000+ | 400,000-700,000+ |
Данные по США: BLS May 2024, Glassdoor Dec 2025, Payscale 2026. Российские вилки ориентировочные - по открытым вакансиям Москвы и Санкт-Петербурга на hh.ru. В регионах вилки ниже на 30-40%. Удалёнка частично сглаживает разрыв, но для senior-позиций с допусками (критическая инфраструктура, гостайна) удалённый формат ограничен. Для актуальных цифр проверяйте hh.ru и Habr Career по конкретной роли - вилки меняются каждый квартал.
Отдельная ветка - blue team vs red team карьера. Blue team (SOC, IR, threat hunting) традиционно имеет больше entry-level вакансий. Red team (пентест, offensive security) платит выше на senior-уровне, но требует длинного разбега. Security Architect ($228,000/год по данным Splunk для рынка США) - верхняя планка технического трека; CISO - управленческого.
Сертификации ИБ: CISSP, CEH, Security+ - цены и что реально спрашивают
Сертификация - фильтр на этапе скрининга резюме. По данным Coding Temple, CompTIA Security+ прямо указывается в большинстве entry-level вакансий на англоязычном рынке. В российских вакансиях (hh.ru) чаще требуют CISSP для senior-позиций и CEH для пентест-направления. Security+ пока менее распространён в российских требованиях, но знания, которые он покрывает, спрашивают на каждом техническом интервью.
| Сертификация | Уровень | Экзамен (USD) | ~RUB (оценка) | Для какой роли |
|---|---|---|---|---|
| CompTIA Security+ | Entry | ~$404 | ~39,000 | SOC L1, IT Security, GRC junior |
| SSCP (ISC2) | Entry-Middle | ~$249 | ~24,000 | Практическая безопасность |
| CySA+ (CompTIA) | Middle | ~$404 | ~39,000 | Security Analyst, threat hunting |
| CEH (EC-Council) | Middle | ~$1,199 | ~115,000 | Пентест, offensive security |
| CISSP (ISC2) | Senior | ~$749 | ~72,000 | Архитектура, управление, CISO-трек |
Цены за экзамен, подготовительные курсы - отдельно. RUB-эквивалент приблизительный, зависит от курса валюты на дату оплаты. Актуальные цены - на официальных сайтах вендоров.
Про корпоративную оплату: крупные российские ИБ-компании (Positive Technologies, Kaspersky, Solar, Bi.Zone) практикуют частичную или полную компенсацию сертификаций. Типичное условие - обязательство отработать 1-2 года после получения сертификата. Совет из практики: поднимите вопрос на one-on-one с руководителем до оплаты из собственного кармана. Многие менеджеры готовы одобрить, но не инициируют сами.
Как стать специалистом по ИБ: roadmap для начинающих
Разобрались, в чём разница между информационной безопасностью и кибербезопасностью. Теперь - конкретный план действий:Выбор между информационной безопасностью и кибербезопасностью - не бинарное решение навсегда. Можно начать в SOC, уйти в GRC через два года, вернуться в security engineering ещё через три. Первый шаг менее важен, чем сам факт шага.
Но вот что я наблюдаю регулярно: люди приходят на собеседование GRC-аналитика и рассказывают про Kali Linux. Или наоборот - идут на SOC L1 и показывают заполненную политику ИБ из шаблона. Это не плохая подготовка - это подготовка к другому собеседованию.
Рынок ИБ в России перегрет в плане спроса, но качество кандидатов за спросом не поспевает. Слишком много людей приходят с набором сертификатов и нулевым пониманием, чем GRC отличается от SOC на уровне ежедневных задач. Компании готовы нанимать переходников из IT - бывших сисадминов, хелпдеск-инженеров, проджект-менеджеров - если те демонстрируют осознанный выбор конкретного трека и базовую подготовку именно по нему, а не "вообще по безопасности". IB Basics на codeby.school для тех, кто перешёл из IT в ИБ и нужна структура за пару месяцев.
Последнее редактирование модератором:
