Вход в ИБ с нуля: задача на трезвую оценку шансов

Вот условие. Прочитай и ответь, не уходя гуглить.

Исходные данные. Человек, 28 лет. Работает не в IT. Свободного времени 2 часа в будний день, 6 часов в выходной. Бюджет на обучение: 30 000 рублей в месяц или ноль, если учиться бесплатно. Английский на уровне чтения документации со словарём. Опыт: поставил Kali, прошёл пару комнат на TryHackMe, прочитал половину книги по сетям.

Задача. Построй ему план на 12 месяцев. Выбери одно из трёх направлений:

1. Пентест (offensive)
2. SOC-аналитик (defensive)
3. Безопасность приложений (appsec)

Для выбранного направления ответь на три вопроса:

• Какие конкретные навыки он должен закрыть за первые 6 месяцев?
• Что он может показать работодателю вместо опыта (лабы, CTF, сертификаты, пет-проекты)?
• Реалистичная ли зарплата на первой позиции, и что значит "достойная" в его случае?

Не нужно расписывать курсы по неделям. Нужна суть: что учить, что делать руками, чем доказать, что умеешь.

Лучший ответ разберём отдельно и дополним комментариями от практиков из каждого направления.

Какой путь ты выбираешь, какой результат прогнозируешь через 12 месяцев и почему?