Директор по информационной безопасности в России может зарабатывать больше миллиона рублей в месяц. В Москве максимальные предложения достигли 1,3 млн рублей, в Санкт-Петербурге 1,2 млн. Но такие суммы остаются исключением. Медианная зарплата руководителя кибербезопасности в крупных технологических компаниях находится примерно на уровне полумиллиона рублей.
Разброс объясняется масштабом бизнеса, сложностью инфраструктуры и полномочиями руководителя. В одной организации директор по ИБ контролирует небольшую команду и соблюдение обязательных требований. В другой управляет безопасностью тысяч серверов, отвечает за защиту критических систем и принимает решения, от которых зависит непрерывность работы компании. Разберём, сколько действительно платят российским CISO, как меняется рынок и какие навыки позволяют претендовать на верхнюю границу зарплат.
Сколько зарабатывают директора по ИБ в России
Наиболее высокие зарплаты предлагают крупные работодатели Москвы и Санкт-Петербурга. В исследовании рынка, проведённом весной 2026 года, медианная зарплата директора по информационной безопасности в технологических компаниях Москвы составила 520 тысяч рублей в месяц. В Петербурге показатель достиг 500 тысяч рублей.
Принципиальная деталь заключается в методике подсчёта. Все суммы приведены после вычета НДФЛ, без премий и дополнительных выплат. Исследование охватывало вакансии с полным рабочим днём на территории работодателя. Поэтому цифры нельзя автоматически переносить на удалённые вакансии, небольшие организации и весь российский рынок.
| Должность | Москва, медиана | Москва, максимум | Санкт-Петербург, медиана | Санкт-Петербург, максимум |
|---|---|---|---|---|
| Директор по информационной безопасности | 520 000 ₽ | 1 300 000 ₽ | 500 000 ₽ | 1 200 000 ₽ |
| Руководитель отдела ИБ | 380 000 ₽ | 650 000 ₽ | 350 000 ₽ | 590 000 ₽ |
Все показатели указаны в рублях за месяц, после уплаты налогов. Медиана означает центральное значение зарплатного распределения, а максимум отражает верхнюю границу зафиксированных предложений. Миллионная зарплата не является нормой даже для опытного CISO.
Общероссийская статистика выглядит скромнее. В первом полугодии 2026 года медианное зарплатное предложение для объединённой категории руководителей и директоров по ИБ составляло 390 тысяч рублей в месяц. Показатель охватывает более широкий круг работодателей и управленческих должностей. Напрямую сравнивать его со столичными цифрами нельзя, поскольку состав вакансий и правила учёта налогов различаются.
Разница между директором по ИБ и руководителем отдела тоже существенна. В Москве медиана для CISO превышает показатель начальника подразделения на 140 тысяч рублей в месяц. Работодатели платят прежде всего за масштаб ответственности, а не за более внушительное название должности.
Как меняются зарплаты и спрос на руководителей ИБ
Рынок информационной безопасности продолжает выделяться на фоне других направлений ИТ. За год количество вакансий в сфере ИБ выросло на 24%, тогда как в информационных технологиях, связи и телекоммуникациях в целом сократилось на 18%. Однако повышенный спрос не означает, что зарплаты директоров увеличиваются такими же темпами.
Медианные зарплаты CISO в Москве выросли за год на 4%, в Санкт-Петербурге на 6%. За четыре года прирост составил соответственно 37% и 39%. Следовательно, работодатели продолжают искать руководителей кибербезопасности, но рост их оплаты заметно уступает динамике числа вакансий. К тому же номинальное увеличение зарплаты не обязательно означает сопоставимый рост покупательной способности.
Причина спроса понятна. Киберинциденты способны остановить производство, нарушить финансовые операции, привести к утечке данных и серьёзным убыткам. В результате крупным компаниям всё чаще требуется управленец, который умеет оценивать последствия атак и выстраивать защиту с учётом бизнес-процессов. При этом дополнительная ответственность не всегда сопровождается расширением полномочий и бюджета.
От чего зависит зарплата CISO
Два специалиста с одинаковым стажем могут получать совершенно разные суммы. Один руководит отделом из пяти сотрудников, другой управляет несколькими подразделениями, отвечает за безопасность распределённой инфраструктуры и регулярно отчитывается перед советом директоров. Формально обе должности могут называться одинаково.
На зарплату сильнее всего влияют следующие факторы.
- Масштаб компании. Количество информационных систем, филиалов, сотрудников и клиентов определяет сложность защиты. Управлять безопасностью крупного банка или федерального оператора связи значительно сложнее, чем небольшой организации.
- Отрасль. Финансы, телекоммуникации, энергетика, промышленность и крупные технологические компании предъявляют высокие требования к устойчивости инфраструктуры. Но принадлежность к регулируемой отрасли сама по себе не гарантирует большой зарплаты.
- Полномочия. CISO, который формирует стратегию защиты, распоряжается бюджетом и участвует в управленческих решениях, обычно ценится выше руководителя, ограниченного техническими задачами.
- Опыт серьёзных инцидентов. Умение руководить действиями во время кибератаки, координировать расследование и восстанавливать работу ключевых систем повышает ценность кандидата.
- Управление людьми. Способность создать сильную команду, распределить ответственность и наладить взаимодействие с разработчиками, администраторами и руководством бизнеса становится критически важной на крупных должностях.
Особое значение имеет подчинённость CISO. Если директор по безопасности напрямую взаимодействует с генеральным директором или комитетом по рискам, ему проще влиять на стратегию и обосновывать инвестиции. Если вся работа проходит через ИТ-директора, фактические полномочия могут оказаться значительно уже заявленных.
Впрочем, прямая подчинённость генеральному директору не гарантирует высокой зарплаты. Размер компенсации определяется совокупностью задач, финансовых возможностей работодателя и рыночной ценности конкретного кандидата.
Какие навыки позволяют получать больше
Техническая экспертиза остаётся обязательной для директора по ИБ. Руководитель должен понимать сетевую безопасность, защиту приложений, управление уязвимостями, мониторинг событий, расследование инцидентов и восстановление инфраструктуры. Но на высокооплачиваемых позициях работодателю недостаточно специалиста, который хорошо разбирается в защитных технологиях.
Главное отличие сильного CISO заключается в способности связывать киберриски с финансовыми последствиями. Вместо абстрактного требования приобрести новое средство защиты руководитель способен объяснить, какой ущерб может нанести атака, сколько времени займёт восстановление и насколько предложенные меры снизят риск.
Ценятся и подтверждённые результаты. Например, сокращение времени обнаружения атак, уменьшение количества критических уязвимостей с просроченными сроками исправления, создание устойчивой системы резервного копирования или успешное восстановление сервисов после серьёзного инцидента.
Международные сертификаты CISSP и CISM могут повысить привлекательность кандидата, особенно при отборе на руководящие позиции. Однако сертификат без практического опыта управления людьми, бюджетом и рисками вряд ли станет достаточным основанием для высокой компенсации.
Как российское законодательство влияет на стоимость руководителя ИБ
Российский CISO отвечает за организацию защиты в условиях многочисленных отраслевых требований. Для компаний, которые работают с критической информационной инфраструктурой, имеют значение обязанности по 187-ФЗ. Организации, обрабатывающие персональные данные, должны выполнять требования 152-ФЗ. В финансовом секторе действуют нормативные акты Банка России, включая положения, связанные с ГОСТ Р 57580.
Регулирование влияет на сложность работы, поскольку руководителю приходится совмещать техническую защиту, управление рисками и выполнение обязательных требований. Дополнительную нагрузку создают проверки, категорирование объектов КИИ, взаимодействие с государственными органами и подготовка компании к реагированию на утечки.
Однако высокая регуляторная нагрузка не всегда означает высокий доход. В государственных организациях и небольших компаниях бюджет безопасности может быть ограничен. К тому же директор по ИБ не несёт автоматически всю юридическую ответственность за нарушения, допущенные организацией. Конкретные обязанности и ответственность зависят от законодательства, должностных полномочий и обстоятельств нарушения.
Сколько CISO получает на руки после налогов
При обсуждении зарплаты нельзя смешивать суммы до вычета налогов и после. Разница на руководящих должностях достигает десятков и сотен тысяч рублей. В России действует прогрессивная шкала НДФЛ с пятью ставками для основной категории зарплатных доходов налоговых резидентов.
| Годовая налоговая база | Ставка НДФЛ |
|---|---|
| До 2,4 млн ₽ | 13% |
| Свыше 2,4 до 5 млн ₽ | 15% |
| Свыше 5 до 20 млн ₽ | 18% |
| Свыше 20 до 50 млн ₽ | 20% |
| Свыше 50 млн ₽ | 22% |
Повышенная ставка применяется только к части дохода, превышающей соответствующий порог. Например, при зарплате 500 тысяч рублей в месяц первые 2,4 млн рублей годового дохода облагаются по ставке 13%, следующие 2,6 млн по ставке 15%, а оставшийся миллион по ставке 18%.
Посмотрим, сколько остаётся после налогов при разных окладах.
| Оклад до НДФЛ | Годовой доход | В среднем на руки за месяц |
|---|---|---|
| 300 000 ₽ | 3,6 млн ₽ | 259 000 ₽ |
| 400 000 ₽ | 4,8 млн ₽ | 344 000 ₽ |
| 500 000 ₽ | 6 млн ₽ | 426 500 ₽ |
| 600 000 ₽ | 7,2 млн ₽ | 508 500 ₽ |
| 1 000 000 ₽ | 12 млн ₽ | 836 500 ₽ |
Расчёты предполагают постоянный оклад в течение полного календарного года, без премий, налоговых вычетов и других доходов, влияющих на соответствующую налоговую базу. Фактическая выплата за конкретный месяц может отличаться, поскольку работодатель рассчитывает НДФЛ нарастающим итогом с начала года.
Например, зарплата 500 тысяч рублей до налогов приносит за год 6 млн рублей. Общий НДФЛ составит 882 тысячи рублей. Работник получит 5,118 млн рублей, или в среднем 426 500 рублей в месяц. А предложение на 500 тысяч рублей уже после налогов соответствует примерно 590 тысячам рублей ежемесячного оклада до НДФЛ при тех же условиях расчёта.
Поэтому медианные 520 тысяч рублей на руки из столичного исследования нельзя напрямую сравнивать с вакансией, где указаны 520 тысяч до налогов. В последнем случае фактический доход будет значительно ниже. Проверить индивидуальный расчёт можно через сервис ФНС и доступный там калькулятор НДФЛ.
Оклад, премии и дополнительные выплаты
У руководителей ИБ в крупных организациях компенсация может состоять из фиксированной зарплаты и переменной части. Работодатели предлагают годовые или квартальные премии, добровольное медицинское страхование, оплату обучения и профессиональных сертификаций. В отдельных компаниях встречаются долгосрочные программы вознаграждения, связанные с результатами бизнеса.
Но обещанная премия не равнозначна гарантированному доходу. Например, при окладе 500 тысяч рублей и максимальной годовой премии в размере 30% от суммы окладов общий доход до налогов потенциально достигает 7,8 млн рублей. Из них 1,8 млн зависят от выполнения условий премирования.
Особенно внимательно нужно изучать показатели, по которым оценивают CISO. Требование обеспечить полное отсутствие инцидентов выглядит привлекательно для руководства, но практически недостижимо и не отражает качество защиты. Более разумными критериями служат выполнение согласованных мероприятий, снижение измеримых рисков, соблюдение сроков устранения уязвимостей и готовность компании к восстановлению после атак.
Отдельного обсуждения заслуживают ночные дежурства, работа в выходные и участие в устранении крупных инцидентов. Руководящая должность не отменяет требований трудового законодательства. Порядок привлечения к дополнительной работе и соответствующая компенсация должны быть понятны до подписания договора.
Как претендовать на верхнюю границу зарплат
Для кандидата на высокооплачиваемую должность CISO главным аргументом становятся результаты предыдущей работы. Перечень внедрённых средств защиты полезен, но работодателю гораздо интереснее узнать, какие проблемы удалось решить, сколько сотрудников находилось в подчинении и как изменилась устойчивость компании.
На переговорах убедительнее всего выглядят конкретные достижения.
- Снижение рисков. Покажите, какие опасные сценарии удалось устранить или сделать менее вероятными и как оценивали результат.
- Повышение устойчивости. Расскажите о сокращении времени обнаружения инцидентов, восстановлении критических сервисов и проведённых учениях.
- Управление бюджетом. Объясните, как расставляли приоритеты, сокращали необоснованные расходы и добивались нужного уровня защиты.
- Развитие команды. Подкрепите управленческий опыт примерами построения подразделений, распределения функций и развития специалистов.
При этом не стоит обещать работодателю конкретное снижение числа атак или финансового ущерба без достаточных оснований. Количество атак зависит не только от качества защиты, а расчёт предотвращённых потерь всегда содержит неопределённость. Гораздо убедительнее выглядят измеримые показатели, понятная методика оценки и честное объяснение ограничений.
Что проверить перед переходом на новую должность
Миллионная зарплата способна скрывать весьма неприятные условия работы. Например, компания может ожидать от CISO круглосуточной доступности, полной ответственности за любые киберинциденты и быстрого устранения накопленных проблем, не предоставляя достаточного бюджета или полномочий.
Перед принятием предложения стоит выяснить несколько вещей.
- Кому подчиняется директор по ИБ и имеет ли прямой доступ к руководству компании?
- Каков бюджет безопасности и кто принимает решения о расходах?
- Какая команда уже существует и разрешено ли нанимать дополнительных сотрудников?
- Какие системы и подразделения входят в зону ответственности?
- Какая часть компенсации гарантирована и от чего зависит премия?
- Как организована работа во время крупных инцидентов и компенсируются ли дополнительные нагрузки?
Полезно также выяснить причину появления вакансии. Плановая замена руководителя, создание нового подразделения и поиск директора после серьёзного взлома предполагают совершенно разные задачи. В последнем случае стоит особенно внимательно оценить техническое состояние инфраструктуры и готовность компании инвестировать в безопасность.
Не всегда предложение с более высоким окладом оказывается выгоднее. Разница в зарплате может не компенсировать отсутствие команды, постоянные ночные инциденты, неопределённость полномочий и риск отвечать за решения, на которые невозможно повлиять.
Итог
Директор по информационной безопасности остаётся одной из наиболее высокооплачиваемых управленческих специальностей в российской ИТ-сфере. В крупных технологических компаниях Москвы медианная фиксированная зарплата CISO составляет около 520 тысяч рублей на руки, в Санкт-Петербурге около 500 тысяч. Верхние предложения достигают 1,2–1,3 млн рублей в месяц, но относятся к ограниченному сегменту рынка.
Главный фактор высокой зарплаты не стаж, количество сертификатов и даже не техническая квалификация сами по себе. Работодатели готовы платить больше руководителям, которые умеют управлять командой и бюджетом, оценивать киберриски в финансовых показателях и поддерживать устойчивость бизнеса. При выборе должности имеет смысл оценивать не только обещанный доход, но и полномочия, ресурсы и ответственность. Без такого баланса даже семизначная зарплата может оказаться слишком дорогой ценой за работу.
