В информационной безопасности сложилась парадоксальная ситуация. Бизнесу нужно защищать всё более сложную инфраструктуру, а инструменты атак становятся доступнее.
При этом войти в профессию непросто: кандидатов становится больше, компании осторожнее нанимают начинающих, а привычная карьерная лестница перестаёт работать автоматически. Что делать специалисту в этих условиях, обсудим на бесплатной онлайн-дискуссии 22 июля.
Кризис ИБ — это не один большой обвал. Скорее, несколько изменений, которые происходят одновременно:
- вакансий для старта не хватает на всех желающих;
- в ИБ приходят выпускники и специалисты из смежных областей;
- злоумышленникам больше не обязательно собирать всю атаку самостоятельно;
- компании защищают многослойную инфраструктуру, созданную за десятилетия;
- ИИ и автоматизация забирают часть операций и повышают требования к человеку.
Разберём, почему старые карьерные рецепты больше не гарантируют результата и на что теперь делать ставку.
Желающих работать в ИТ и ИБ становится больше, а вакансий — не обязательно
Долгое время переход в ИТ воспринимался как почти гарантированный способ получить востребованную профессию. Этот путь выбрали десятки тысяч студентов, выпускников курсов и специалистов из других отраслей.
По данным Правительства России, за пять лет число выпускников ИТ-направлений увеличилось на 27%, а образование в этой сфере получает каждый десятый выпускник российского вуза. Только на бюджетные места по ИТ-специальностям за год приняли около 130 тысяч человек. Отдельное исследование НИУ ВШЭ охватывает ещё 47 356 выпускников ИТ-специальностей среднего профессионального образования 2024 года.
Все эти люди не выходят на рынок одновременно и не претендуют на одинаковые позиции. Но масштаб подготовки показывает, насколько широким стал потенциальный поток кандидатов.
Одновременно рынок найма стал осторожнее. В июне 2025 года количество вакансий для офисных специалистов на hh.ru оказалось на 25% ниже, чем годом ранее, а число активных резюме выросло на 25%. Это данные по рынку белых воротничков в целом, а не только по ИТ или ИБ, однако они хорошо описывают среду, в которой сегодня ищут работу технические специалисты.
Отсюда первый конфликт: работодателям по-прежнему нужны сильные специалисты, но наличие общего спроса на профессию не гарантирует вакансию каждому кандидату.
Разобраться, как не уступить конкурентам
Почему дефицит кадров может существовать вместе с дефицитом вакансий
Фразы «в ИБ не хватает людей» и «новичку трудно найти работу» не противоречат друг другу.
Компания может искать инженера, которому можно доверить критичную инфраструктуру, но не быть готовой нанять и долго обучать человека без практического опыта. На рынке одновременно возникает дефицит специалистов, способных решать сложные задачи, и избыток кандидатов на стартовые позиции.
Для начинающего это неприятная развилка. Чтобы получить опыт, нужна работа. Чтобы получить работу, уже нужен опыт.
Переход в ИБ из разработки, системного администрирования, эксплуатации или других направлений ИТ может стать более реалистичным маршрутом. Такой кандидат приходит не с нулём: он уже понимает, как устроены приложения, сети, инфраструктура или процессы разработки.
Но сам факт работы в ИТ ещё не делает человека специалистом по безопасности. Придётся достроить недостающие знания:
- научиться мыслить через угрозы и риски;
- понимать возможные сценарии атак;
- разбираться в механизмах защиты;
- видеть последствия технического решения для бизнеса;
- уметь объяснить, почему найденная проблема действительно опасна.
ИБ может принять много специалистов из смежных областей, но наиболее перспективен переход не по принципу «где сейчас больше вакансий», а через сочетание уже накопленного опыта с новой специализацией.
Атака превращается из ремесла в рынок готовых услуг
Пока специалисты конкурируют за рабочие места, злоумышленникам становится проще собирать атаки из готовых компонентов.
Positive Technologies изучила более 4300 объявлений на теневых площадках за 2024–2025 годы. Медианная цена аренды серверной инфраструктуры составила 8 долларов, DDoS-атаки — 20 долларов, журналов стилеров с похищенными данными — также 20 долларов. Эксплойты стоят значительно дороже, но и в этом сегменте распространяется подписочная модель.
Это не означает, что любую компанию можно полностью взломать за 20 долларов. За эту сумму продаётся отдельный элемент или услуга, а стоимость сложной целевой атаки может быть на порядки выше.
Важен сам принцип: злоумышленнику больше не обязательно самостоятельно разрабатывать вредоносное ПО, искать инфраструктуру и обладать экспертизой на каждом этапе. Части атаки можно купить у разных исполнителей и собрать в один сценарий.
Защита оказывается в несимметричной позиции. Атакующему достаточно найти один рабочий путь. Команде ИБ приходится контролировать множество систем, пользователей, интеграций и процессов — причём постоянно.
Обсудить, какие навыки становятся важнее с усложнением угроз
Защищать приходится инфраструктуру, которая создавалась десятилетиями
В теории новую защитную технологию можно встроить в современную архитектуру с понятными компонентами и едиными правилами.
На практике инфраструктура крупных российских компаний многослойна. В ней соседствуют новые платформы, устаревшие системы, собственная разработка, решения разных вендоров и компоненты, которые нельзя быстро заменить без риска для бизнеса.
Legacy не обязательно означает плохой или бесполезный продукт. Часто это критичная система, которая продолжает выполнять свою задачу, но создавалась под другие требования и модель угроз.
Из-за этого специалисту недостаточно знать отдельный инструмент. Нужно понимать:
- как связаны компоненты инфраструктуры;
- где проходят границы ответственности;
- что произойдёт при изменении или отключении системы;
- какие старые решения нельзя быстро заменить;
- где защитная мера может нарушить бизнес-процесс;
- какие уязвимости придётся компенсировать другими способами.
Именно здесь возникает настоящий дефицит кадров: не людей с записью «информационная безопасность» в резюме, а инженеров, способных работать со сложной системой и отвечать за последствия решений.
ИИ усиливает обе стороны, но не решает системную проблему
ИИ — важная часть кризиса, но не единственная.
Атакующим он облегчает поиск информации, подготовку материалов и освоение инструментов. Защитникам помогает быстрее анализировать данные и автоматизировать повторяющиеся операции.
Главный вопрос не в том, заменит ли ИИ специалиста. Гораздо важнее понять:
- какую часть конкретной работы можно автоматизировать;
- кто проверит полученный результат;
- кто увидит ошибку, вызванную неполным контекстом;
- кто сопоставит рекомендацию с реальной инфраструктурой;
- кто будет отвечать за принятое решение.
Чем больше операций забирает автоматизация, тем выше ценность системного мышления. Инженеру предстоит реже быть оператором отдельного инструмента и чаще — архитектором, постановщиком задач и контролёром результата.
Что происходит с привычной карьерной лестницей
Раньше начинающему специалисту можно было поручить набор простых операций. Выполняя их, он набирал опыт, переходил к более сложным задачам и постепенно становился самостоятельным инженером.
Если значительную часть такой рутины автоматизировать, первый этап лестницы становится короче или исчезает. При этом компания ждёт от сотрудника более глубокого понимания уже на старте.
Для джуна это означает, что одного набора пройденных курсов и лабораторных работ может не хватить. Нужны доказательства способности работать с реальной задачей: проекты, практика, разбор инфраструктуры, опыт в смежной технической роли.
Мидлу важно выходить за пределы выполнения операций: понимать архитектуру, выбирать решение и оценивать его ограничения.
Сеньору придётся работать не только с технологиями, но и с процессами, командами и распределением ответственности. Его ценность — в способности удерживать всю систему, а не просто лучше остальных владеть конкретным инструментом.
Узнать больше о том, как меняются задачи
Как действовать специалисту в этом кризисе
Универсальной профессии будущего, которая гарантирует стабильность, не существует. Но можно выбрать более устойчивую стратегию.
Не обнуляйте предыдущий опыт. Разработчику, системному администратору, сетевому инженеру или специалисту эксплуатации полезнее искать точку перехода из своей области в безопасность, чем пытаться стать абстрактным новичком.
Изучайте систему, а не только инструмент. Конкретный продукт может измениться. Понимание архитектуры, сетей, операционных систем, разработки и моделей угроз переносится между задачами.
Учитесь проверять автоматический результат. Владение ИИ-инструментом само по себе быстро станет базовым навыком. Ценность создаёт тот, кто способен обнаружить ошибку и принять решение с учётом контекста.
Ищите практику до первой позиции в ИБ. Опыт можно получать в смежной роли, на собственном стенде, в проекте или через разбор реальных сценариев. Работодателю важно увидеть не только знания, но и ход инженерного мышления.
Выбирайте специализацию на стыке. Чем больше вы понимаете о соседней области, тем сложнее свести вашу работу к выполнению типовой операции.
Кризис — это смена правил, а не конец профессии
Рынок не обещает простого входа. Кандидатов становится больше, стартовых задач — меньше, требования работодателей растут. Одновременно атаки дешевеют, инфраструктура усложняется, а бизнесу всё ещё нужны люди, способные обеспечить её защищённость.
Поэтому вопрос стоит формулировать не как «идти ли сейчас в ИБ». Полезнее спросить: с каким опытом, в какую специализацию и для решения каких задач идти?
22 июля в 19:00 МСК Антон Кузьмин, технический директор Innostage, и Егор Богомолов, основатель CyberED и Singleton Security, обсудят кризис ИБ с трёх сторон: специалиста, компании и меняющегося ландшафта угроз.
В центре разговора — высокая конкуренция, переходы из ИТ и разработки, новые карьерные траектории, удешевление атак, автоматизация защиты и работа с многослойной legacy-инфраструктурой.
Участие бесплатное.
