Security: рынок

Вакансия

открытая вакансия, прошедшая гейт качества и содержащая не менее двух технологий

Наблюдаемый кандидат

кандидат, чей стек содержит эту технологию; агрегат, без единой записи наружу

Подходящий кандидат

пока не считается

Окно

открытые вакансии на момент сборки снимка

Топ-5 технологий в Security-вакансиях: cloud, aws, python, azure, devsecops. Базовые обязательные навыки: OWASP Top 10 (must-know), Linux (advanced), Python и Bash для автоматизации, Git. Web-security: Burp Suite (стандарт для pen-test), OWASP ZAP, OWASP Dependency-Check. SAST/DAST: SonarQube, Checkmarx, Snyk, Semgrep. SIEM: Splunk, ELK (Elasticsearch + Logstash + Kibana), QRadar. Pen-test: Kali Linux, Metasploit, Nmap, Wireshark. Cloud security: AWS Security Hub, GCP Security Command Center, Azure Sentinel. IAM: HashiCorp Vault, Keycloak. Сертификации: OSCP (offensive), CISSP (managerial), OSCE, CEH, AWS Security Specialty.

AppSec (Application Security) — безопасность кода и приложений, code review, SAST/DAST, threat modeling, OWASP. Работает в продуктовой команде. DevSecOps — встраивает безопасность в CI/CD-пайплайны, secrets management, container scanning, GitOps. Близко к DevOps + security. Pen-Tester / Red Team — этичный взлом, симуляция атак, поиск 0-day уязвимостей, OSCP/OSCE сертификации. Чаще консалтинг или специализированные компании. SOC Analyst (Security Operations Center) — мониторинг инцидентов 24/7, triaging, реагирование, работа с SIEM (Splunk/QRadar). По зарплате: AppSec ≈ DevSecOps > Pen-Tester ≈ Cloud Security > SOC Analyst. Career-flow: SOC Tier 1 → Tier 2 → AppSec/Cloud → Senior → Security Architect.

Частично: 37% Security-вакансий — full-remote. Меньше чем у Backend/DevOps, потому что банки и финтех требуют гибрид или офис из-за compliance — работа с PII, платёжными данными, доступом к production. Локальные компании по разработке безопасности — чаще гибрид. Международные продуктовые команды — почти всегда remote. Pen-Tester freelance (Bug Bounty на HackerOne/Bugcrowd) — полностью remote, гибкий график, потолок зависит только от навыка. SOC Analyst — много remote вакансий (часто работа в shift'ах). Cloud Security — типично remote (всё через AWS/GCP консоль).

DevOps отвечает за инфраструктуру и CI/CD — автоматизация, наблюдаемость, надёжность production. Security Engineer отвечает за защиту: поиск уязвимостей, threat modeling, инцидент-менеджмент, compliance. Стек пересекается (Linux, Docker, Kubernetes, cloud), но фокус разный. DevSecOps — гибрид: инженер DevOps с security-специализацией, встраивает SAST/DAST/secrets-scanning в пайплайны. По зарплате Security обычно платят на 10-20% выше DevOps за специализацию и редкость. Career-flow: Backend Senior → DevOps → DevSecOps; либо отдельный Security трек (SOC → AppSec → Senior Security). Senior могут конвергировать в Security Architect — высший уровень.

Прямого пути в Security нет — обычно эволюция из смежной роли. Два самых частых entry-point: 1) Backend / DevOps Middle (2-3 года) → переход в AppSec/DevSecOps через освоение OWASP Top 10, SAST/DAST, threat modeling. 2) SOC Analyst Tier 1 (junior-friendly, monitoring в shift'ах) → Tier 2 → специализация. Pet-проекты: HackTheBox, TryHackMe (CTF-платформы для отработки навыков), OverTheWire, контрибуции в open-source security tools. Сертификации: OSCP (Offensive Security Certified Professional — must-have для Pen-Test), CISSP (managerial-track), AWS Security Specialty, CKS (Kubernetes Security). Книги: «The Web Application Hacker's Handbook» (Dafydd Stuttard), «Black Hat Python», «Threat Modeling» (Adam Shostack).

На момент последнего обновления в выборке Zorky CRM 7089 активных открытых Security-вакансий по рынку СНГ и Восточной Европы. Это позиции с датой публикации в последние 90 дней — реально нанимающие компании. География распределена: лидеры — US, GB, PL. Данные собраны из 101 досок вакансий и 15 780 сайтов компаний: Telegram-каналы (особенно для нишевых Pen-Test и Bug Bounty вакансий, security-конференции, anti-leak коммьюнити), профильные job-сайты (HH, Habr Career, Djinni, DOU, NoFluffJobs, JustJoin.it, Pracuj.pl), career-pages security-вендоров. Security — нишевая область, поэтому объём вакансий меньше Backend/Frontend, но один из самых высокооплачиваемых.

Главный фактор — валюта контракта и специализация. Pen-Test и Cloud Security обычно платят премиально (+20-30% к медиане). Локальные российские банки на рублёвых контрактах за 2 года приблизились к польскому рынку для Senior.

Senior Security владеет полным стеком защиты на одной из специализаций (AppSec / DevSecOps / Cloud Security / Pen-Test). Базовые: OWASP Top 10, Linux (advanced), Python + Bash, Git. Понимание стека разработки (выбрать один: Backend или Frontend на Senior). Для AppSec: SAST/DAST (SonarQube, Checkmarx, Snyk, Semgrep), Burp Suite advanced, OWASP ZAP, secure code review, threat modeling (STRIDE, PASTA). Для DevSecOps: secrets management (HashiCorp Vault), container scanning (Trivy, Snyk), GitOps. Для Cloud Security: AWS Security Hub / GCP SCC / Azure Sentinel, IAM на уровне политик, compliance (SOC 2, ISO 27001, GDPR). Сертификации (OSCP/CISSP/AWS Security/CKS), опыт с инцидент-менеджментом, leadership.