В большинстве IT-профессий география давно перестала решать: разработчик из Кирова садится на удалёнку в московскую продуктовую команду и получает московские деньги. В информационной безопасности так не работает. Удалённых вакансий в ИБ — 2,7 % от всех предложений на рынке, а разрыв между Москвой и средним регионом доходит до 2,6 раза. Безопасника держат на месте допуски, режимные помещения, аттестованные сегменты сети и требования регуляторов, и уехать от них в ноутбук на кухне не получается. Поэтому зарплата специалиста по информационной безопасности в 2026 году сильнее привязана к точке на карте, чем зарплата почти любого его коллеги по IT-департаменту. Ниже собраны живые цифры на август 2026: медианы, вилки по грейдам и специализациям, девять городов России, десять стран, пересчёт в деньги «на руки» и разбор того, сколько приносит багбаунти сверх оклада. Если вы ещё выбираете направление, начните с разбора профессии целиком, здесь мы говорим только про деньги.
CheckroiПодборка курсов для специалистов по информационной безопасности93 курса • 22 школыСравните цены, школы, программу и найдите выгодные предложения по обучениюСравнить→
Коротко: сколько получают безопасники в 2026
Если нужен один экран с ответом, вот он. Все цифры до вычета НДФЛ, если не указано иное.
- Медиана по всем вакансиям России: 95 000 ₽ в месяц, средняя 114 530 ₽ (2 798 вакансий с указанной зарплатой из 6 555 опубликованных, ноябрь 2025 по март 2026).
- Медиана зарплатных ожиданий соискателей: 162 400 ₽, а средняя предлагаемая работодателями всего 99 900 ₽. Разрыв между «хочу» и «дают» почти двукратный.
- Новичок без опыта: от 30 000 до 60 000 ₽, медиана предложений 55 680 ₽.
- Специалист с опытом 1–3 года: 85 000–100 000 ₽; 3–6 лет: 130 000–160 000 ₽.
- Старший специалист (6+ лет): 190 000–260 000 ₽, в Москве медиана по позиции «специалист по ИБ» 230 000 ₽, потолок вакансий 400 000 ₽.
- Руководитель отдела ИБ в Москве получает медианные 350 000 ₽, до 600 000 ₽. Директор по информационной безопасности: 500 000 ₽ медианы и до 1 000 000 ₽ в верхней точке.
- За рубежом: в США около $138 000 в год, в Швейцарии CHF 113 000–177 000, в Польше 17 000–33 000 злотых в месяц у сеньора, в ОАЭ до AED 520 000 в год у лида.
Дефицит кадров держит рынок в тонусе: к концу весны работодатели искали почти 42 000 специалистов по защите информации одновременно. Спрос на профессию за год вырос на 18 %, и это не разовый всплеск: количество открытых программ и проектов по импортозамещению средств защиты растёт третий год подряд. Мы собрали 103 курса по информационной безопасности с ценами, форматами и отзывами. Там же видно, какие программы готовят под конкретные специализации из таблиц ниже.
Почему у доходов в ИБ две разные медианы и обе честные
Первое, обо что спотыкается любой, кто гуглит доходы безопасника: одни источники пишут 95 000 ₽, другие 230 000 ₽. Обе цифры настоящие, просто считают они разные вещи.
95 000 ₽ это медиана всех вакансий в стране, включая операторов SOC первой линии в Иркутске, специалистов по режиму в муниципальных учреждениях и «эникейщиков с функцией ИБ» в компаниях на 40 человек. Такие вакансии составляют большую часть выборки просто потому, что их много.
230 000 ₽ это медиана московской позиции «специалист по информационной безопасности» в компании, у которой ИБ выделена в отдельную функцию: есть SIEM, есть процессы, есть регуляторные обязательства. Это тоже медиана, но по другой генеральной совокупности.
Канал основателя Checkroi Вани Буявца3 700 человек читают мой Телеграм-канал про нейросетиСобрал промпты для Claude Code и ChatGPT, разборы ИИ-инструментов и лайфхаки по продвижению бизнеса в одном местеПрисоединитьсяКак этим пользоваться. Смотрите не на «среднюю по профессии», а на пересечение трёх параметров: город, специализация и зрелость ИБ в компании. Разброс внутри одного грейда по этим трём осям больше, чем разница между грейдами.
Сколько зарабатывает специалист по ИБ в России: разбор по грейдам
Карьерная лестница в ИБ идёт по классической IT-шкале, но с важной поправкой: верхняя ступень здесь не «архитектор», а директор по информационной безопасности, роль с бюджетом, ответственностью перед регулятором и, как правило, личной подписью под моделью угроз.
Стажёр (Intern / Trainee)
Первые полгода в профессии проходят на мониторинге: разбор алертов, оформление инцидентов, инвентаризация активов. Оклад стажёра составляет 30 000–60 000 ₽, в московских интернатурах крупных вендоров ближе к верхней границе, в регионах бывает и 25 000 ₽ с обещанием «через три месяца пересмотрим». Медиана предложений для кандидатов без опыта по стране равна 55 680 ₽. Это тот грейд, где важнее не деньги, а попадание в компанию с настоящим SOC: год мониторинга реальных инцидентов стоит дороже трёх лет чтения теории. Как выстроить этот путь по шагам, разобрано в roadmap входа в профессию.
Начинающий специалист (Junior, 0–1,5 года опыта)
Junior уже закрывает первую линию самостоятельно: триаж событий, эскалация, базовая настройка средств защиты. В Москве вилка 60 000–120 000 ₽, в регионах 50 000–90 000 ₽. Отдельно стоит SOC-аналитик первой линии: стартовые предложения начинаются от 80 000 ₽, потому что работа сменная и часто круглосуточная, а доплата за ночные смены прибавляет к окладу ещё 15–25 %.
Специалист (Middle, 1,5–3,5 года опыта)
Медиана по опыту 1–3 года составляет 85 000 ₽, при опыте 3–6 лет она подскакивает до 130 500 ₽. Это самый большой процентный рывок на всей лестнице: +53 % и +54 % на двух соседних ступенях. В московских компаниях мидл получает 130 000–250 000 ₽, в регионах-миллионниках 100 000–160 000 ₽. На этом грейде впервые появляется выбор специализации, и от него дальше зависит всё: разница между инженером ИБ и пентестером на одном стаже превышает два раза.
Старший специалист (Senior, 3,5–6 лет опыта)
Работодатели предлагают сеньорам медианные 259 200 ₽, и это редкий случай, когда предложение выше ожиданий соискателей (190 500 ₽, разрыв 36 %). Рынок перегрет именно на этой ступени: специалистов, которые умеют не только настроить средство защиты, но и защитить решение перед аудитором, физически мало. В Москве вилка 230 000–400 000 ₽, в регионах 150 000–260 000 ₽.
Ведущий специалист (Team Lead, руководитель отдела ИБ)
Медиана в Москве составляет 350 000 ₽, потолок вакансий 600 000 ₽; в Петербурге 310 000 ₽. За год позиция подорожала на 6–7 %. Здесь заканчивается «руками» и начинается управление: команда от пяти человек, защита бюджета, отношения с ИТ-департаментом и с проверяющими.
Директор по информационной безопасности (CISO)
Верхняя точка найма: медиана 500 000 ₽ в Москве и 470 000 ₽ в Петербурге, максимум по вакансиям 1 000 000 ₽ и 950 000 ₽ соответственно. За год эти позиции выросли сильнее всех остальных: +11 % в Москве, +12 % в Петербурге. Любопытный нюанс: если считать медиану CISO по всем вакансиям страны, а не только по столичным, она падает до 180 000 ₽: в средней региональной компании «директор по ИБ» это человек-оркестр из одного сотрудника.
Как читать объявления о вакансиях. В ИБ зп в объявлении почти никогда не равна тому, что придёт на карту: у сменных позиций сверху идут ночные, у режимных идёт надбавка за секретность, у консалтинга процент от проекта. Спрашивайте про полную структуру выплат на первом же созвоне.
Таблица зарплат специалиста по информационной безопасности по грейдам в России
| Грейд | Опыт | Москва, ₽/мес | Регионы, ₽/мес | Топ-оффер, ₽/мес |
|---|---|---|---|---|
| Стажёр (Intern / Trainee) | 0–6 мес | 40 000–60 000 | 25 000–45 000 | 70 000 |
| Начинающий специалист (Junior) | 0–1,5 года | 60 000–120 000 | 50 000–90 000 | 150 000 |
| Специалист (Middle) | 1,5–3,5 года | 130 000–250 000 | 100 000–160 000 | 300 000 |
| Старший специалист (Senior) | 3,5–6 лет | 230 000–400 000 | 150 000–260 000 | 450 000 |
| Ведущий специалист (Team Lead) | 5+ лет и команда | 350 000–600 000 | 220 000–380 000 | 700 000 |
| Директор по ИБ (CISO) | 8+ лет | 500 000–1 000 000 | 250 000–500 000 | 1 200 000 |
Данные на август 2026 по вакансиям hh.ru, аналитике anti-malware.ru и CISOCLUB. Суммы до вычета НДФЛ.
Кем работать в ИБ: доходы по специализациям от оператора SOC до пентестера
Запрос «информационная безопасность: кем работать и какая зарплата» люди задают поисковикам чаще, чем спрашивают про грейды, и это правильный инстинкт. Выбор специализации двигает доход сильнее, чем лишние два года стажа. Медианы ниже посчитаны по вакансиям с указанной зарплатой за период с ноября 2025 по март 2026.
| Специализация | Медиана, ₽/мес | Типичная вилка, ₽/мес | Что решает в деньгах |
|---|---|---|---|
| Оператор SOC (1-я линия) | 50 096 | 36 000–66 000 | Сменный график, входная позиция |
| Инженер по ИБ | 95 700 | 69 000–133 000 | Знание конкретных СЗИ и их эксплуатации |
| SOC-аналитик (2–3-я линия) | ≈170 000 | 150 000–250 000 | Threat hunting, написание правил корреляции |
| Специалист по ИБ (Москва) | 230 000 | 145 000–320 000 | Зрелость ИБ-функции в компании |
| AppSec-инженер | 226 000 | 180 000–350 000 | SAST/DAST и безопасный цикл разработки (SDLC) |
| Архитектор ИБ | 226 200 | 165 000–326 000 | Проектирование защиты под требования регулятора |
| Пентестер | 250 000 | 100 000–400 000 | Сертификация OSCP, публичные отчёты, багбаунти |
| DevSecOps-инженер | ≈300 000 | 200 000–450 000 | Стык разработки и защиты, дефицитная связка |
| Директор по ИБ (CISO) | 500 000 (Москва) | 180 000–1 000 000 | Размер компании и цена её рисков |
Самый заметный разрыв случился между оператором SOC и пентестером: пятикратный при формально одной профессии в трудовой книжке. Отдельная история у DevSecOps-инженеров: направление выросло на 35 % за год при конкуренции пять резюме на вакансию, а в топовых компаниях планка доходит до 600 000 ₽. Причина не в сложности задач, а в конкуренции за людей: таких специалистов приходится переманивать сразу с двух смежных рынков, из разработки и из ИБ.
Практический вывод. Если вы сейчас на первой линии SOC и смотрите на цифру 50 096 ₽, помните: это потолок позиции, а не профессии. Переход во вторую линию с навыком threat hunting утраивает доход быстрее, чем три года выслуги на месте.
Сколько специалист по ИБ получает на руки: прогрессивная шкала НДФЛ
С 1 января 2025 года НДФЛ в России считается по пятиступенчатой прогрессивной шкале. Ставка применяется не ко всему доходу, а только к части сверх порога: первые 2,4 млн ₽ в год всегда облагаются по 13 %, каким бы большим ни был годовой доход.
| Годовой доход | Месячный эквивалент | Ставка НДФЛ |
|---|---|---|
| до 2,4 млн ₽ | до 200 000 ₽/мес | 13 % |
| 2,4–5 млн ₽ | 200 000–417 000 ₽/мес | 15 % |
| 5–20 млн ₽ | 417 000–1 667 000 ₽/мес | 18 % |
| 20–50 млн ₽ | 1,67–4,17 млн ₽/мес | 20 % |
| свыше 50 млн ₽ | более 4,17 млн ₽/мес | 22 % |
Как это выглядит на реальных вилках профессии:
- Junior, 90 000 ₽ gross → 78 300 ₽ чистыми. Эффективная ставка 13,0 %.
- Middle, 180 000 ₽ gross → 156 600 ₽ на руки. Всё ещё 13,0 %, до второй ступени не хватает 20 000 ₽.
- Senior, 300 000 ₽ gross → 259 000 ₽ чистыми. Эффективная ставка 13,7 %: 13 % на первые 200 000 ₽ и 15 % на остальные 100 000 ₽.
- CISO, 600 000 ₽ gross → 508 850 ₽ на руки. Эффективная ставка 15,2 %, здесь работают уже три ступени сразу.
Два практических нюанса. Первый: IT-аккредитация компании не снижает НДФЛ сотрудника, она уменьшает налог на прибыль самой компании и страховые взносы, а из вашей зарплаты удержат ровно столько же. Второй: для контрактной работы и консалтинга по-прежнему выгоднее ИП на УСН 6 %, но с оговоркой, что в ИБ часть заказчиков из госсектора работает только по трудовому договору, потому что иначе не получится оформить допуск.
Канал основателя Checkroi Вани БуявцаЗабирайте промпты и обучение по нейросетям в моём Телеграм-каналеБольше 3 700 человек уже применяют Claude Code, ChatGPT и другие нейросети в работе, учёбе, бизнесе и жизниПерейти в каналЗарплаты специалистов по информационной безопасности по городам России
Вот здесь и проявляется главная особенность профессии. Медианы по девяти городам, посчитанные по вакансиям с указанной зарплатой:
| Город | Медиана, ₽/мес | Вакансий в выборке | % от Москвы |
|---|---|---|---|
| Москва | 140 000 | 978 | 100 % |
| Санкт-Петербург | 100 050 | 315 | 71 % |
| Владивосток | 100 000 | 61 | 71 % |
| Новосибирск | 90 000 | 71 | 64 % |
| Краснодар | 89 165 | 72 | 64 % |
| Екатеринбург | 82 500 | н/д | 59 % |
| Пермь | 80 000–85 000 | н/д | 59 % |
| Казань | ≈85 000 | н/д | 61 % |
| Иркутск | 60 000 | н/д | 43 % |
Медианы по всем вакансиям города, включая первую линию SOC и режимные позиции. Данные CISOCLUB за период с ноября 2025 по март 2026.
Московская надбавка к средней по стране составляет 47 %, а разрыв между столичным и рязанским специалистом доходит до 2,6 раза. Владивосток в этой таблице удивляет только на первый взгляд: там сосредоточены логистика, порты и таможенные системы, то есть объекты критической информационной инфраструктуры, за которые платят по столичным ставкам вне зависимости от долготы.
Посмотрите на третью колонку. В Москве почти тысяча вакансий, в Новосибирске семьдесят одна. Дело не только в деньгах: в регионе с десятком работодателей вы не можете разыграть оффер против оффера, а это главный механизм роста зарплаты в найме. Именно поэтому переезд в ИБ до сих пор окупается лучше, чем в разработке, и именно поэтому удалёнка здесь не спасает, о чём дальше.
Что влияет на доход в ИБ: мультипликаторы навыков и допусков
Сертификация OSCP: +130 000 ₽ к вилке пентестера
Самый измеримый множитель в профессии. Медиана московского пентестера составляет 220 000 ₽, у пентестера с действующим OSCP предложения начинаются от 350 000 ₽. Это +59 % к доходу за экзамен, который стоит порядка тысячи долларов и требует 24 часов непрерывной практической работы. Ни один другой сертификат в ИБ не даёт такой возврат так быстро.
CISSP и CISM: пропуск на управленческий трек
Эти две сертификации почти не влияют на оклад инженера, зато без них тяжело пройти в шорт-лист на позицию руководителя отдела и тем более CISO. CISM обычно берут на этапе перехода в управление отделом, CISSP берут перед выходом на C-level. Отдача отложенная, но именно она открывает вилку 350 000–1 000 000 ₽.
Допуск к государственной тайне: до 75 % надбавки к окладу
Полностью российская история, которой нет ни в одной другой IT-профессии. По Правилам, утверждённым постановлением Правительства РФ № 573, за постоянную работу со сведениями особой важности полагается ежемесячная надбавка 50–75 % должностного оклада. Для более низких степеней секретности процент ниже, а конкретный размер фиксируется в трудовом договоре. Сверху идёт отдельная надбавка за стаж работы в структурном подразделении по защите гостайны: 10 % при стаже 1–5 лет, 15 % при 5–10 годах и 20 % при стаже от 10 лет. То есть оклад 150 000 ₽ в режимной организации при удачном сочетании превращается в 250 000+ ₽, при том что базовая ставка в вакансии выглядела скромно.
Регуляторная экспертиза: КИИ, ФСТЭК, 152-ФЗ
Умение довести систему до аттестации по требованиям ФСТЭК, провести категорирование объектов критической информационной инфраструктуры по 187-ФЗ, построить защиту персональных данных под 152-ФЗ и приказ ФСТЭК № 21: этот навык не проверяется на техническом собеседовании, но добавляет к вилке 30–50 %. Причина проста: провал проверки стоит компании штрафа и приостановки деятельности, а специалистов, которые умеют разговаривать и с инженерами, и с проверяющими, единицы. Абитуриентам, которые только присматриваются к профессии, полезно заранее посмотреть, что сдавать на кибербезопасность. Профильные вузовские программы по защите информации как раз и дают эту регуляторную базу.
Отрасль работодателя
Финтех и банки платят на 25–40 % выше рынка: цена одного инцидента для них измеряется прямыми потерями и отзывом лицензии. Телеком и крупный ретейл платят на 10–20 % выше. Госсектор в базовой ставке проигрывает, но частично отыгрывается надбавками за секретность, выслугой и стабильностью. Промышленность и энергетика образуют отдельный премиальный сегмент из-за АСУ ТП: специалистов по безопасности промышленных систем на рынке от силы несколько сотен.
Английский язык
Даже без выхода на зарубежный рынок английский стоит денег: значительная часть документации по средствам защиты, отчёты threat intelligence и разборы новых техник атак выходят сначала на английском. В вакансиях уровня senior и выше требование B2 встречается примерно в половине случаев, и вилка в таких вакансиях в среднем на 15–20 % выше.
CheckroiПодборка курсов по кибербезопасности61 курс • 22 школыСравните цены, школы, программу и найдите выгодные предложения по обучениюСравнить→
Сколько платят специалистам по ИБ на удалёнке
Здесь придётся сказать неприятное. Доля полностью удалённых вакансий в информационной безопасности составляет 2,7 % от всех предложений. Для сравнения: в разработке этот показатель в разы выше. Причины структурные, и они никуда не денутся:
- Режим и допуски. Работа с гостайной, с аттестованными сегментами и с рабочими местами в защищённом контуре физически невозможна из дома: этого не разрешит ни одна модель угроз.
- Регуляторика. Аттестация объекта, работа комиссии, взаимодействие с проверяющими и подписание документов проходят очно.
- SOC работает сменами. Часть центров мониторинга допускает удалённые смены, но крупные заказчики требуют, чтобы дежурная смена сидела в помещении с контролем доступа.
- Доверие. Безопаснику по определению выдают максимальные права в инфраструктуре. Компании психологически тяжело даётся мысль, что человек с доменным админом никогда не появлялся в офисе.
Что из этого следует практически: гибрид, а не удалёнка. Реальный компромисс на рынке это два-три дня в офисе, остальное из дома, и такие вакансии в статистику «удалённых» не попадают. Полностью дистанционно чаще всего нанимают на консалтинг, аудит по 152-ФЗ, разработку документации, AppSec и пентест, где результат работы это отчёт, а не настроенное железо в стойке.
С зарубежной удалёнкой у безопасника ситуация ещё уже, чем у разработчика. Прямых замеров по российским ИБ-специалистам в иностранных командах нет, поэтому ориентиры ниже это пересчёт страновых вилок с типичным дисконтом 20–40 % за удалённый контракт, а не замеренные офферы. Считайте их порядком величины, а не прайс-листом:
- Middle AppSec или SOC-аналитик в европейский стартап: $3 000–5 000 в месяц
- Senior в европейскую продуктовую компанию: $5 000–8 000
- Senior пентестер или cloud security в американский стартап: $7 000–12 000
- Лид или архитектор ИБ на условиях США: $10 000–15 000
Каналы поиска стандартные: Deel и Remote для оформления, LinkedIn для прямого выхода на нанимающих менеджеров, реферальные сети внутри профильных сообществ. Помните про налоговое резидентство: при 183+ днях в России в календарном году доход от иностранного работодателя облагается по той же прогрессивной шкале, что и российская зарплата. По той же логике, что и у смежных инфраструктурных ролей, сравните с разбором того, сколько зарабатывает системный администратор, где удалёнка распространена заметно шире при похожем стартовом пороге входа.
Сколько зарабатывают безопасники в мире: обзор по странам
США
В англоязычных обзорах профессия проходит как information security analyst, и по запросу cyber security salary вилки почти всегда указывают в год, а не в месяц. Средняя годовая ставка information security analyst составляет $138 228. Стартовые позиции идут по $65 000–85 000, mid-level $107 000–148 000, senior от $180 000 и выше, в отдельных случаях за $400 000 с учётом акций. По штатам разброс большой: Калифорния, Нью-Йорк и Вашингтон дают премию к национальной средней в 15–25 %.
Канада
Средняя по стране для cyber security analyst составляет CA$81 641 в год, в Торонто information security analyst получает около CA$76 517. Канада заметно уступает США при сопоставимой стоимости жизни в крупных городах, зато выигрывает по иммиграционной доступности.
Германия
Senior SOC-аналитик получает €68 000–90 000 в год, senior cloud security engineer уходит за €100 000. Немецкий рынок ценит формальные сертификации и профильное образование сильнее, чем портфолио.
Великобритания
Senior SOC-аналитик получает £65 000–92 000, senior cloud security engineer £95 000–130 000. Лондонская премия к остальной стране около 20 %.
Нидерланды и Швейцария
Нидерланды: senior SOC получает €70 000–95 000, cloud security senior €102 000–138 000, плюс налоговая льгота для релокантов. Швейцария остаётся верхней точкой Европы: средняя по cyber security engineer CHF 113 000, а в гайде Robert Half вилка security specialist в Цюрихе указана как CHF 124 000–177 000, в Женеве CHF 129 000–184 000.
Польша и Восточная Европа
По трудовому договору (UoP): junior 7 000–14 000 злотых gross в месяц, middle 11 000–22 000, senior 17 000–33 000. Большинство сильных специалистов работают по B2B-контракту, где пентестеры и security-инженеры выставляют счета на 24 000–42 000 злотых чистыми в месяц. Польша остаётся главным хабом для восточноевропейского ИБ-аутсорса.
ОАЭ
Средняя по профессии составляет AED 319 600 в год (около AED 26 600 в месяц) и без подоходного налога. Junior security analyst получает AED 90 000–150 000, mid-level инженер или SOC-аналитик AED 160 000–300 000, senior и лид AED 300 000–520 000 ($82 000–141 000). Дубай активно перекупает специалистов из СНГ, но требует международные сертификации.
Казахстан и Армения
Казахстан: средняя зарплата специалиста по кибербезопасности составляет 569 040 тенге в месяц, отдельные предложения доходят до 1 527 000 тенге. Вакансии сосредоточены в Алматы (53 %), Астане (29 %) и, неожиданно, Уральске (8 %). Армения: IT-специалисты получают 500 000–1 200 000 драмов ($1 300–3 000), senior и узкие специализации 1 500 000–2 500 000 драмов ($3 800–6 400).
Таблица зарплат специалистов по ИБ по странам мира
| Страна | Валюта | Middle, в год | Senior, в год | Senior, $/мес |
|---|---|---|---|---|
| США | USD | 107 000–148 000 | 180 000–250 000 | 15 000–20 800 |
| Швейцария | CHF | 95 000–120 000 | 124 000–184 000 | 12 900–19 100 |
| Нидерланды | EUR | 55 000–72 000 | 70 000–138 000 | 6 700–13 200 |
| Великобритания | GBP | 45 000–65 000 | 65 000–130 000 | 6 900–13 800 |
| Германия | EUR | 52 000–68 000 | 68 000–100 000 | 6 500–9 600 |
| Канада | CAD | 70 000–90 000 | 95 000–130 000 | 5 700–7 800 |
| ОАЭ | AED | 160 000–300 000 | 300 000–520 000 | 6 800–11 800 |
| Польша | PLN | 132 000–264 000 | 204 000–396 000 | 4 500–8 700 |
| Россия | RUB | 1 560 000–3 000 000 | 2 760 000–4 800 000 | 2 800–4 900 |
| Казахстан | KZT | 6 800 000–10 000 000 | 10 800 000–18 300 000 | 1 900–2 900 |
| Армения | AMD | 9 600 000–14 400 000 | 18 000 000–30 000 000 | 3 800–6 400 |
Пересчёт в доллары по курсу ЦБ РФ на 8 августа 2026 (82,17 ₽ за доллар). Российские суммы указаны до вычета НДФЛ, зарубежные как gross, кроме ОАЭ, где подоходного налога нет.
Багбаунти как вторая зарплата: сколько приносит охота за уязвимостями
Единственная IT-профессия, где легально существует полноценный второй источник дохода, никак не связанный с работодателем. Багбаунти это выплаты за найденные уязвимости в системах компаний, которые официально открыли свои продукты для исследователей. В России рынок оформился за последние три года, и цифры уже перестали быть символическими.
Сколько платят российские платформы
На BI.ZONE Bug Bounty за 2025 год компании выплатили исследователям 100 млн ₽. На платформе действовало 150 программ, в полтора раза больше, чем годом ранее. Средний размер выплаты держится около 40 000 ₽, максимальное единичное вознаграждение за год составило 1,8 млн ₽.
На Standoff Bug Bounty суммарно выплачено уже более 457 млн ₽, а рекордная выплата за один отчёт достигла 4,9 млн ₽. Отдельные программы платят как небольшие компании: мессенджер MAX выплатил 10 млн ₽ по 71 принятому отчёту, RuStore 3,6 млн ₽ по 21 отчёту, ВКонтакте 3,6 млн ₽ по 243 отчётам. Всего за 2025 год белые хакеры нашли 13 690 уязвимостей в системах российских компаний и госучреждений.
Как это выглядит в личном бюджете
Разделите 3,6 млн ₽ на 243 отчёта во ВКонтакте, получится около 14 800 ₽ за отчёт. Разделите 10 млн ₽ на 71 отчёт в MAX, выйдет 140 000 ₽. Разница в десять раз означает простую вещь: доход в багбаунти определяется критичностью находки, а не их количеством. Двадцать отчётов про открытый редирект дадут меньше, чем один обход аутентификации.
Это нерегулярный заработок по определению. Реалистичная картина для практикующего специалиста, который занимается багбаунти по вечерам и выходным: от нуля в первые месяцы до 30 000–80 000 ₽ в месяц через год-полтора регулярной работы. Верхняя часть распределения это люди из топ-10 рейтинга платформ, для которых это уже основная занятость с доходом выше любого найма. Нижняя часть это большинство: месяцы без единой принятой находки чередуются с внезапными 200 000 ₽ за одну критичную уязвимость.
Важный нюанс. Багбаунти легально ровно в границах программы: чётко описанный скоуп, разрешённые техники, запрет на DoS и работу с реальными данными пользователей. Шаг за периметр программы это уже состав преступления. Правила каждой программы читают до первого запроса, а не после.
Практическая ценность багбаунти шире денег: публичный рейтинг на платформе это портфолио, которое невозможно подделать. У пентестеров с видимым профилем и парой громких находок собеседование часто сводится к обсуждению оффера, а не к техническому интервью.
Как доход специалиста по ИБ растёт от Junior к Senior
Три перехода, за которые проходит вся денежная история профессии.
1. Junior → Middle: 1,5–2 года, рост в 1,8–2 раза. С 60 000–90 000 ₽ до 130 000–180 000 ₽. Триггер перехода наступает в момент, когда вы перестаёте эскалировать инциденты и начинаете закрывать их сами, включая написание правил корреляции. Самый быстрый и самый предсказуемый скачок на всей лестнице.
2. Middle → Senior: 2–3 года, рост в 1,6–1,8 раза. До 230 000–300 000 ₽. Здесь перестаёт работать «набирать часы»: рынок платит за специализацию. Мидл, который за два года стал AppSec-инженером или пентестером с OSCP, обгоняет мидла, который два года ровно делал то же самое, в полтора-два раза.
3. Senior → Lead или CISO: 2–4 года, рост в 1,4–2 раза. До 350 000–600 000 ₽ и выше. Развилка честная: технический трек (архитектор ИБ, principal-инженер) упирается примерно в 400 000–450 000 ₽, управленческий уходит за миллион, но требует бюджетов, переговоров и личной ответственности перед регулятором. Для сравнения масштаба: похожая развилка есть в тестировании, где потолок зарплаты тестировщика тоже упирается в выбор между технической глубиной и управлением.
Суммарно путь от первой зарплаты до 300 000 ₽ занимает в среднем 4–5 лет, быстрее, чем в большинстве инженерных профессий, потому что дефицит кадров сокращает время выдержки на каждом грейде.
Как повысить свою зарплату в информационной безопасности: 5 рабочих шагов
1. Выберите специализацию до третьего года. Универсальный «специалист по ИБ» упирается в 150 000–200 000 ₽ и стоит там годами. AppSec, пентест, DevSecOps и архитектура ИБ начинаются там, где универсал заканчивается. Выбирать стоит по тому, что вам искренне интересно разбирать по вечерам: в этой профессии без этого не вырасти.
2. Сдайте OSCP, если идёте в наступательную безопасность. +130 000 ₽ к вилке за один экзамен, лучшая окупаемость обучения на всём рынке ИБ. Для оборонительного трека аналог по отдаче даёт практический опыт с конкретным SIEM, который стоит у большинства крупных заказчиков.
3. Наберите регуляторную экспертизу. Категорирование КИИ, аттестация по ФСТЭК, модель угроз, 152-ФЗ. Это скучно, это не обсуждают на конференциях, и именно поэтому за это доплачивают 30–50 %. Специалист, который умеет и настроить, и защитить настроенное перед проверяющим, стоит как два отдельных человека.
4. Идите в отрасль, где инцидент стоит дорого. Один и тот же набор навыков в банке стоит на 25–40 % больше, чем в среднем ретейле. Цена риска работодателя напрямую конвертируется в вашу вилку.
5. Заведите публичный след. Профиль на багбаунти-платформе, разборы техник, выступления на профильных митапах. В ИБ это рабочий инструмент, а не тщеславие: рынок маленький, нанимающие менеджеры друг друга знают, и входящие предложения приходят к тем, чью фамилию видели.
Где учиться на специалиста по информационной безопасности
Стоит ли ради этой профессии идти в вуз, вопрос честный, и ответ зависит от трека. Профессия из тех, где формальное образование помогает, но не решает: работодателя интересует, умеете ли вы разобрать инцидент и защитить систему перед аудитором. Онлайн-курсы закрывают практическую часть быстрее вуза, а вузовская программа даёт регуляторную базу, которую потом сложно добрать самостоятельно. Мы собрали и сравнили программы по цене, длительности, наличию стажировки и отзывам выпускников:
| Курс | Школа | Стоимость со скидкой | В рассрочку | Длительность | Обзор курса от Checkroi |
|---|---|---|---|---|---|
| Кибербезопасность Перейти на сайт курса |  Нетология | 200 000 ₽ | 16 667 ₽/мес. | 24 месяца | Обзор курса |
| Цифровая трансформация в бизнесе Перейти на сайт курса |  Moscow Business Academy | 286 000 ₽ | 23 833 ₽/мес. | 9 месяцев | Обзор курса |
| Специалист по кибербезопасности Перейти на сайт курса |  Эдюсон | 145 900 ₽ | 6079 ₽/мес. | 5 месяцев | Обзор курса |
| Профессия «Разработчик на C++ с нуля» Перейти на сайт курса |  Skillbox | 138 935 ₽ | 4808 ₽/мес. | 7 месяцев | Обзор курса |
| Онлайн-магистратура МИФИ "Информационная безопасность" Перейти на сайт курса |  SkillFactory | 225 000 ₽ | 18 750 ₽/мес. | 24 месяца | Обзор курса |
| Магистратура «Кибербезопасность» с НИУ ВШЭ Перейти на сайт курса | Нетология | 310 000 ₽ | 25 833 ₽/мес. | 23 месяца | Обзор курса |
| Цифровая экономика и искусственный интеллект (Магистратура) Перейти на сайт курса |  Синергия | 280 000 ₽ | 23 333 ₽/мес. | 2 years | Обзор курса |
| Информационные технологии (Бакалавриат) Перейти на сайт курса | Синергия | 440 000 ₽ | 36 667 ₽/мес. | 4 years | Обзор курса |
| Профессия «Специалист по кибербезопасности» Перейти на сайт курса | Skillbox | 178 533 ₽ | 4606 ₽/мес. | 12 месяцев | Обзор курса |
| DevSecOps: практика безопасной разработки с ВШЭ Перейти на сайт курса | Нетология | 216 000 ₽ | 6000 ₽/мес. | 6 месяцев | Обзор курса |
Больше программ — в полном каталоге курсов для специалистов по информационной безопасности
Если вы ещё не определились со специализацией из таблицы выше, полезно сначала посмотреть, чем содержательно занимается безопасник и чем он шире кибербеза: выбор направления определяет вашу вилку сильнее, чем выбор конкретного курса.
А тем, кто входит в профессию с нуля, пригодится пошаговый план на первые 12 месяцев. Там расписано, в каком порядке брать теорию, лабораторки и первую работу, чтобы не застрять на первой линии SOC.
Главное о доходах специалистов по информационной безопасности в 2026
Медиана по всем российским вакансиям составляет 95 000 ₽, медиана московского специалиста с выделенной ИБ-функцией 230 000 ₽, и обе цифры честные: они считают разные рынки внутри одной профессии. Новичок стартует с 30 000–60 000 ₽, через два года выходит на 130 000–180 000 ₽, через пять лет на 230 000–300 000 ₽. Верхняя точка найма это директор по ИБ с медианой 500 000 ₽ в Москве и потолком в миллион.
Специализация двигает доход сильнее стажа: между оператором SOC (50 000 ₽) и пентестером (250 000 ₽) пятикратная разница при одной записи в трудовой. Из измеримых множителей самые сильные это OSCP (+130 000 ₽ пентестеру), допуск к гостайне (до 75 % оклада плюс надбавка за стаж) и регуляторная экспертиза по КИИ и ФСТЭК (+30–50 %).
И главное про географию, с чего мы начинали: удалёнки в ИБ почти нет, всего 2,7 % вакансий, а разрыв Москва/регион доходит до 2,6 раза. В этой профессии переезд или гибрид всё ещё окупаются лучше, чем в разработке, а вторым источником дохода вместо зарубежного контракта чаще становится багбаунти, где российские платформы за один только 2025 год выплатили исследователям более 100 млн ₽.
