Инженер информационной безопасности — это не «прошёл курс хакера» и не строка CISSP в резюме без практики. AppSec, SOC, инфраструктурная безопасность — разные двери, разные артефакты, разные junior-слоты. Смешивать их в одном файле «Security Engineer / всё» на старте почти всегда проигрыш: рекрутер не понимает, какую первую смену вам дать.
В 2026-м в СНГ вход чаще через смежную роль (разработка, админка, SOC L1) плюс лабораторный след, который можно открыть. Ниже — как выбрать дверь, какой лабораторный след не выглядит как скрипт из гайда и почему сертификат сам по себе не вакансия.
Коротко:
- Выберите одно направление на квартал: приложение, мониторинг/SOC, инфраструктура.
- Доказательство — разбор, отчёт, пайплайн проверки, а не ник на CTF без пояснения.
- CISSP, OSCP и облачные экзамены не заменяют работу и часто не рассчитаны на нулевой вход.
- Вакансии «без опыта, но сразу red team и 5 лет» игнорируйте.
- Ищите задачи (ревью, алерты, hardening, политики), не слово Hacker в заголовке.
Кому этот вход подходит — и кому нет
Подходит, если вам интересно ограничивать ущерб и проверять системы в явной рамке, а не «взламывать всё подряд». Сильный смежный старт: разработка для AppSec, поддержка и смены для SOC, админка для инфры. Слабый старт: только фильмы, Kali в резюме и план сдать CISSP до первой лаборатории.
Не подходит как быстрый заработок: нормальные компании не берут нулевого человека сразу в red team. Не подходит, если вы не готовы документировать находки и жить в плейбуках — тогда это хобби CTF, не работа. Не подходит публикация чужих дыр «для портфолио»: это риск, не плюс.
Юридические и аттестационные треки (комплаенс, госсектор) — отдельная пачка вакансий. Не смешивайте их с AppSec продукта, если не целитесь туда. Английский нужен хотя бы для чтения бюллетеней. Экзамены — после практики или под фильтр конкретной корпорации, не вместо отчёта.
Три двери, не одна профессия
AppSec / безопасность разработки. Ревью, угрозы на фичу, SAST/DAST как процесс, работа с разработкой, не «взломать банк с нуля». Ближе тем, кто уже писал код. Соседний путь: backend.
SOC / мониторинг / DFIR-lite. Очередь алертов, эскалация, плейбуки, понимание, что ложно, что нет. Ближе к дисциплине смен и тикетов, чем к эксплойтам. По духу пересекается с поддержкой и эксплуатацией.
Инфраструктура / cloud security / hardening. Сети, доступы, политики, секреты, базовая гигиена серверов и облака. Ближе к админам и DevOps: вход в DevOps. Не путать с SRE: там надёжность сервиса, здесь — угроза и контроль доступа. Сосед: SRE.
Pentest как первая должность без лаборатории и без смежного IT почти не существует в нормальных компаниях. Курсы «стань пентестером за месяц» продают экзамен, не слот.
Какой лабораторный след открывают
Рекрутер не будет проходить ваш CTF за вас. Ему нужен отчёт:
- Что за система (учебная), какая модель угроз на одну страницу.
- Что проверяли, чем, что нашли, как воспроизвести, как починить.
- Что не проверяли — честно.
- Без чужих прод-систем, без данных живых людей, без «я сканировал случайные IP».
Для AppSec: разбор учебного приложения, два-три класса дефектов, патч или рекомендация патча, как встроить проверку в CI на минимальном уровне. Для SOC: разбор пачки учебных логов, плейбук «что делаю при этом алерте», как отсечь шум. Для инфры: чеклист hardening одной машины/аккаунта облака учебного проекта, политика паролей/ключей, что будет при компрометации ключа.
Скрин «я в топе площадки» без отчёта — хобби. Отчёт без незаконных целей — портфолио.
Формат отчёта держите скучным и проверяемым: дата, стенд, что считали угрозой, шаги, результат, как чинить, что не покрыли. Две страницы лучше, чем сорок скринов Kali. Если находка не воспроизводится с нуля по вашему тексту, это ещё не артефакт. Для SOC вместо «взлома» достаточно плейбука: симптом, проверка, ложное/истинное, кого звать. Оба формата читаются быстрее сертификата в шапке.
Сертификаты: где уместны, где вредят
CISSP рассчитан на опыт. Ставить его целью «чтобы взяли junior» — типичная ошибка: вы готовитесь не к той двери. OSCP и похожие экзамены могут быть плюсом для pentest-трека после практики, не вместо неё. Облачные security-сертификаты имеют смысл, если облако уже в ваших задачах.
Правило: экзамен под конкретную вакансию или внутреннюю грейд-сетку. Не экзамен как профессия. В заголовке резюме — роль и направление, не аббревиатура института. Если фильтр HR всё же требует строку, сдавайте после отчёта, не вместо него. На рынке junior строка CISSP без практики чаще режет доверие, чем открывает слот. Сначала направление и отчёт, потом аббревиатура — если она вообще нужна этой вакансии.
Пример 1. 90 дней в AppSec из разработки
Исход: год backend или даже крепкий учебный API. Цель — junior AppSec / application security engineer.
- Месяц 1. Модель угроз на свой сервис: аутентификация, доступы между ролями, инъекции, секреты в репозитории. Починить то, что сами нашли. Короткий отчёт.
- Месяц 2. Одна проверка в CI: линтер секретов или простой SAST на учебном репо. Описание ложных срабатываний. Не обещайте «внедрил enterprise-платформу».
- Месяц 3. Резюме: Application Security / ревью и гигиена сервиса. Отклики на AppSec и «безопасная разработка», не на SOC 24/7 и не на red team. Тестовые: разбор чужого учебного кода, не взлом прод-стенда без рамки.
Если кода нет совсем, AppSec-дверь тяжелее. Тогда SOC L1 или инфровая гигиена из админки реалистичнее, чем курс пентеста.
Пример 2. Письмо на SOC L1 / junior security
Вакансия: специалист SOC, смена, разбор алертов, плейбуки, русский язык, без требования CISSP.
Откликаюсь на роль SOC с разбором алертов по плейбукам.
По вакансии в первый месяц нужно классифицировать срабатывания, не эскалировать шум и фиксировать шаги. Разобрал учебный набор логов веб-сервиса: 12 алертов, 4 ложных, 2 эскалации с таймлайном и рекомендацией, что добавить в правило. Плейбук на одну страницу в папке: [ссылка]. Коммерческого SOC нет; есть дисциплина смен в поддержке — очередь и эскалация уже знакомы.
CISSP нет — в вакансии не требуется. Готов пробную смену разбора по вашим учебным кейсам или созвон по плейбуку на этой неделе.
Смежный опыт переведён на тикеты и эскалацию, не «интересовался кибербезом с детства». Формула письма: без опыта, черновик cover-letter.