Jak napisać CV z cyberbezpieczeństwa bez doświadczenia?

Menedżerowie ds. rekrutacji w bezpieczeństwie nie oczekują od początkujących kandydatów historii zatrudnienia w tej dziedzinie. Sprawdzają, czy faktycznie wykonałeś pracę związaną z nauką, a nie tylko okazałeś zainteresowanie. CV to miejsce, gdzie to dowodzisz.

Zacznij od bloku umiejętności i projektów, nie od akapitu podsumowania

Pomiń generyczne sformułowanie "zmotywowany profesjonalista szukający okazji". Nic to nie mówi i marnuje cenną przestrzeń u góry strony. Zamiast tego umieść krótki blok bezpośrednio pod imieniem i danymi kontaktowymi z konkretnymi narzędziami i obszarami: "Nmap, Wireshark, Burp Suite, Splunk, Python scripting, administracja Windows/Linux, TryHackMe Top 1%, OSCP w toku". Rekruter skanując pięćdziesiąt CV decyduje w około sześć sekund, czy czytać dalej — daj mu słowa kluczowe natychmiast.

Zamieniaj laboratoria i CTF-y w linijki CV, nie w hobby

Nie chowaj praktycznej pracy w sekcji "zainteresowania" na dole. Jeśli ukończyłeś ścieżkę SOC Level 1 na TryHackMe, zbudowałeś домашnie laboratorium z pfSense i SIEM lub uzyskałeś wynik w CTF, napisz to jak projekt:

• "Zbudowałem domowe laboratorium SOC z użyciem Security Onion i Sysmon do wykrywania i analizy symulowanych ataków (Atomic Red Team), sporządzając notatki detekcyjne dla każdej testowanej techniki."
• "Ukończyłem 40+ pokoi TryHackMe obejmujących ataki na Active Directory, exploitacje webowe i analizę logów; dokumentowałem metodologię i ustalenia dla każdego."

Działa to na dwa sposoby: pokazuje inicjatywę i daje rozmówcom konkretne pytania do zadania, co działa na twoją korzyść, ponieważ znasz te projekty na wylot.

Przetłumacz swoją starą pracę na język bezpieczeństwa, uczciwie

Jeśli pochodzisz ze wsparcia IT, administracji sieci lub nawet zupełnie innej dziedziny, przetłumacz to, co faktycznie robiłeś, na terminy, które rozumie zespół bezpieczeństwa. Technik helpdesku, który obsługiwał raporty phishingu, resetował skompromitowane konta i wspierał wdrażanie MFA, ma realne doświadczenie zbliżone do blue-team — powiedz to wprost: "Triażowałem wiadomości phishingu zgłaszane przez użytkowników, koordynowałem z bezpieczeństwem IT reset 15+ skompromitowanych kont i wspierałem wdrażanie MFA w całej organizacji". Nie podwyższaj tytułu stanowiska ani nie twierdzisz, że prowadziłeś reagowanie na incydenty, jeśli tego nie robił. Rekruterzy i rozmówcy szybko znajdą taką lukę i stracisz wiarygodność na resztę rozmowy.

Certyfikaty należą bliżej góry, ale nie otwieraj samymi akronimami

Security+, Network+ lub notatka OSCP-in-progress ma znaczenie i powinna być widoczna bez scrollowania. Ale lista akronimów bez kontekstu wygląda słabo. Połącz certyfikaty z tym, co robiłeś, aby je uzyskać, lub co było potem: "CompTIA Security+ (2024) — uzupełnione praktycznym przygotowaniem w ścieżce Jr Penetration Tester na TryHackMe, aby wzmocnić koncepcje egzaminu rzeczywistymi narzędziami". To zdanie mówi menedżerowi ds. rekrutacji, że nie tylko zbierasz certyfikaty, ale je stosując.

Jedna strona, chyba że masz naprawdę coś więcej do powiedzenia

Dla każdego z mniej niż pięcioma laty doświadczenia zawodowego jedna strona to standard. Wpychanie dwustronicowego CV z wypełnionymi bulletami, aby wyglądać bardziej doświadczonym, daje efekt odwrotny — rozcieńcza mocne linijki słabymi. Usuń wszystko, co nie mapuje na opis pracy przed tobą. Dostosuj dla każdej aplikacji: jeśli ogłoszenie podkreśla SIEM i analizę logów, twój projekt Splunk przechodzi przed kursami sieciowymi, nie odwrotnie.

Sama aplikacja: listy motywacyjne i rzeczywistość ATS

Większość średnich i dużych firm przepuszcza CV przez system śledzenia kandydatów zanim widzi je człowiek. To znaczy, że dopasowanie języka z ogłoszenia pracy ma więcej znaczenia niż sprytne sformułowanie. Jeśli ogłoszenie mówi "vulnerability management", użyj dokładnie tego wyrażenia gdzieś, jeśli to prawda dla twojego doświadczenia, zamiast synonimu takiego jak "patch tracking".

Króta lista motywacyjna (trzy do czterech zdań) wciąż pomaga dla mniejszych firm i rekomendacji, nawet jeśli większe firmy ledwo je czytają. Użyj jej, aby wyjaśnić zmianę kariery wprost zamiast mieć nadzieję, że CV mówi samo za siebie: "Po pięciu latach w administracji sieci przeszedłem na operacje bezpieczeństwa, budując praktyczne doświadczenie poprzez inżynierię detekcji w domowym laboratorium i kończąc Security+ oraz ścieżkę SOC TryHackMe. Szukam, aby przynieść to doświadczenie do roli analityka Tier 1 SOC". To jedno zdanie kontekstu, nie CV przepisane w formę akapitu.

Rekomendacje biją zimne aplikacje, za każdym razem

Aplikowanie zimno przez stronę kariery ma niski wskaźnik odpowiedzi prawie wszędzie, w bezpieczeństwie też. Komentarze LinkedIn, lokalne spotkania bezpieczeństwa i społeczności Discord powiązane z certyfikatami lub platformami CTF zamieniają się w rzeczywiste rekomendacje znacznie częściej niż samo doskonałe CV. Traktuj CV jako konieczne, ale niewystarczające — otwiera drzwi, gdy ktoś już na nie patrzy.

Więcej informacji na temat budowania praktycznego doświadczenia, które faktycznie wypełnia to CV, znajdziesz w segmentach Breaking In i Certifications Korra Studio.