Не поздно ли мне начинать карьеру в кибербезопасности?

Кто-то задаёт этот вопрос в каждом форуме кибербезопасности, каждую неделю без перерыва. Обычно им 27, или 35, или 45, и они убеждены, что все остальные получили пятилетнюю фору. Не получили. Вот реальная математика сроков и практический путь внутрь.

Почему отрасль работает не как гонка

Кибербезопасность — это не фиксированный пул рабочих мест, который наполняется и закрывается. Новые уязвимые поверхности появляются постоянно: неправильная настройка облака, endpoints моделей AI, IoT прошивки, зависимости цепочки поставок. Каждая нуждается в людях для защиты. Отрасль расширяется примерно в соответствии с тем, насколько мир зависит от программного обеспечения, и это число только растёт, не сокращается. Аналитик SOC, нанятый в 2015, имел дело с совершенно другим набором угроз, чем нанятый в 2024 — ransomware-as-a-service, MFA fatigue атаки и living-off-the-land техники практически не существовали или выглядели иначе десять лет назад. Так что человек, который «начал рано», не сидит на каком-то накопленном преимуществе, которое делает вас нанимаемым. Половина их ранних знаний уже устарела.

Дефицит навыков реален, не маркетинговый слоган

Исследования рабочей силы ISC2 показали постоянную нехватку квалифицированных специалистов по безопасности в течение многих лет, и менеджеры по найму, с которыми я разговаривал, подтверждают это с другой стороны стола: они получают много резюме, но мало кандидатов, которые могут реально продемонстрировать практические навыки. Этот разрыв не закрывается, потому что нет волшебного конвейера 22-летних, которые с рождения изучали только безопасность. Он закрывается (медленно) через людей, меняющих карьеру — бывших системных администраторов, разработчиков, техников службы поддержки, даже учителей и военных ветеранов — которые делают сосредоточенные усилия в течение 6-12 месяцев и становятся компетентными.

Что на самом деле имеет значение при входе

Менеджеры по найму для ролей аналитика SOC, IT-безопасности или junior пентеста не спрашивают, как долго вы «в кибере». Они проверяют конкретные, поддающиеся проверке вещи:

• Можете ли вы прочитать перехват пакетов в Wireshark и объяснить, что в нём происходит
• Понимаете ли вы, как на самом деле работают TCP/IP, DNS и HTTP, а не только что означают аббревиатуры
• Создали ли вы или сломали что-то — домашнюю лабораторию, CTF writeup, уязвимую VM, которую вы взломали
• Можете ли вы написать чёткий отчёт об инциденте или объяснить уязвимость нетехническому человеку
• Ориентируетесь ли вы в командной строке Linux без необходимости искать шпаргалку для базовых вещей

Ничего из этого не требует лет. Требуется целенаправленная практика. Кто-то, кто проводит четыре сосредоточенных месяца, строя домашнюю лабораторию с pfSense, Security Onion и парой намеренно уязвимых машин (TryHackMe, HackTheBox, VulnHub), часто проходит собеседование лучше, чем кто-то, кто был три года на work desk-е, не занимаясь ничем, связанным с безопасностью.

Реалистичный план на шесть месяцев, если вы начинаете с нуля

Месяц 1-2: основы сетей и Linux. Привыкните к подсетям, модели OSI и базовому bash. Материалы Network+ от Professor Messer и Bandit wargame от OverTheWire оба бесплатны и хорошие отправные точки.

Месяц 2-4: выберите направление — защита или наступление — и углубитесь на одной платформе. TryHackMe SOC Level 1 path или Pre Security path хороши для защиты; PortSwigger Web Security Academy бесплатна и отличная, если вы склоняетесь к наступлению/web.

Месяц 4-6: получите одну сертификацию, соответствующую вашему направлению (Security+ для широкого фундамента, или eJPT, если вам нужно что-то более практическое) и создайте два или три документированных проекта — домашнюю SIEM, CTF writeup блог, небольшой pentest отчёт на лабораторной среде. Разместите их на GitHub или простом сайте. Рекрутеры просматривают резюме тридцать секунд; ссылка на реальную работу меняет этот разговор.

Единственное, что вас реально дисквалифицирует

Возраст не дисквалифицирует вас. Диплом не по информатике не дисквалифицирует вас. Что дисквалифицирует — это непоследовательность, начало курса, остановка через две недели, перезагрузка через шесть месяцев с другим курсом. Люди, которые прорываются, — это не те с самым естественным талантом, это те, кто продолжал показываться несколько месяцев подряд. Это честно весь секрет, неглубокий как он звучит.

Если вы хотите, чтобы следующий шаг был отображен, Breaking In и Certifications трэки от Korra Studio углубляются в то, какие роли начального уровня нужно целить первыми и как организовать вашу первую сертификацию.