Чи занадто пізно почати кар'єру в кібербезпеці?

Це питання ставлять на кожному форумі кібербезпеки щотижня без винятку. Зазвичай людині 27, 35 чи 45 років, і вона переконана, що всі інші мають п'ятирічну фору. Насправді не мають. Ось справжива математика часу плюс реальний шлях.

Чому галузь не працює як гонка

Кібербезпека — це не обмежений пул робочих місць, які заповнюються та закриваються. Нові поверхні атак з'являються постійно: неправильні конфігурації хмари, точки доступу моделей AI, IoT firmware, залежності ланцюга поставок. Кожна з них потребує людей для захисту. Галузь розширюється приблизно в ритмі того, наскільки світ залежить від програмного забезпечення, і це число продовжує зростати, а не зменшуватися. Аналітик SOC, найнятий у 2015 році, мав справу з абсолютно іншим набором загроз, ніж той, що найнятий у 2024 році — ransomware-as-a-service, атаки на MFA fatigue та техніки living-off-the-land десять років тому практично не існували або виглядали інакше. Отже, людина, яка «почала рано», не сидить на накопленій перевазі, яка робить вас непригодним. Половина їхніх ранніх знань уже застаріла.

Нестача навичок реальна, а не маркетингова фраза

Дослідження кадрового забезпечення ISC2 показали постійну нестачу кваліфікованих фахівців безпеки протягом років, а менеджери з найму, з якими я розмовляв, підтверджують це з іншого боку: вони отримують багато резюме, але мало кандидатів, які можуть продемонструвати реальні практичні навички. Ця нестача не закривається, тому що не існує магічного потоку 22-річних, які вивчали виключно безпеку від народження. Вона закривається (повільно) завдяки людям, які змінили кар'єру — колишнім системним адміністраторам, розробникам, техніцкій підтримці, навіть учителям і військовим ветеранам — які докладали цілеспрямованих зусиль 6–12 місяців та набули компетентності.

Що насправді важливо на вході

Менеджери з найму для ролей аналітика SOC, IT безпеки чи junior pentest не питають, як довго ви «в кібер». Вони перевіряють конкретні, перевіримі речі:

• Чи можете ви прочитати захоплення пакетів у Wireshark та пояснити, що відбувається
• Чи розумієте ви, як насправді працюють TCP/IP, DNS та HTTP, а не лише що означають абревіатури
• Чи збудували чи зламали ви щось — домашню лабораторію, написану CTF, вразливу VM, яку ви взломали
• Чи можете ви написати чіткий звіт про інцидент або пояснити вразливість нетехнічній людині
• Чи ви добре орієнтуєтесь у командному рядку Linux без потреби у довідці для базових речей

Нічого з цього не потребує років. Це потребує цілеспрямованої практики. Людина, яка витратить чотири цілеспрямовані місяці на побудову домашньої лабораторії з pfSense, Security Onion та кількома навмисно вразливими машинами (TryHackMe, HackTheBox, VulnHub), часто переговорить когось, хто три роки працював на helpdesk та не робив нічого безпеки.

Реальний план на шість місяців, якщо ви починаєте з нуля

Місяці 1–2: основи мереж та основи Linux. Ознайомтеся з розбиттям на підмережі, моделлю OSI та основами bash. Матеріали Network+ від Professor Messer та OverTheWire's Bandit абсолютно безплатні й надійні.

Місяці 2–4: виберіть напрямок — синя команда чи наступальна — та глибоко вивчайте одну платформу. TryHackMe's SOC Level 1 path або Pre Security path добре працюють для синьої команди; PortSwigger's Web Security Academy безплатна й чудова, якщо ви спрямовані на наступальні/web атаки.

Місяці 4–6: отримайте один сертифікат, який відповідає вашому напрямку (Security+ для широкої основи або eJPT, якщо ви хочете щось більш практичне) та побудуйте два-три задокументовані проекти — домашню установку SIEM, блог з CTF writeup, невеличкий звіт pentest про лабораторне середовище. Викладіть їх на GitHub або простий сайт. Рекрутери переглядають резюме тридцять секунд; посилання на реальну роботу змінює цю розмову.

Одна річ, яка насправді вас дискваліфікує

Вік вас не дискваліфікує. Диплом не за спеціальністю комп'ютерних наук не дискваліфікує. Що дискваліфікує — це непослідовність: почати курс, припинити через два тижні, перезапустити через шість місяців іншим курсом. Люди, які прориваються в галузь, — це не ті, що мають найбільший природний талант, це ті, які продовжували ходити кілька місяців поспіль. Це справді весь секрет, невблаганний, як це звучить.

Якщо ви хочете, щоб наступний крок був розписаний, доріжки Breaking In та Certifications від Korra Studio більш детально розповідають про те, які ролі точки входу краще всього вибирати спочатку та як послідовно проходити перший сертифікат.