Войти в информационную безопасность с полного нуля — это два-три года, а не три месяца. И первый из этих лет вы потратите вообще не на безопасность, а на ИТ-фундамент: сети, операционные системы, администрирование, базовый код. Защищать систему, не понимая, как она устроена, нельзя — это не безопасность, это её имитация. Поэтому честный маршрут такой: сначала год-полтора на фундамент или работа в смежной ИТ-роли, потом основы защиты, потом узкое направление, сертификации — и только в конце первая работа в ИБ.
Дальше — про реальную траекторию, а не про обещание с лендинга. Почему «специалист по ИБ с нуля за три месяца» — это продажа сертификата, а не профессии. Что учить до того, как трогать средства защиты, и в каком порядке. Какие направления есть внутри ИБ и чем они отличаются. Как войти через системное администрирование или поддержку, когда вакансий «стажёр ИБ» на рынке исчезающе мало. И сколько это честно занимает — с цифрами, а не с маркетинговыми сроками.
Главная мысль одной строкой: информационная безопасность — это надстройка над ИТ, а не точка входа в индустрию. Безопасник защищает сети, серверы, приложения и данные — значит, он обязан сначала понимать, как всё это работает. Сначала фундамент: как устроена сеть, как живёт операционная система, как администрируется сервер, как пишется простой скрипт. Потом — как это ломают и как от этого защищаются. Кто пытается перепрыгнуть фундамент и сразу учить «взлом» по видеоурокам, получает набор команд без понимания, что под ними. А кто строит по порядку, выходит на одну из самых дефицитных и оплачиваемых специальностей рынка.
Марина, 27 лет, бухгалтер, насмотрелась роликов про хакеров и зарплаты в кибербезе. Купила курс «специалист по ИБ с нуля» — три месяца, обещали трудоустройство. Учила «этичный взлом», прогоняла готовые сценарии атак на учебных стендах, получила сертификат. Разослала тридцать откликов на junior-позиции. На редком ответе спросили: «Опишите, как устроен сетевой стек и что происходит, когда вы открываете сайт». Описать было нечем — она умела запускать чужие инструменты, но не понимала, по чему они бьют.
Тридцать откликов, ни одного приглашения.
Проблема не в Марине и не в её старании. Проблема в самой идее, что безопасность берётся с нуля за квартал. Специалист по ИБ защищает то, что построили инженеры до него: сети, серверы, приложения, базы данных. Чтобы защитить систему, надо понимать, как она устроена и как ломается. Нельзя настроить сетевой экран, не понимая, что такое порт, протокол и маршрут пакета. Нельзя расследовать инцидент по логам сервера, если для вас сервер — это чёрный ящик. Инструмент анализа трафика покажет вам тысячи строк — и они будут бессмысленны, если вы не знаете, как выглядит нормальный трафик.
Есть соблазн возразить: но я же умею защищать свои аккаунты, ставлю сложные пароли, узнаю фишинг, держу двухфакторку. Это полезно — и это бытовая кибербезопасность, личная гигиена в сети. К профессии она имеет такое же отношение, как умение поменять лампочку дома к работе инженера-электрика. Хороший вход в тему, неплохой первый интерес. Но между «я осторожен в интернете» и «я отвечаю за безопасность инфраструктуры компании» — те самые годы фундамента.
Поэтому исследователи рынка прямо относят информационную безопасность за пределами азов к профессиям высокого барьера входа — наравне с инженерией эксплуатации. «С нуля онлайн за три месяца» здесь не работает в принципе. Нужен предыдущий ИТ-багаж: сети, системы, администрирование.
Курс «ИБ с нуля» не врёт про инструменты. Он врёт про то, что после него вас возьмут.
Прежде чем учить, как ломают и защищают, надо понимать, что именно ломают и защищают. Фундамент безопасника — это четыре опоры, и ни одна из них не про безопасность.
Сети — первая и главная. Безопасность во многом про сети: атаки идут по сети, защита строится на сетевых границах, расследование начинается с трафика. Надо понимать модель сетевого взаимодействия, что такое порт и протокол, как работают адресация и маршрутизация, как устроены основные протоколы передачи данных и веб-запросов. Без этого сетевой экран — кнопка с непонятным назначением, а перехваченный трафик — каша из символов.
Операционные системы — вторая опора, и тут особое место занимает семейство, на котором работает большинство серверов и инструментов безопасности. Надо жить в консоли: процессы, права доступа, файловая система, журналы событий, управление пользователями. Большая часть работы по защите и расследованию — это чтение логов и копание в системе через командную строку. Не «знать про операционные системы», а уметь в них ориентироваться вслепую.
Системное администрирование — третья. Как разворачивают и настраивают серверы, как устроены службы и сервисы, как управляют доступами, как устроена сетевая инфраструктура организации. Безопасник постоянно работает рядом с администраторами, а часто и сам начинал как администратор — потому что защищать инфраструктуру проще, когда ты её своими руками поднимал.
Четвёртая опора — немного кода. Не «стать программистом», а понимать, как пишутся и работают приложения, уметь читать чужой код и автоматизировать рутину простым скриптом. Большинство уязвимостей живут в коде и конфигурациях — чтобы их находить, надо понимать, как это написано. Скрипт на распространённом языке автоматизации экономит часы ручной работы и отличает специалиста от человека, кликающего мышкой по интерфейсу.
Эти четыре опоры — не разминка перед «настоящей ИБ». Это и есть бо́льшая часть того, на чём стоит профессия. Инструменты защиты поверх фундамента осваиваются за недели. Сам фундамент — за месяцы упорной практики. Нет фундамента — любой курс по «кибербезу» превращается в заучивание команд, которые нечем подкрепить.
Учить ИБ в случайном порядке — то же самое, что вставлять замки в стену, которой ещё нет. Маршрут входа состоит из пяти этапов, и они идут строго друг за другом.
Первый этап — фундамент из предыдущего раздела. Сети, операционные системы, администрирование, базовый код. Это год — год при честных двух-трёх часах в день, и быстрее почти не бывает, потому что объём большой. Пока фундамент не уложен, дальше идти бессмысленно: безопасности учить не на чем.
Второй этап — основы защиты. Здесь начинается собственно ИБ: типы угроз и атак, как устроена защита периметра, как работают средства обнаружения и предотвращения вторжений, основы криптографии и управления доступом, как читаются и анализируются журналы событий. На этом этапе вы наконец смотрите на знакомую уже инфраструктуру глазами того, кто её защищает. Несколько месяцев плотной учёбы и практики на учебных стендах.
Третий этап — выбор направления. Безопасность широкая, и одинаково хорошо во всём не бывает. Защита инфраструктуры, наступательное тестирование, мониторинг и реагирование, соответствие требованиям — это разные ежедневные задачи и разные навыки. Выбор направления превращает «я что-то знаю про ИБ» в «я умею вот это конкретно», а именно конкретику ищут работодатели.
Четвёртый этап — сертификации и подтверждаемый опыт. В ИБ репутация и формальные подтверждения квалификации значат больше, чем в среднем по ИТ: вам доверяют доступ к чувствительным системам, и работодателю нужны основания для этого доверия. Базовые отраслевые сертификации по выбранному направлению плюс собственные проекты — разобранные инциденты, настроенные стенды, найденные уязвимости в легальных учебных средах. Это то, что можно показать вместо строчки «прослушал курс».
И только пятый этап — первая работа. Причём чаще не сразу в ИБ, а рядом — об этом следующий раздел. Запомнить порядок просто: фундамент, основы защиты, направление, сертификации, работа. Каждый шаг бесполезен без предыдущего, и пропустить ни один нельзя.
Внутри информационной безопасности — несколько разных профессий под одним названием. Выбрать дверь стоит до того, как покупать обучение, иначе рискуете учить не то.
Защита инфраструктуры — оборона. Настройка средств защиты, сетевых экранов, систем контроля доступа, укрепление серверов и сетей. Ближе всего к администрированию, и через него же чаще всего входят. Тут спокойнее, чем кажется со стороны: это методичная инженерная работа, а не погони за хакерами.
Наступательное тестирование — атака с разрешения. Специалист легально ищет дыры в системах заказчика, прежде чем их найдёт кто-то недобрый. Самое романтизированное направление и самое требовательное: чтобы ломать, надо понимать устройство глубже, чем те, кто строил. Вход «с нуля» сюда — иллюзия.
Мониторинг и реагирование — дежурная смена обороны. Наблюдение за событиями безопасности, разбор подозрительной активности, реакция на инциденты в реальном времени. Сюда реальнее всего попасть начинающему: позиции аналитика мониторинга — один из немногих живых входов в профессию, потому что здесь учат на месте под присмотром старших.
Соответствие требованиям и управление рисками — бумажная, но не менее важная сторона. Выстраивание процессов защиты под требования регуляторов, аудит, политики безопасности. Меньше консоли, больше документов и общения — направление для тех, у кого аналитический и организаторский склад сильнее технического азарта.
Какую дверь выбрать — зависит от того, что вам ближе: настраивать, ломать, дежурить или выстраивать процессы. И от этого выбора зависит, что именно учить на третьем этапе.
Вакансий с честной подписью «стажёр по информационной безопасности» на рынке исчезающе мало. Это арифметика, а не пессимизм: компании не держат стартовых ставок для людей, которым ещё надо объяснять, что такое сетевой пакет.
Поэтому самый рабочий вход в ИБ — боковой. Через смежную ИТ-роль.
Системный администратор знает сети, серверы и инфраструктуру — ему до защиты этой же инфраструктуры ближе, чем кому бы то ни было. Инженер технической поддержки видел, как системы ломаются, и набил руку на диагностике. Разработчик понимает, как написано приложение, — а значит, понимает, где в нём дыра. Все трое уже стоят на фундаменте, который новичку с улицы предстоит строить год. Им остаётся добрать ИБ-надстройку поверх рабочего опыта — и переход реален за год-полтора целенаправленного движения.
Для того, кто начинает с полного нуля, без ИТ за плечами, маршрут тот же, только с прологом. Сначала войти в ИТ там, где барьер ниже: системное администрирование, техническая поддержка, иногда разработка. Поработать в этой роли по-настоящему — не на курсе, а на реальных задачах — год, чтобы сети, системы и консоль стали рефлексом. И уже с этой базой и живым опытом разворачиваться в сторону безопасности.
Да, это дольше, чем обещает реклама. Зато это работает, а прямой прыжок — нет. Рынок 2026 года устроен так, что 51% вакансий ждут опыта от одного до трёх лет, а ещё 25% — от трёх до шести. Формула рынка — «дефицит навыков, а не людей»: соискателей с сертификатом «ИБ после курса» много, а людей с реальным инженерным фундаментом мало. В этот разрыв и надо целиться, но попасть в него можно только через фундамент, которого не даёт ни один трёхмесячный курс. Дефицит junior-позиций бьёт по тем, кто пришёл с пустыми руками, и работает на тех, кто пришёл с базой.
И именно поэтому спрос на отрасль растёт быстрее, чем рынок успевает готовить кадры. Спрос на кибербезопасность вырос на 27% за 2025 год, средние зарплаты — на 39%. Добавьте сюда вытеснение зарубежных решений отечественными и встраивание искусственного интеллекта в инструменты защиты и нападения — рынок перестраивается, а защищать новую инфраструктуру некому. Дефицит реальный. Просто закрывают его не выпускники трёхмесячных курсов, а люди с фундаментом.
Два-три года от полного нуля до позиции в ИБ. Если вы уже работаете в смежной ИТ-роли — от года до полутора. Эту цифру стоит принять до того, как платить за обучение: она избавляет от разочарования и экономит деньги на курсах, обещающих квартал.
Складывается она просто. Год на фундамент или на работу в смежной роли, чтобы сети и системы стали рефлексом. Несколько месяцев на основы защиты. Время на выбор направления, профильные навыки и сертификации. Плюс поиск первой работы, который в ИТ для начинающих честно занимает от полугода. Сложите — получите те самые два-три года. Быстрее бывает только у тех, кто пришёл в ИБ уже инженером.
Зато на выходе — одна из самых дефицитных и оплачиваемых специальностей. Деньги по грейдам в 2026 году выглядят так. Junior без опыта — 60 000–90 000 ₽. С опытом до года — 90 000–150 000 ₽, через год-два — 150 000–200 000 ₽. Middle с двумя-тремя годами за плечами — 200 000–300 000 ₽, senior — 300 000–450 000 ₽. Медиана hh.ru по предлагаемым зарплатам в первой половине 2026 года — около 156 666 ₽; среднее по опросам сотрудников выше, около 239 927 ₽, но среднее всегда задирают вверх редкие топ-офферы. Ориентируйтесь на медиану как на трезвую опорную точку, а детальный разбор по грейдам — отдельная тема.
Стартовая вилка скромнее, чем рисуют ролики про хакеров с миллионами. Но потолок высокий, а главное — он реально достижим, потому что конкурентов на верхних грейдах мало. Высокий барьер входа работает на тех, кто его прошёл.
Сначала — честно определить точку старта. Вы уже в ИТ или с полного нуля? От этого зависит, год вам идти или три, и стоит ли целиться сразу в ИБ или сначала войти в индустрию через профессию с низким барьером. Это первая развилка, и ошибка на ней означает купить обучение не про то.
Если вы с нуля — не покупайте «ИБ с нуля за три месяца». Стройте фундамент: сети, операционные системы, администрирование, базовый код. Либо входите в ИТ через системное администрирование или поддержку и набирайте реальный опыт. Безопасность придёт надстройкой поверх этого — и придёт всерьёз. Если вы уже в смежной роли — выберите направление внутри ИБ, добирайте профильные навыки и сертификации поверх того, что уже умеете.
И не учите в пустоту, а собирайте то, что можно показать: разобранные инциденты, настроенные защитные стенды, найденные уязвимости в легальных учебных средах. На собеседовании по безопасности это весит больше любого сертификата — потому что доказывает понимание, а не прослушанные лекции.
Чтобы не гадать, с какой профессии входить и какой маршрут короче именно под ваш бэкграунд и склад, пройдите Профтест: пара минут вопросов про ваш опыт и цели — и на выходе реальный стартовый путь, а не общий совет из интернета.
Марина, с которой начался текст, в итоге устроилась в техническую поддержку, отработала год, разобралась в сетях и системах изнутри и сейчас добирает ИБ-навыки поверх настоящего опыта — целится в мониторинг и реагирование. Дольше, чем обещал курс. Зато теперь, когда её спрашивают про сетевой стек, ей есть что ответить.
