Bezpieczeństwo: rynek

Oferta

otwarta oferta, która przeszła kontrolę jakości i wymienia co najmniej dwie technologie

Obserwowany kandydat

kandydat, którego stack zawiera tę technologię; agregat — żaden pojedynczy rekord nie opuszcza perymetru

Kandydat do dopasowania

jeszcze nie liczone

Okno

oferty otwarte w chwili tworzenia snapshotu

5 najczęstszych technologii w ofertach Security: cloud, aws, python, azure, devsecops. Obowiązkowe podstawy: OWASP Top 10 (must-know), Linux (zaawansowany), Python i Bash do automatyzacji, Git. Bezpieczeństwo webowe: Burp Suite (standard pentestów), OWASP ZAP, OWASP Dependency-Check. SAST/DAST: SonarQube, Checkmarx, Snyk, Semgrep. SIEM: Splunk, ELK (Elasticsearch + Logstash + Kibana), QRadar. Pentest: Kali Linux, Metasploit, Nmap, Wireshark. Bezpieczeństwo chmury: AWS Security Hub, GCP Security Command Center, Azure Sentinel. IAM: HashiCorp Vault, Keycloak. Certyfikaty: OSCP (ofensywny), CISSP (menedżerski), OSCE, CEH, AWS Security Specialty.

AppSec (Application Security) — bezpieczeństwo kodu i aplikacji, code review, SAST/DAST, threat modeling, OWASP. Pracuje w zespole produktowym. DevSecOps — wbudowuje bezpieczeństwo w pipeline'y CI/CD, zarządzanie sekretami, skanowanie kontenerów, GitOps. Blisko DevOps + bezpieczeństwa. Pen-Tester / Red Team — etyczny hacking, symulacja ataków, polowanie na podatności 0-day, certyfikaty OSCP/OSCE. Częściej konsulting lub wyspecjalizowane firmy. SOC Analyst (Security Operations Center) — monitoring incydentów 24/7, triaż, reagowanie, praca z SIEM (Splunk/QRadar). Według wynagrodzeń: AppSec ≈ DevSecOps > Pen-Tester ≈ Cloud Security > SOC Analyst. Ścieżka kariery: SOC Tier 1 → Tier 2 → AppSec/Cloud → Senior → Security Architect.

Częściowo: 34% ofert Security to praca w pełni zdalna. Mniej niż w Backend/DevOps, bo banki i fintech wymagają trybu hybrydowego lub biura ze względu na compliance — praca z danymi osobowymi, danymi płatniczymi, dostępem do produkcji. Lokalni dostawcy bezpieczeństwa — częściej hybrydowo. Międzynarodowe zespoły produktowe — prawie zawsze zdalnie. Pen-Tester na freelansie (Bug Bounty na HackerOne/Bugcrowd) — w pełni zdalnie, elastyczny grafik, pułap zależy tylko od umiejętności. SOC Analyst — wiele zdalnych ofert (często praca zmianowa). Cloud Security — zwykle zdalnie (wszystko przez konsolę AWS/GCP).

DevOps owns the infrastructure and CI/CD — automation, observability, production reliability. Security Engineer owns defence: vulnerability hunting, threat modeling, incident management, compliance. The stack overlaps (Linux, Docker, Kubernetes, cloud) but the focus differs. DevSecOps — the hybrid: a DevOps engineer with security specialisation who embeds SAST/DAST/secrets-scanning into pipelines. Career flow: Senior Backend → DevOps → DevSecOps; or a separate Security track (SOC → AppSec → Senior Security). Seniors can converge into Security Architect — the top level.

Do Security nie ma bezpośredniej drogi — zwykle to ewolucja z pokrewnej roli. Dwa najczęstsze punkty wejścia: 1) Backend / DevOps Middle (2-3 lata) → przejście do AppSec/DevSecOps przez opanowanie OWASP Top 10, SAST/DAST, threat modelingu. 2) SOC Analyst Tier 1 (przyjazny juniorom, monitoring zmianowy) → Tier 2 → specjalizacja. Projekty własne: HackTheBox, TryHackMe (platformy CTF do ćwiczenia umiejętności), OverTheWire, wkład w open-source’owe narzędzia bezpieczeństwa. Certyfikaty: OSCP (Offensive Security Certified Professional — must-have dla Pen-Test), CISSP (ścieżka menedżerska), AWS Security Specialty, CKS (Kubernetes Security). Książki: „The Web Application Hacker's Handbook” (Dafydd Stuttard), „Black Hat Python”, „Threat Modeling” (Adam Shostack).

As of the latest data refresh, the Zorky sample contains 9739 active open Security positions across CIS and Eastern Europe. These are postings published in the last 90 days — companies actually hiring. Geography is distributed; the leaders are US, PL, GB. Data is collected from 105 job boards and 16 669 company career sites: Telegram channels (especially for niche Pen-Test and Bug Bounty jobs, security conferences, anti-leak communities), specialised job sites (HH, Habr Career, Djinni, DOU, NoFluffJobs, JustJoin.it, Pracuj.pl), career pages of security vendors. Security is a niche area, so the job volume is smaller than Backend/Frontend, but one of the highest-paid.

Głównym czynnikiem jest waluta kontraktu i specjalizacja. Pen-Test i Cloud Security zwykle płacą premię (+20-30% względem mediany). Lokalne rosyjskie banki z kontraktami w rublach zmniejszyły dystans do rynku polskiego w ciągu 2 lat dla Seniorów.

Senior Security engineer obejmuje pełny stack obrony w jednej ze specjalizacji (AppSec / DevSecOps / Cloud Security / Pen-Test). Podstawy: OWASP Top 10, Linux (zaawansowany), Python + Bash, Git. Rozumienie stacku developerskiego (do wyboru: Backend lub Frontend na poziomie Senior). Dla AppSec: SAST/DAST (SonarQube, Checkmarx, Snyk, Semgrep), zaawansowany Burp Suite, OWASP ZAP, secure code review, modelowanie zagrożeń (STRIDE, PASTA). Dla DevSecOps: zarządzanie sekretami (HashiCorp Vault), skanowanie kontenerów (Trivy, Snyk), GitOps. Dla Cloud Security: AWS Security Hub / GCP SCC / Azure Sentinel, IAM na poziomie polityk, zgodność (SOC 2, ISO 27001, GDPR). Certyfikaty (OSCP/CISSP/AWS Security/CKS), doświadczenie w zarządzaniu incydentami, przywództwo.