Security QA: рынок

Вакансия

открытая вакансия, прошедшая гейт качества и содержащая не менее двух технологий

Наблюдаемый кандидат

кандидат, чей стек содержит эту технологию; агрегат, без единой записи наружу

Подходящий кандидат

пока не считается

Окно

открытые вакансии на момент сборки снимка

Топ-5: python, solid. DAST (динамический анализ — атака на работающее приложение): OWASP ZAP (бесплатный, open-source), Burp Suite (основной рабочий инструмент тестировщика безопасности — прокси, сканер, ручные атаки). SAST (статический анализ кода на уязвимые паттерны): Semgrep (популярен, простые правила), SonarQube, Checkmarx, CodeQL (GitHub). SCA (анализ сторонних библиотек на известные уязвимости — CVE): Snyk, Dependabot, OWASP Dependency-Check, Trivy (ещё и контейнеры). Сканеры и утилиты: Nuclei (шаблонные проверки), Nmap (сетевое сканирование), sqlmap (SQL-инъекции), Postman / Burp для тестирования безопасности API. DevSecOps: встраивание SAST / DAST / SCA в CI/CD-пайплайн (shift-left). Знания важнее инструментов: OWASP Top 10 и API Security Top 10, OWASP ASVS / WSTG (методология тестирования), понимание веб-технологий и HTTP, основы криптографии и аутентификации (OAuth / JWT / сессии), модель угроз. Полезен скриптинг (Python) для автоматизации проверок.

Три соседние роли на стыке QA и безопасности. Security QA — встраивает регулярное тестирование безопасности в процесс разработки и релизов: прогоняет SAST / DAST / SCA, проверяет фичи на типовые уязвимости (OWASP Top 10), заводит дефекты безопасности наравне с функциональными. Работает внутри QA / SDLC, фокус — не пропустить известные классы уязвимостей в каждом релизе. Penetration Tester (пентестер) — проводит глубокие имитации атак: ищет способы взлома, цепочки эксплуатации, нестандартные векторы; работает кампаниями (на проект / период), пишет отчёт с подтверждёнными находками. Глубже, креативнее, дороже (см. /research/security/pentest). AppSec Engineer (Application Security) — отвечает за безопасность приложений системно: процессы, политики, threat modeling, security-архитектура, обучение разработчиков, выбор и внедрение инструментов, secure SDLC (см. /research/security/appsec). Граница: Security QA — «безопасность как часть QA-процесса»; Pentester — «глубокая проверка на взлом»; AppSec — «выстраивание безопасности разработки в целом». Career-flow обычно: QA → Security QA → AppSec Engineer или Penetration Tester. Security QA — самый доступный вход в эту цепочку из тестирования.

OWASP (Open Worldwide Application Security Project) — некоммерческое сообщество, создающее открытые материалы по безопасности приложений. OWASP Top 10 — регулярно обновляемый список десяти самых критичных категорий уязвимостей веб-приложений: например, broken access control (нарушение контроля доступа), инъекции (включая SQL-инъекции и XSS), небезопасная конфигурация, уязвимые компоненты, ошибки аутентификации, криптографические сбои и др. Это базовый «словарь» Security QA — то, что обязательно знать и проверять. Есть и OWASP API Security Top 10 (для API), OWASP ASVS (стандарт уровней верификации безопасности), OWASP WSTG (методичка по тестированию). Shift-left security — принцип «сдвига влево»: проверять безопасность не в конце (перед релизом или после), а как можно раньше в жизненном цикле — на этапе кода и сборки. На практике это DevSecOps: SAST / SCA-сканирование запускается автоматически в CI/CD при каждом коммите, DAST — на тестовом стенде, уязвимости ловятся до прода, когда их дёшево чинить. Security QA как раз и встраивает эти автоматические проверки в пайплайн — это ядро современного подхода к безопасной разработке 2026.

Три взаимодополняющих типа автоматизированного анализа безопасности. SAST (Static Application Security Testing) — статический анализ исходного кода на уязвимые паттерны, не запуская приложение. Плюсы — ловит проблемы рано (на этапе кода), указывает на конкретную строку. Минусы — много ложных срабатываний (false positives), не видит проблем рантайма и конфигурации. Инструменты: Semgrep, SonarQube, Checkmarx, CodeQL. DAST (Dynamic Application Security Testing) — динамический анализ работающего приложения снаружи, как это делал бы атакующий (отправляет вредоносные запросы, смотрит реакцию). Плюсы — находит реальные эксплуатируемые проблемы, видит рантайм и конфигурацию. Минусы — нужно развёрнутое приложение, не указывает на строку кода, покрывает только то, до чего дотянулся. Инструменты: OWASP ZAP, Burp Suite. SCA (Software Composition Analysis) — анализ сторонних зависимостей (библиотек, пакетов) на известные опубликованные уязвимости (CVE). Критично, потому что большая часть кода современного приложения — чужие библиотеки. Инструменты: Snyk, Dependabot, Trivy, OWASP Dependency-Check. Зачем все три: они покрывают разные слои — свой код (SAST), поведение приложения (DAST), чужой код (SCA) — и ни один не заменяет остальные. Зрелый процесс Security QA / DevSecOps интегрирует все три в CI/CD; ручная проверка и пентест дополняют автоматику там, где она слепа (логические уязвимости, сложные цепочки).

Да, 0% Security QA-вакансий — удалёнка или гибрид. Тестирование безопасности хорошо делается удалённо при наличии доступа к тестовым стендам и инструментам (через VPN). Нюанс — часть компаний в финансовом и госсекторе по соображениям безопасности предпочитают офис или гибрид. Российские банки, кибербезопасность-вендоры и крупные продукты предлагают разные форматы. Английский — важен: значительная часть материалов по безопасности (OWASP, отчёты, CVE, документация инструментов) и международный рынок — англоязычные. Сфера безопасности в целом — одна из самых remote-дружелюбных и при этом высокооплачиваемых.

Лучший путь в Security QA — через обычное тестирование плюс наработка знаний по безопасности (это удобный мост из QA в дорогую сферу безопасности). Roadmap: 1) База QA — тест-дизайн, виды тестирования, баг-репорты (если ещё не работаете тестировщиком). 2) Веб-технологии и HTTP — как устроены запросы / ответы, заголовки, cookies, сессии, REST / API; без этого тестировать безопасность невозможно. 3) OWASP Top 10 — выучить каждую категорию: что это, как находить, как защищаться; затем OWASP API Security Top 10. 4) Практика на учебных полигонах — OWASP Juice Shop, DVWA, PortSwigger Web Security Academy (бесплатная и отличная — обучает прямо на Burp Suite), TryHackMe, Hack The Box. 5) Burp Suite и OWASP ZAP — освоить как основной инструмент (PortSwigger Academy для этого идеальна). 6) SAST / DAST / SCA — понять разницу и попробовать Semgrep, ZAP, Snyk. 7) DevSecOps — как security-проверки встраиваются в CI/CD. 8) Основы аутентификации и криптографии — OAuth, JWT, сессии, хеширование. 9) Скриптинг — Python для автоматизации. Ресурсы: PortSwigger Web Security Academy (must, бесплатно), OWASP-материалы (Top 10, WSTG, Cheat Sheets), курсы (Otus «Безопасность приложений», HackerU, профильные программы), сертификации (как ориентир — eJPT для входа, далее Burp Suite Certified Practitioner, OSCP — для движения в пентест). В резюме Security QA ценятся практические находки и решённые лаборатории, а не только список инструментов.

1 активных открытых вакансий по тестированию безопасности в выборке Zorky CRM — узкая специализация. Реальный рынок шире: security-обязанности часто зашиты в вакансии «QA Engineer», «AppSec Engineer», «специалист по тестированию защищённости», «инженер по безопасности приложений» — поиск по точному термину «Security QA» ловит не всё. География: 🇷🇺 Россия / remote / 🇵🇱 Польша. Источники: hh.ru, Habr Career, getmatch, LinkedIn (международный сегмент), Telegram (security- и QA-каналы, профильные сообщества по AppSec). Спрос концентрируется в финтехе, кибербезопасности, госсекторе и крупных продуктах; в РФ дополнительно растёт из-за требований регуляторов и числа инцидентов. Время закрытия Senior-вакансии — 6-10 недель (дефицит security-экспертизы). Дефицит и регуляторное давление делают сегмент стабильно растущим и хорошо оплачиваемым.

Senior Security QA соединяет инженерную дисциплину тестирования с экспертизой в безопасности. Уязвимости: глубокое знание OWASP Top 10 и API Security Top 10 — не на уровне списка, а понимания механики каждой (как эксплуатируется, как находить, как защищаться), классы логических уязвимостей и проблем контроля доступа. Инструменты: экспертное владение Burp Suite (включая ручные атаки, не только сканер) и OWASP ZAP; SAST / DAST / SCA (Semgrep, SonarQube, Snyk, Trivy) и, главное, умение отсеивать ложные срабатывания. Веб и протоколы: уверенное понимание HTTP, REST / GraphQL, аутентификации и сессий (OAuth, JWT, SSO), основ криптографии. DevSecOps: проектирование и встраивание security-проверок в CI/CD (shift-left), security-гейты, работа с уязвимостями как с управляемым потоком. Threat modeling: базовое моделирование угроз — понимать, где у системы поверхность атаки и что проверять в первую очередь. Процесс: выстраивание тестирования безопасности в SDLC, методология (OWASP WSTG / ASVS), триаж и приоритизация находок по реальному риску. Программирование: чтение кода (для SAST-результатов и понимания уязвимостей), скриптинг на Python для автоматизации. Инфраструктура: основы сетей, контейнеров (Docker / Kubernetes) и облаков — поверхность атаки шире приложения. Коммуникация: умение объяснить разработчикам суть уязвимости и риск, обучать команду secure coding, без алармизма приоритизировать. Английский — обязателен (OWASP, CVE, отчёты, международный рынок). Senior Security QA фактически работает на стыке с AppSec — это естественный следующий шаг карьеры.