Тестировщик кибербезопасности проверяет, можно ли заставить приложение работать не так, как задумано, — с точки зрения защиты данных и доступа. Для QA-инженера это один из самых естественных переходов в ИБ: умение искать нестандартные сценарии, работать с API и писать понятные баг-репорты уже есть. Не хватать будет знаний о типовых уязвимостях, сетях и безопасной архитектуре. При регулярных занятиях переход в тестирование безопасности или AppSec обычно занимает от нескольких месяцев до года.
Чем занимается тестировщик безопасности
В разных компаниях роль называют по-разному: тестировщик безопасности, security QA, младший AppSec-специалист, пентестер веб-приложений. Задачи похожи:
проверка авторизации и прав доступа: может ли обычный пользователь увидеть чужие данные;
тестирование обработки ввода: что будет, если отправить неожиданные данные;
проверка API на типовые ошибки безопасности;
регрессионные проверки после исправления уязвимостей;
участие в настройке автоматических сканеров и разбор их результатов;
оформление находок так, чтобы разработчик понял риск и способ исправления.
Что из QA уже пригодится
Навык QA | Как он работает в ИБ |
|---|---|
Тест-дизайн, граничные значения | поиск входных данных, которые ломают логику |
Работа с API и DevTools | анализ запросов, ответов, заголовков |
Баг-репорты | основа отчёта об уязвимости |
Понимание жизненного цикла разработки | знаете, где и когда встраивать проверки |
Автотесты | автоматизация проверок безопасности |
Общение с разработчиками | умение доносить проблему без конфликта |
Это сильная стартовая позиция: многие, кто приходит в ИБ из других сфер, осваивают эти вещи с нуля.
Чего не хватает и что изучать
Веб-уязвимости. OWASP Top 10 — обязательный минимум: что это, почему возникает, как исправляется.
Сети и HTTP глубже. Как работают сессии, cookies, токены, CORS, шифрование трафика.
Аутентификация и авторизация. Типичные ошибки в логике доступа — частая находка именно у бывших тестировщиков.
Linux. Хотя бы на уровне уверенной работы в терминале.
Моделирование угроз. Умение заранее спросить «как это можно использовать во вред?».
Правовые рамки. Проверять можно только свои стенды и системы, на которые есть явное разрешение. Тестирование чужих сервисов без согласия владельца подпадает под статьи 272–274.1 УК РФ.
Рабочий день тестировщика безопасности
Утром — просмотр новых задач в спринте и выбор тех, что затрагивают доступ, платежи или персональные данные. Затем — ручная проверка новой функции на тестовом стенде, разбор найденных сканером предупреждений, короткое обсуждение с разработчиком. Во второй половине дня — оформление находок и доработка автоматических проверок, чтобы та же ошибка не вернулась.
Ритм похож на привычный QA, только вопрос меняется с «работает ли?» на «можно ли этим злоупотребить?». Именно этот сдвиг мышления — главное, что предстоит освоить при переходе.
Кому подходит переход
Тем, кто в QA больше всего любил находить «странные» баги, а не прогонять чек-листы. Тем, кому интересно, почему система доверяет одним данным и не доверяет другим. И тем, кто готов учиться: в ИБ знания устаревают быстрее, чем в классическом тестировании.
Переход без опыта в ИБ: честно
Опыт в QA сильно помогает, но не заменяет знаний о безопасности. На собеседовании вас попросят объяснить уязвимости своими словами и рассказать, как вы бы проверили конкретную функцию. Проще всего переход сделать внутри своей компании: предложить брать задачи по безопасности, стать связующим звеном между QA и ИБ. Внешний переход возможен, но потребует портфолио — разборов учебных заданий и CTF.
Ориентиры дохода
Ориентиры, которые мы используем на CYBY: стажёр — от 55 000 ₽, джун — около 120 000 ₽, мидл — около 220 000 ₽, лид — около 520 000 ₽. По данным Positive Technologies и SuperJob (CNews, 2 апреля 2026 года), вакансий в ИБ к концу марта 2026 года стало на 24% больше, чем годом ранее, тогда как ИТ-вакансии сократились на 18%. Для тестировщиков это аргумент присмотреться к соседнему направлению.
Как начать
Пройдите OWASP Top 10 и найдите примеры каждой категории на учебных стендах.
Возьмите знакомое тестовое приложение и составьте для него модель угроз.
Добавьте в портфолио несколько отчётов об уязвимостях в формате, понятном разработчику.
Поговорите с ИБ-командой своей компании о совместных задачах.
Подтяните Linux и сетевую базу.
Практику можно проходить на CYBY в браузерном терминале — без установки, даже с телефона. Трек «Защита приложений (AppSec)» хорошо ложится на опыт тестировщика.
Частые вопросы
Нужно ли уходить из QA, чтобы начать учиться? Нет. Лучше совмещать: текущая работа даёт практику и контекст.
Автотестировщику проще? Да, навыки автоматизации пригодятся для встраивания проверок безопасности в конвейер.
Куда можно вырасти дальше? В AppSec, пентест веб-приложений или DevSecOps — в зависимости от того, что нравится больше.
Попробуйте тестировать с прицелом на безопасность
Откройте трек AppSec на cyby.ai — бесплатный тариф Demo покажет формат заданий без привязки карты.