В США спрос на специалистов по кибербезопасности упал до минимума за четыре года

С января по сентябрь 2026 года американские работодатели разместили 235 786 вакансий в кибербезопасности, и это самый низкий результат за четыре года наблюдений CyberSN. Спрос просел неравномерно, потому что компании охотнее нанимают специалистов по управлению рисками и соблюдению нормативных требований, а пентестеров и часть технарей зовут реже.

Аналитики CyberSN взяли данные сервиса JobSpikr, вычистили повторяющиеся объявления и разложили вакансии по направлениям. Статистика показывает предложения работодателей только в США и не считает фактически нанятых людей, поэтому спад не доказывает, что все направления переживают одинаковую просадку.

Вакансии разъехались по направлениям в противоположные стороны:

• управление рисками, где объявлений прибавляется;
• соблюдение нормативных требований, где объявлений тоже прибавляется;
• пентестеры и ряд технических специалистов, у которых вакансий становится меньше.

Минус 26,4% к январю–сентябрю 2025 года (было 320 210 вакансий, стало 235 786) смотрится как обвал. Но 2025-й выдался необычно активным, и относительно 2024 года разница составляет около 4%. По сути, рынок слил почти весь прирост прошлого года и опустился чуть ниже прежнего уровня.

Интересно, что сентябрь оказался единственным месяцем из первых девяти, когда вакансий стало больше, чем годом ранее, но разница составила менее 400 объявлений, и о полноценном восстановлении говорить рано.

Соискателям придётся толкаться локтями за часть позиций, но общие цифры не показывают, что бизнес махнул рукой на безопасников. Скорее, компании пересматривают приоритеты и перекидывают бюджеты между направлениями. Российским специалистам, которые приглядываются к удалённым вакансиям у американских работодателей, стоит держать это в голове, потому что борьба за часть технических ролей там может оказаться жарче.

Вакансий для директоров по ИБ, они же CISO, стало на 38,9% меньше относительно рекордного уровня 2025 года, и показатель вернулся к значениям 2024-го. Зато между вторым и третьим кварталами 2026 года число объявлений выросло на 19,5%.

Генеральный директор CyberSN Дейдре Даймонд связала колебания в основном с перестановками на самом верху компаний, и найм CISO притормаживается в следующих случаях:

• меняется генеральный директор;
• меняется финансовый директор;
• меняется технический директор;
• новая команда пересматривает бюджет, структуру и приоритеты, и открытые позиции откладываются до решений.

Дейдре Даймонд допустила, что часть организаций могла сократить управленческие должности и обнаружить, что без профильной экспертизы работать тяжело. Но главной причиной она посчитала перестановки в руководящих командах, а не исчезновение потребности в безопасниках. Поэтому провал числа вакансий CISO не доказывает, что бизнесу меньше нужно стратегическое управление киберрисками. Иногда спрос на месте, но компании откладывают найм, склеивают обязанности или заново определяют роль руководителя.

Управление рисками теснит техническую защиту, но Defense по-прежнему остаётся крупнейшей категорией и занимает около четырёх из 10 вакансий. Распределение по направлениям изменилось на несколько процентных пунктов, а отдельные ниши прыгнули сильнее:

• доля GRC за три года выросла с 9,4% до 14,8%;
• доля Defense с инженерами и аналитиками мониторинга средств защиты снизилась с 47,1% до 41,5%;
• вакансий для пентестеров стало почти вдвое меньше, чем в 2025 году.

Часть роста GRC связана со спросом на специалистов по защите персональных данных и юристов, работающих с вопросами кибербезопасности. Среди 10 крупнейших категорий профессий эта группа стала единственной, где вакансий в 2026 году оказалось больше, чем год назад. В России персональные данные тоже давно держат ИБ-отделы в тонусе из-за 152-ФЗ, поэтому тренд знаком и местному рынку.

Отмечается, что вакансий для инженеров по безопасности ИИ стало более чем в три раза больше, но в абсолютных цифрах их пока около 2 400, поэтому до массового тренда далеко.

Дейдре Даймонд объяснила рост GRC тем, что компании уделяют больше внимания выявлению рисков, оценке последствий, аудиту и подотчётности. Бизнесу нужны люди, которые умеют не только находить технические проблемы, но и объяснять руководству их значение, расставлять приоритеты и помогать принимать решения.

Изменение структуры вакансий способно повлиять на бюджеты подразделений ИБ в 2027 году, и компаниям придётся выбирать между следующими вариантами:

• расширение технических команд;
• развитие управления рисками;
• найм специалистов, которые связывают требования регуляторов с повседневной работой бизнеса.

Технические навыки не обесценились, а рост вакансий по безопасности ИИ показывает, что в отдельных нишах спрос может прыгать очень быстро. Сокращение вакансий для пентестеров не означает смерти профессии, это снижение числа объявлений относительно необычно сильного 2025 года. Главный вывод CyberSN сводится к тому, что рынок не просто сжимается, а меняет структуру спроса, и вперёд выходят управление рисками, соответствие требованиям и узкие компетенции. Соискателям это добавляет цену конкретной экспертизы, а руководителям подразделений придётся учитывать изменения при формировании команд и бюджетов на следующий год.

Эксперты CISOCLUB отметили, что минимум по числу объявлений говорит скорее о пересборке бюджетов, чем о конце профессии. Рост GRC отражает давление регуляторов и аудиторов, и компании платят за людей, которые закрывают требования на бумаге. Но бумага не отражает атаки, а значит инженеры по защите и мониторингу по-прежнему понадобятся, пока злоумышленники работают круглые сутки. Узкие ниши вроде безопасности ИИ растут с низкой базы, поэтому они пока не повод массово переучиваться. Соискателям выгоднее прокачивать связку из технической базы и умения говорить с руководством на языке рисков.

Ранее сообщалось, что 71% опрошенных российских компаний сталкиваются с нехваткой специалистов по информационной безопасности. Такие данные получила компания «СёрчИнформ» в ходе исследования, в котором приняли участие 1 150 начальников и сотрудников ИБ-подразделений, а также руководителей организаций коммерческого и государственного секторов. Эксперты оценили, как за последний год изменилась ситуация с кадрами в этой области. По мере ужесточения законодательства о защите персональных данных и ответственности за инциденты организациям требуется не только защитное программное обеспечение, но и квалифицированные специалисты.