כמה מרוויח/ה Pen Tester בישראל? טווחי שכר לפי ותק

בודקי חדירות בישראל אינם שוק אחד אלא שלושה: חברות ייעוץ ובדיקות, צוותי אדום פנימיים בארגונים גדולים, ועצמאים. שלושתם עושים עבודה דומה ומרוויחים אחרת לגמרי. בלוח HiTakeJob פתוחות כרגע 25 משרות שמזכירות אבטחה כדרישה טכנית, ו-11 נוספות מזכירות סייבר במפורש.

נקודת אמת לפני שממשיכים: אין במאגר שלנו שדה שכר, ולכן כל סכום להלן הוא הערכת שוק שנבנתה ממקורות פומביים בלבד. ספירות המשרות הן הנתון החי היחיד שמוצג כאן.

שלושה מודלי תעסוקה, שלוש כלכלות

חברת ייעוץ ובדיקות מוכרת שעות. הבודק משובץ לתיקים קצרים, לרוב שבוע עד שלושה שבועות כל אחד, וכותב דוח בסופו. הכלכלה כאן פשוטה: השכר נגזר מהתעריף שהלקוח משלם פחות הרווח של החברה, ולכן התקרה מוגדרת מראש והצמיחה מגיעה מהעלאת התעריף או ממעבר לניהול תיקים.

צוות אדום פנימי עובד על ארגון אחד לאורך זמן. אין תיקים אלא מבצעים, ההיכרות עם הסביבה מצטברת, והתוצר אינו דוח ללקוח אלא שיפור מתמשך של ההגנה. הכלכלה כאן דומה לזו של תפקיד הנדסי בכיר: בסיס גבוה יותר, לעיתים רכיב הון, ופחות לחץ של ניצולת שעות.

עצמאי מוכר ישירות. ההכנסה השנתית תלויה בשלושה דברים: תעריף, מספר שבועות מאוישים, וזמן שנשרף על מכירה, הצעות מחיר וגבייה. עצמאי טוב בתחום יכול לעבור בהכנסה שכיר בכיר, אבל רק אם פתר את בעיית זרימת העבודה, וזו בעיה שיווקית ולא טכנית.

מודל	מה מייצר את ההכנסה	הסיכון המרכזי
חברת ייעוץ ובדיקות	שעות נמכרות לפי תעריף מוסכם	תקרת שכר נוקשה ולחץ ניצולת
צוות אדום פנימי	בסיס גבוה עם אפשרות לרכיב הון	מספר קטן של משרות והתמחות בסביבה אחת
עצמאי	תעריף כפול שבועות מאוישים	חודשים ריקים והוצאות שאינן מכוסות

יש גם מודל רביעי שמתרחב: בודק שמועסק אצל ספק הענן או אצל יצרן תוכנה ובודק את המוצרים של החברה עצמה מבפנים. מבחינת השכר הוא דומה לצוות אדום פנימי, מבחינת העבודה הוא קרוב יותר להנדסת אבטחת מוצר, והוא בדרך כלל התפקיד הנוח ביותר מבין הארבעה מבחינת שעות ולחץ.

מי שמתלבט בין המסלולים ימצא תיאור מפורט של התפקיד עצמו ושל דרכי הכניסה אליו במאמר Pen Tester בישראל.

טווחי שכר לפי ותק: הערכת שוק

הטבלה מתייחסת לשכיר במשרה מלאה. לעצמאים אין שורה בטבלה מסיבה פשוטה: ההכנסה שם נמדדת בשנה ולא בחודש, והיא נפרסת בצורה לא אחידה.

רמה	שכר חודשי ברוטו	סוג הנתון
בודק מתחיל	15,000 - 21,000 ש"ח	הערכת שוק
שנתיים עד ארבע	22,000 - 32,000 ש"ח	הערכת שוק
בכיר עם התמחות מוגדרת	32,000 - 45,000 ש"ח	הערכת שוק
מוביל צוות אדום	44,000 - 60,000 ש"ח	הערכת שוק

שורת הכניסה גבוהה יחסית לעולם הסייבר, וזה מטעה. הסיבה אינה שקל להיכנס אלא שקשה: כמעט אין תפקידי בדיקות למי שאין לו הוכחת יכולת כלשהי, ולכן מי שמגיע לשורה הראשונה כבר עבר סינון טכני משמעותי. התוצאה היא תחום עם רף כניסה גבוה ועם פחות משרות זמינות מאשר בתחומי סייבר אחרים.

ההתמחות שבשורה השלישית היא המפתח. מי שבודק אפליקציות רשת בלבד מתחרה במספר הגדול ביותר של מועמדים ולכן יושב בתחתית. מי שמתמחה בתחום שבו מעט אנשים עובדים, כמו מערכות משובצות, רשתות תפעוליות בתעשייה, אפליקציות מובייל ברמה עמוקה או תשתיות ענן מורכבות, מתמחר מעל הטווח שבשורה שלו.

מה שוות ההסמכות המעשיות?

בתחום הזה יש הבחנה חדה בין הסמכות תיאורטיות לבין הסמכות שמחייבות לפרוץ סביבה אמיתית במבחן מעשי ולכתוב דוח. הראשונות כמעט לא משפיעות על השכר. השניות כן, ומסיבה מעשית: הן חוסכות למעסיק את שלב הסינון הטכני. מגייס שרואה הסמכה מעשית יודע שהמועמד ישב מול מכונות ולא רק מול שקפים.

עם זאת, ההסמכה מזיזה בעיקר את ההצעה הראשונה בתחילת הקריירה. אחרי כמה שנים המשקל עובר לתיק העבודות: אילו סוגי מערכות נבדקו, אילו ממצאים מהותיים נמצאו, ואיך נראה דוח שנכתב. בודק שמסוגל להציג דוח מטושטש פרטים אך מקצועי בכתיבתו נמצא בעמדת מיקוח טובה יותר מכל תעודה.

נקודה מעשית לגבי עלות: ההסמכות המעשיות בתחום יקרות יחסית, ולא מעט מעסיקים מוכנים לממן אותן כחלק מחבילת ההעסקה. זה רכיב שאפשר וכדאי לבקש במשא ומתן, במיוחד כשהמעסיק אינו יכול לזוז בבסיס. שווה לוודא מראש מה תנאי ההחזר אם עוזבים בתוך תקופה מסוימת, כי זה סעיף שמופיע בחוזים ולעיתים מפתיע.

שווה גם לזכור מה אינו הסמכה ומה כן נחשב: הרצאה בכנס מקצועי, פרסום מחקר, גילוי חולשה שפורסמה באחריות, או כלי קוד פתוח שאנשים בתחום משתמשים בו. אלה מייצרים מוניטין, והמוניטין בתחום הזה מתורגם ישירות להצעות שמגיעות מעצמן.

בדיקת חדירות מול מבצע צוות אדום

שתי העבודות מבולבלות תדיר, וההפרש ביניהן מתורגם ישירות לשכר. בדיקת חדירות היא בעלת היקף מוגדר וזמן קצוב: מערכת מסוימת, תקופה מוסכמת, והמטרה היא למצוא כמה שיותר חולשות רלוונטיות ולתעד אותן. הצוות המגן יודע שהיא מתקיימת, ולעיתים אף פותח גישה כדי לחסוך זמן.

מבצע צוות אדום בודק שאלה אחרת: האם הארגון מסוגל לזהות ולעצור תוקף אמיתי. ההיקף רחב, הזמן ארוך יותר, הצוות המגן בדרך כלל אינו מעודכן, והמדד אינו מספר החולשות אלא כמה זמן לקח לזהות ואילו שלבים עברו בלי התראה. מי שמריץ מבצע כזה צריך גם להתחמק מהגנות ולא רק למצוא פרצה.

ההשלכה על השכר ברורה: היכולת השנייה נדירה יותר, דורשת סבלנות ותכנון ארוך טווח, ולכן היא יושבת בשורות העליונות של הטבלה. עם זאת, מספר המשרות שבהן עוסקים במבצעים כאלה במשרה מלאה קטן מאוד בישראל, ולכן מדובר במסלול שמצריך גם סבלנות לחכות לתפקיד הנכון.

איך נקבע תעריף בעבודת בדיקות

גם מי שאינו עצמאי ירוויח מהבנת התמחור, כי הוא זה שמגדיר את התקרה בחברות ייעוץ. הבדיקה נמכרת ביחידות של ימי עבודה, ומספר הימים נגזר מהיקף המערכת: כמה ממשקים, כמה סוגי משתמשים, האם הבדיקה נעשית עם ידע מוקדם על המערכת או בלעדיו, והאם נדרשת חזרה לבדוק שהתיקונים נעשו.

שלושה דברים מעלים את התעריף ליום. הראשון הוא התמחות נדירה, כפי שתואר למעלה. השני הוא דרישות של הלקוח שמחייבות כוח אדם מוסמך או סיווג מסוים, מה שמצמצם את מספר הספקים שיכולים להגיש. השלישי הוא דחיפות: בדיקה שנדרשת בתוך שבועיים כי יש מועד השקה או ביקורת מתומחרת אחרת מבדיקה שמתוכננת לרבעון הבא.

לשכיר יש מכאן מסקנה ישירה: אפשר לברר מהו התעריף היומי שהחברה גובה עבור עבודתכם. זה מספר שלא תמיד נאמר, אך כשהוא ידוע הוא הופך את שיחת השכר לעניינית, כי אפשר לדבר על היחס בין מה שנגבה למה שמשולם במקום להתווכח על תחושות. מי שמביא ללקוחות עבודה חוזרת או שמו מופיע בבקשות של לקוחות נמצא בעמדה חזקה במיוחד.

מה שמוריד את התעריף הוא סחורה אחידה. בדיקה שכל ספק יכול לספק, שמוגשת במכרז מול חמישה מתחרים ושנמדדת רק במחיר, מגיעה לרצפה תוך מספר סבבים. לכן חברות הבדיקות הטובות משקיעות בכתיבת דוחות ובמוניטין מקצועי: אלה הדברים היחידים שמונעים מהשירות להפוך למצרך.

עוד מאפיין שמשפיע על ההכנסה הוא עונתיות. הביקוש לבדיקות מתרכז סביב מועדים קבועים בארגונים: לפני חידוש הסמכה, לפני ביקורת שנתית, ולפני השקה של מוצר או גרסה. התוצאה היא חודשים עמוסים במיוחד וחודשים שקטים, וזה נסבל לשכיר אך מהותי לעצמאי שצריך לפזר הכנסה על פני שנה.

Bug bounty כהכנסה משלימה

תוכניות תגמול על גילוי חולשות פתוחות לכל אחד, וחלק מהבודקים בישראל משתתפים בהן במקביל לעבודה. זהו מקור הכנסה אמיתי אך תנודתי מאוד: התשלום ניתן רק על ממצא שהתקבל, מי שדיווח ראשון מקבל את התגמול, וממצאים כפולים אינם מתוגמלים. שבוע עבודה עשוי להסתיים באפס.

היבט	מה חשוב לדעת
אופי ההכנסה	לא קבועה, תלויה בממצא מתקבל ולא בשעות שהושקעו
תחרות	רק הדיווח הראשון על חולשה מתוגמל
ערך נלווה	תיק עבודות פומבי ודירוג בפלטפורמה שמשמשים בגיוס
מגבלה מול המעסיק	הסכמי העסקה רבים מגבילים פעילות צדדית וקניין רוחני
היבט משפטי	הפעילות מותרת רק בגבולות ההיקף המוגדר של התוכנית

שתי שורות בטבלה דורשות זהירות אמיתית. הראשונה היא היחס למעסיק: כדאי לברר מראש בכתב האם וכיצד מותר להשתתף בתוכניות כאלה, כדי למנוע התנגשות. השנייה היא ההיקף המוגדר של התוכנית. פעילות מחוץ לגבולות שהוגדרו אינה מכוסה, ואנחנו לא נכנסים כאן לשאלות משפטיות ומיסויות, שנבדקות מול גורם מוסמך.

כדאי גם להיות מציאותיים לגבי הזמן. הפעילות הזו נעשית בשעות הפנאי, אחרי יום עבודה שכבר דרש ריכוז טכני גבוה, והיא מתחרה על אותה אנרגיה. לא מעט אנשים מתחילים בהתלהבות ונוטשים אחרי כמה חודשים בלי ממצא מתקבל. מי שמתמיד בדרך כלל בוחר תחום צר אחד ונשאר בו, במקום לקפוץ בין תוכניות לפי גובה התגמול המוצע.

מבחינת שכר, הערך הגדול של הפעילות הזו אינו בתגמול הישיר אלא בכך שהיא מייצרת הוכחת יכולת פומבית. בודק עם ממצאים מוכרים בפלטפורמה מגיע לשיחת שכר עם ראיה שקשה להתווכח איתה.

מה פתוח עכשיו בלוח

עמודים רלוונטיים לחיפוש: 25 משרות אבטחה, 18 משרות סייבר, 25 משרות בקטגוריית אבטחת מידע ו89 משרות בהרצליה, שבה יושבות לא מעט חברות בתחום. המשרות בתחום מתפרסמות בכותרות משתנות, ולכן שווה לסרוק את גוף המשרה.

שאלות נפוצות

האם הטווחים כאן נלקחו מהמשרות באתר?

לא. המערכת שלנו אינה מאחסנת שכר בכלל, וכל טווח הוא הערכת שוק. מספרי המשרות ליד הקישורים הם נתון חי שנשלף מהלוח וניתן לאימות.

עדיף להתחיל בחברת בדיקות או בצוות פנימי?

חברת בדיקות מלמדת מהר יותר, כי חושפים אתכם לעשרות סביבות בשנה. צוות פנימי מאפשר עומק ויציבות אך זמין פחות למתחילים. המסלול הנפוץ הוא להתחיל בייעוץ ולעבור פנימה אחרי כמה שנים.

כמה אפשר להרוויח כעצמאי בתחום?

אין לנו מספר מאומת ולכן לא ננקוב בו. מה שכן אפשר לומר הוא המנגנון: ההכנסה היא מכפלה של תעריף במספר השבועות המאוישים, ומי שאינו מנהל צנרת לקוחות מסודרת מגלה שבועות ריקים שמוחקים את יתרון התעריף.

האם חובה רקע בפיתוח?

לא חובה, אך יתרון גדול. הבנה של קוד מאפשרת לזהות חולשות לוגיות שסורק אוטומטי לא ימצא, והיא מה שמפריד בין בדיקה שמייצרת רשימת ממצאים סטנדרטית לבדיקה שמוצאת משהו מהותי.

מה הופך דוח בדיקה לטוב?

שהוא ניתן לפעולה. ממצא שמנוסח עם השפעה עסקית ברורה, שלבי שחזור מדויקים והמלצת תיקון ריאלית יטופל. ממצא שמנוסח כרשימת חולשות טכניות בלי הקשר יישאר פתוח חודשים.

האם ההסמכות המעשיות מתיישנות?

הידע מתיישן מהר יותר מהתעודה. הטכנולוגיות שנבדקות משתנות כל כמה שנים, ולכן מי שנשען על הסמכה בת חמש שנים בלי עדכון ידע מתקשה בראיון טכני, גם אם התעודה עצמה עדיין תקפה.