כמה מרוויח/ה ארכיטקט/ית אבטחת מידע בישראל? טווחי שכר לפי ותק

שכר ארכיטקט אבטחת מידע בישראל מתפזר על טווח רחב, אבל מה שקובע את המיקום בתוכו הוא בעיקר סוג הארגון שמעסיק, לא מספר השנים בקורות החיים. בלוח HiTakeJob פתוחות כרגע 25 משרות בקטגוריית אבטחת מידע, והן נחלקות לשלושה עולמות שמתמחרים אחרת.

הערה על הנתונים: לא קיים באתר שדה שכר, ולכן כל סכום שמופיע להלן מסומן במפורש כהערכת שוק ואינו מבוסס על המשרות שבלוח. ספירות המשרות הפתוחות הן כן נתון חי.

למה הוותק הוא מדד חלש דווקא בתפקיד הזה

ברוב תפקידי ההנדסה אפשר לשרטט קו עולה בין שנים לשכר. בארכיטקטורת אבטחה הקו הזה נשבר, מסיבה מבנית: התפקיד אינו מוגדר לפי מה שהאדם עושה אלא לפי מה שהארגון מוכן לסכן. ארכיטקט בבנק מחזיק אחריות שנמדדת בהיקף רגולטורי ובשרשרת אישורים, וארכיטקט בחברת מוצר סייבר מחזיק אחריות שנמדדת ביכולת למכור ללקוח ארגוני. אלו שני מקצועות שחולקים כותרת.

לכן שני מועמדים עם שמונה שנות ניסיון כל אחד יכולים לקבל הצעות שנבדלות בעשרות אחוזים, בלי שאחד מהם חזק מהשני. המשתנה המסביר אינו הוותק אלא ההצטלבות בין סוג הארגון, רמת החשיפה של הארגון לנזק, ושאלת הסמכות: האם הארכיטקט ממליץ או שהוא זה שחותם.

הסימן הפשוט ביותר לזהות בראיון באיזה סוג תפקיד מדובר הוא לשאול מי מאשר חריגה מהתקן. אם התשובה היא שהארכיטקט מאשר, מדובר בתפקיד בעל סמכות והתמחור גבוה יותר. אם התשובה היא שהוא כותב נייר עמדה שאחרים מחליטים עליו, מדובר בתפקיד ייעוץ פנימי, גם אם הכותרת זהה.

שלושת סוגי הארגונים ומה כל אחד מתמחר

סוג ארגון	מה נמדד בתפקיד	השפעה על התמחור
ספק מוצר סייבר	ארכיטקטורת המוצר עצמו ועמידתו בדרישות לקוחות ארגוניים	הגבוה מבין השלושה, לרוב עם רכיב הון משמעותי
ארגון פיננסי או מפוקח	עמידה בדרישות רגולטור, בקרות, וניהול סיכון מערכתי	בסיס גבוה ויציב, הפרשות נדיבות, מעט הון
חברת ייעוץ ואינטגרציה	מספר לקוחות במקביל וכושר המרה של ידע לשעות נמכרות	בסיס נמוך יותר, לעיתים בונוס לפי ניצולת
מרכז פיתוח בינלאומי	אבטחה של מוצר שנמכר בשווקים מרובים	נגזר מסולם פנימי גלובלי ולא מהשוק המקומי

השורה השנייה היא המעניינת ביותר למי ששוקל מעבר. ארגון מפוקח משלם על ודאות: על מישהו שיודע לתרגם דרישה של גוף פיקוח לארכיטקטורה שאפשר להגן עליה בביקורת. זה ערך שאינו מתיישן, ולכן השכר שם עולה בהתמדה אך לעיתים רחוקות מזנק. ספק מוצר, לעומת זאת, משלם על מהירות ועל ידע עדכני, והתמורה שם תנודתית יותר.

טווחי שכר לפי ותק: הערכת שוק

הטבלה הבאה היא הערכה בלבד, והרוחב שלה משקף בדיוק את הפיזור שתואר למעלה.

רמה	שכר חודשי ברוטו	סוג הנתון
מעבר מהנדסת אבטחה לארכיטקטורה	30,000 - 40,000 ש"ח	הערכת שוק
ארכיטקט עם שלוש עד שש שנים בתחום	38,000 - 52,000 ש"ח	הערכת שוק
ארכיטקט בכיר עם אחריות רוחבית	50,000 - 68,000 ש"ח	הערכת שוק
ארכיטקט ראשי או מוביל תחום	62,000 - 85,000 ש"ח	הערכת שוק

הבדל אחד שאינו נראה בטבלה הוא אופן התשלום. בארגון מפוקח רוב החבילה מגיעה כשכר קבוע עם הפרשות מוגדלות וקרן השתלמות, ואילו אצל ספק מוצר חלק ניכר מגיע כרכיב הוני שערכו נקבע בעתיד. שתי הצעות שנראות זהות בטבלה יכולות להיות רחוקות מאוד זו מזו מבחינת הוודאות שלהן, ולכן ההשוואה חייבת להיות על הערך השנתי הכולל ולא על השורה הראשונה בהצעה.

כדאי לקרוא את הטבלה לאורך ולא לרוחב. מי שנמצא בשורה השנייה בארגון ייעוץ עשוי לשבת בתחתית הטווח, ומי שנמצא באותה שורה בספק מוצר עשוי לשבת מעל הראש שלה. ההשוואה הרלוונטית היא תמיד מול אותו סוג ארגון. לתמונה רחבה יותר של עולם הסייבר כתבנו על שכר בתחום הסייבר בישראל.

מה תקינה והסמכות באמת שוות בשכר?

שאלת ההסמכות מלווה כל שיחה בתחום, והתשובה הכנה היא שהן שוות הרבה בשלב אחד ומעט בשלב אחר. בשלב הסינון הסמכה היא קיצור דרך: היא מסבירה למגייס למה לקרוא את קורות החיים, ובארגון מפוקח היא לעיתים דרישה מוצהרת במכרז או בנוהל. בשלב המשא ומתן עצמו היא כמעט לא מזיזה מספר, כי שם מתמחרים מה שהמועמד עשה ולא מה שלמד.

יוצא הדופן הוא היכרות עמוקה עם תקן שהארגון חייב לעמוד בו. מי שהוביל בפועל תהליך הסמכה מלא, כולל מיפוי בקרות, סגירת פערים ועמידה בביקורת חיצונית, מחזיק ניסיון שנדיר יותר מהתעודה עצמה. בלוח פתוחות כרגע 11 משרות שמזכירות ISO 27001 ו11 משרות שמזכירות ניהול זהויות והרשאות, ושני התחומים האלה חוזרים כמעט בכל תיק ארכיטקטורה.

הבחנה שכדאי לשמור: תקן הוא מסגרת עבודה ולא הוכחת אבטחה. ארגון יכול להחזיק תעודה ולהיות פגיע, ולהיפך. ארכיטקט שמדבר רק בשפת התקנים נשמע בראיון כמי שמנהל מסמכים, וארכיטקט שמדבר רק בשפת ההתקפות נשמע כמי שלא יעמוד בביקורת. השילוב בין השניים הוא מה שמייצר את הפרמיה.

מה קורה לתמחור אחרי אירוע אבטחה

תופעה שחוזרת בשוק ושכדאי להכיר: ארגון שעבר אירוע אבטחה משמעותי, או שספג ביקורת חיצונית עם ממצאים חמורים, משנה את אופן הגיוס שלו בתוך חודשים. פתאום נפתח תקן שלא היה קיים, תהליך האישור מתקצר, ורף השכר שהיה נוקשה הופך גמיש. הסיבה אינה נדיבות אלא תמחור סיכון: העלות של האירוע הפכה מוחשית, והשכר של מי שאמור למנוע את הבא נראה זול לעומתה.

למועמדים יש מזה שתי מסקנות. הראשונה היא שהתזמון משנה, ותפקיד שנפתח בהקשר כזה נוטה להיות מתומחר מעל הממוצע. השנייה, והחשובה יותר, היא לשאול מה בדיוק השתנה מלבד התקן. ארגון שפתח משרה אך לא נתן לה סמכות, תקציב ודרך ישירה להנהלה, מגייס כדי שיהיה למי להצביע בביקורת הבאה. זו עסקה גרועה כמעט בכל מחיר.

שלוש שאלות מבררות את זה מהר: למי מדווח התפקיד, מי היה קודם בו ולמה עזב, ואיזה החלטה שנדחתה בעבר מצפים שתתקבל עכשיו אחרת. תשובות ברורות לשלוש מעידות על ארגון שלמד. תשובות מתחמקות מעידות שהפרמיה שמוצעת היא פיצוי על תסכול עתידי.

ארכיטקטורה בענן מול ארכיטקטורה של מוצר

בתוך אותו שוק קיימת עוד הבחנה שמשפיעה על ההצעה. ארכיטקט שמתמקד בסביבת הענן של הארגון עוסק בזהויות והרשאות, בהפרדת סביבות, בניהול סודות ובמדיניות גישה לשירותים מנוהלים. ארכיטקט שמתמקד במוצר עוסק במודל איומים של המוצר עצמו, בהצפנה, בהפרדת לקוחות בסביבה משותפת ובתהליך הפיתוח המאובטח.

שני התחומים מתומחרים דומה, אך הם מובילים למקומות שונים. הראשון פותח דלת לתפקידי תשתית ולניהול פלטפורמה, השני פותח דלת לתפקידי מוצר ולעמידה מול לקוחות ארגוניים. מי שמחזיק את שניהם הופך למועמד נדיר במיוחד בחברות מוצר שמוכרות לארגונים גדולים, וזו אחת הנקודות הבודדות שבהן שילוב ידע מייצר קפיצה ולא רק שיפור.

מה מזיז את ההצעה מעבר לסולם

ארבעה גורמים חוזרים בשיחות שאנחנו שומעים ב-HiTakeJob. הראשון הוא האם התפקיד כולל סמכות חתימה על חריגות, כפי שתואר למעלה. השני הוא היקף הנכסים שבאחריות: מספר המערכות, נפח הנתונים הרגישים, וקיומם של לקוחות ארגוניים שדורשים שאלוני אבטחה. השלישי הוא חשיפה לפעילות בינלאומית, שמביאה איתה דרישות הגנת פרטיות של שווקים נוספים. הרביעי הוא שעות: תפקיד שכולל מוכנות לאירועים בשעות לא שגרתיות מתומחר גבוה יותר.

גורם חמישי שכדאי לבדוק הוא כמה מהעבודה היא תכנון וכמה היא כיבוי שריפות. ארגון שבו הארכיטקט נקרא לכל אירוע ולכל שאלה תפעולית מתמחר בפועל תפקיד אחר מזה שפרסם, וההצעה שם נראית סבירה עד שמבינים שהיא מכסה שני תפקידים. זו נקודה שאפשר וכדאי להעלות בשיחה, כי היא גם משפיעה על השכר וגם על הסיכוי להישאר בתפקיד שנתיים.

רכיב שמפתיע מועמדים הוא תקציב. ארכיטקט שמחזיק תקציב רכש לכלים ולספקים נמצא בעמדה ניהולית גם בלי כפיפים, והתמחור נע בהתאם. מי ששוקל מסלול קריירה ארוך בתחום ימצא הרחבה על עצם התפקיד במאמר ארכיטקט אבטחת מידע בישראל.

לפני שמסכימים לכותרת ארכיטקט

הכותרת מחולקת בשוק ביד רחבה, ולעיתים היא ניתנת כתחליף להעלאה בשכר ולא כתיאור של אחריות שהתרחבה. מכיוון שהתמחור בתחום נגזר ממה שהתפקיד מחזיק בפועל, כדאי לבדוק ארבעה דברים לפני שמחליפים שורה בקורות החיים.

הראשון הוא מי מקבל את ההחלטה כשארכיטקט אומר שדבר מה מסוכן מדי. השני הוא האם קיימת ועדת ארכיטקטורה או פורום מקביל שבו ההחלטות מתועדות, או שהכול מתרחש בשיחות. השלישי הוא היחס לצוותי הפיתוח: האם הארכיטקט משתתף בתכנון מוקדם, או מגיע בסוף כשלב אישור שמעכב שחרור. הרביעי הוא זמן: כמה מהשבוע באמת מוקדש לתכנון ולא לטיפול בבקשות שוטפות.

תפקיד שנכשל בשלושה מארבעת המבחנים הוא בפועל תפקיד תמיכה עם כותרת מנופחת, ואחרי שנתיים בו קשה להסביר בראיון הבא מה תוכנן. מבחינת קריירה, זו העסקה היקרה ביותר שאפשר לעשות בתחום, גם אם המספר בתלוש נראה סביר.

מה פתוח עכשיו בלוח

נקודות פתיחה מעשיות לחיפוש: 25 משרות בקטגוריית אבטחת מידע, 25 משרות שמזכירות סייבר, ו25 משרות שמזכירות אבטחה כטכנולוגיה נדרשת. כותרות התפקיד בתחום אינן אחידות, ולכן שווה לקרוא את גוף המשרה ולחפש את מילות המפתח של סמכות ואחריות ולא את הכותרת.

שאלות נפוצות

האם הסכומים במאמר מבוססים על משרות האתר?

לא. אין באתר שדה שכר, והטווחים הם הערכת שוק בלבד. הנתון החי היחיד כאן הוא מספר המשרות הפתוחות בכל עמוד נחיתה, וכל מספר כזה ניתן לבדיקה ישירה.

מה ההבדל בשכר בין ארכיטקט למהנדס אבטחה?

הפער נובע מהיקף ההשפעה ולא מהעומק הטכני. מהנדס מיישם ומתחזק בקרות במערכת נתונה, ארכיטקט קובע איך מערכות מתחברות זו לזו ומה מותר. המעבר בין השניים הוא בדרך כלל הקפיצה המשמעותית ביותר במסלול.

איזו הסמכה משתלמת ביותר?

זה תלוי ביעד. מי שמכוון לארגון מפוקח ירוויח יותר מהסמכות בעולם הממשל והבקרה, ומי שמכוון לספק מוצר ירוויח יותר מהסמכות טכניות ומהוכחת עבודה על ארכיטקטורות ענן. הסמכה בלי תיק עבודות תואם כמעט לא מזיזה את ההצעה.

האם אפשר להיכנס לתפקיד בלי רקע צבאי בתחום?

כן, וזה קורה לא מעט דרך מסלול מערכות מידע וניהול תשתיות. הרקע הצבאי מקצר את הכניסה אך אינו תנאי, ובארגונים מפוקחים דווקא ניסיון אזרחי בבקרות ובביקורת שווה לא פחות.

האם המעבר לייעוץ מעלה או מוריד שכר?

ברוב המקרים הבסיס יורד והחשיפה למגוון ארגונים עולה. הייעוץ מתאים כשלב לימודי מהיר או כמסלול עצמאי בהמשך, ופחות כיעד לשיא ההכנסה בשכיר.

מה הכי משפר את עמדת המיקוח בראיון?

סיפור אחד מדויק על החלטה ארכיטקטונית שהתקבלה, מה היה הסיכון, איזה חלופות נשקלו, ומה קרה בפועל אחרי שנה. תיאור כזה שווה יותר מרשימת תקנים, כי הוא מראה שיקול דעת ולא ידע.