כמה מרוויח/ה אנליסט/ית SOC בישראל? טווחי שכר לפי ותק

שכר אנליסט SOC בישראל נקבע כמעט תמיד לפי שני משתנים בלבד: באיזו מדרגת Tier נמצאים, ואיזה חלק מהעבודה מתבצע בשעות לא שגרתיות. בלוח HiTakeJob פתוחות כרגע 7 משרות שמזכירות מערכות SIEM, וזו נקודת הפתיחה הישירה ביותר לתחום.

שקיפות לגבי המקור: אין בנתוני הלוח שדה שכר. הטווחים שיוצגו הם הערכת שוק בלבד ואין להם קשר למשרות שמתפרסמות אצלנו. מספרי המשרות כן נשלפים מהמערכת ומתעדכנים.

Tier 1, 2 ו-3 הן מדרגות שכר ולא רק תארים

במרבית המקצועות חלוקת הדרגות היא פנימית ומטושטשת. במרכז ניטור אירועי אבטחה היא מוגדרת היטב, מפני שכל מדרגה מתוארת בנוהל עבודה כתוב: מה מותר לאנליסט לעשות, מתי הוא חייב להסלים, ואיזו החלטה הוא רשאי לקבל לבדו. מכיוון שהאחריות מוגדרת כך, גם התמחור נגזר ממנה ישירות.

Tier 1 מקבל התראות בתור, מבצע סינון ראשוני לפי תסריט מוגדר, סוגר את מה שברור כרעש ומסלים את השאר. Tier 2 מקבל את מה שהוסלם, חוקר לעומק, מצליב מקורות ומחליט אם מדובר באירוע אמת. Tier 3 עוסק בחקירה מורכבת, בציד איומים יזום, בכתיבת חוקי גילוי חדשים ובשיפור התהליך עצמו כך שפחות רעש יגיע מלכתחילה למדרגה הראשונה.

מדרגה	סמכות ההחלטה	מה מייצר את הקפיצה הבאה
Tier 1	סגירה של התראות ידועות לפי תסריט	יכולת לזהות מתי התסריט לא מתאים למקרה
Tier 2	הכרזה על אירוע ופתיחת חקירה	שליטה בחקירת נקודות קצה ובניתוח תעבורה
Tier 3	שינוי חוקי הגילוי וההסלמה עצמם	יכולת לכתוב גילוי חדש ולהוכיח שהוא מצמצם רעש

מכאן נובעת עצה מעשית אחת: בראיון כדאי לשאול מהי חלוקת המדרגות בפועל ומי מבצע כל שלב. מרכזים קטנים מפעילים שתי מדרגות בלבד, ואז Tier 2 מבצע גם את עבודת המדרגה השלישית בלי שהתמחור משקף זאת. זה מצב שאפשר להעלות במשא ומתן, והוא עילה מוצדקת לשבת בקצה העליון של הטווח.

טווחי שכר לפי ותק: הערכת שוק

רמה	שכר חודשי ברוטו	סוג הנתון
שנה ראשונה, מדרגה ראשונה	11,000 - 16,000 ש"ח	הערכת שוק
שנתיים עד שלוש	16,000 - 23,000 ש"ח	הערכת שוק
ארבע עד שש שנים	23,000 - 33,000 ש"ח	הערכת שוק
חקירה מתקדמת וציד איומים	32,000 - 45,000 ש"ח	הערכת שוק
ראש משמרת או מוביל מרכז	38,000 - 52,000 ש"ח	הערכת שוק

הטבלה מתארת בסיס בלבד, בלי רכיב המשמרות. זו הסיבה שמועמדים נתקלים לעיתים במספרים גבוהים יותר בשיחות עם חברים בתחום: מי שמדווח על הכנסה חודשית כוללת אחרי חודש עם ארבע משמרות לילה מדווח על מספר אחר מזה שבחוזה. הפער הזה הוא נושא הסעיף שאחרי הבא.

שורת הכניסה כאן נמוכה יחסית לעולם הסייבר, וזו אחת הסיבות שהתפקיד נחשב לשער הכניסה הנפוץ ביותר לתחום. השורה השלישית והרביעית הן שבהן מתרחשת ההכרעה: מי שנשאר בסינון התראות מתקדם לאט, ומי שעובר לחקירה ולכתיבת גילויים מזנק. הרחבנו על מבנה השכר בעולם הסייבר כולו במאמר שכר בתחום הסייבר בישראל.

רכיב המשמרות: הפער בין הבסיס לבין ההכנסה בפועל

מרכז ניטור שפועל מסביב לשעון אינו יכול להתקיים בלי סידור משמרות, ולכן ההכנסה החודשית של אנליסט מורכבת בדרך כלל משני חלקים: שכר בסיס מוצהר, ורכיב שנגזר מהשעות שבהן הוא עבד בפועל. שני מועמדים עם אותו בסיס יכולים לסיים שנה עם פער ניכר בהכנסה, פשוט כי אחד עבד בסבב לילות והשני בסידור יום בלבד.

הבעיה היא שהמספר שנאמר בראיון הוא כמעט תמיד הבסיס. לכן שווה לפרק את ההצעה לשאלות ברורות:

• כמה משמרות לילה בחודש בממוצע, וכמה סופי שבוע.
• האם המשמרות מתוגמלות בנפרד או מגולמות בבסיס.
• האם קיים סבב שמאפשר לצאת מלילות אחרי תקופה, ומתי.
• מה קורה כשעמית חולה: האם ההחלפה וולונטרית או כפויה.
• האם יש תוספת נפרדת על ראשות משמרת.

שימו לב: זכויות והתוספות בגין עבודת לילה, מנוחה שבועית וחג נקבעות בדיני העבודה ובהסכם ההעסקה. אנחנו לא מציינים כאן שיעורים או סכומים ולא נותנים פרשנות משפטית, וזו שאלה שיש לברר מול המעסיק ובמידת הצורך מול גורם מוסמך.

שאלה שכדאי לשאול בנפרד היא מי בונה את סידור העבודה ומתי הוא מתפרסם. סידור שמתפרסם שבוע מראש הופך תכנון חיים אישיים לבלתי אפשרי, וסידור שמתפרסם חודש מראש עם מנגנון החלפות מסודר הוא הבדל אמיתי באיכות החיים. זה לא רכיב כספי, אבל הוא זה שקובע כמה זמן תישארו במקום.

מעבר לכסף, למשמרות יש מחיר שלא מופיע בתלוש. סבב לילות פוגע בשינה, מקשה על לימודים במקביל, ומגביל את הזמן עם המשפחה. הרבה אנליסטים בוחרים אחרי שנתיים לוותר על תוספת המשמרות ולעבור לתפקיד יום בשכר בסיס גבוה יותר, וזו החלפה שכדאי לתכנן מראש ולא לגלות בשחיקה.

שחיקה ותחלופה: המספר שמאחורי המספר

התחום הזה מחזיק את אחד משיעורי התחלופה הגבוהים בעולם הסייבר, ולזה יש השפעה ישירה על שכר. כשאנליסטים עוזבים אחרי שנה וחצי בממוצע, הארגון משלם פעמיים: פעם אחת על גיוס והכשרה מחדש, ופעם שנייה על הידע שאבד. חלק מהמרכזים מגיבים בהעלאת שכר השימור, וחלק מגיבים בהורדת רף הגיוס, ואלו שני מצבים שונים לחלוטין עבור מי שנכנס.

הסיבות לשחיקה מוכרות: רצף התראות שרובן אינן אמיתיות, תחושה של עבודה חוזרת בלי השפעה, וסבב לילות שלא נגמר. מה שמפחית אותה הוא זמן מוקצה לעבודה שאינה תגובתית, כלומר שעות בשבוע שבהן האנליסט משפר גילויים, בונה אוטומציה או לומד, במקום לענות לתור.

לכן שאלה אחת שווה יותר מכל שאלת שכר בראיון: כמה מהשבוע שלי לא יהיה מול תור ההתראות. תשובה שאומרת אפס מסמנת תפקיד שקשה להישאר בו שנתיים, ותפקיד שקשה להישאר בו שנתיים לא יביא אתכם לשורה הבאה בטבלה, כמעט בלי קשר לשכר ההתחלתי.

מרכז פנימי מול ספק שירות מנוהל

ההבדל בין השניים נוגע ישירות למספר שבתלוש ולקצב שבו הוא עולה. ספק שירות מנוהל מפעיל מרכז אחד שמשרת עשרות לקוחות, ולכן הוא בנוי על תהליכים אחידים, על נפח התראות גדול ועל מדדי זמן תגובה שנקבעו בהסכם מול הלקוח. אנליסט אצל ספק רואה בשנה אחת יותר סוגי סביבות ממה שיראה בחמש שנים במרכז פנימי אחד.

מרכז פנימי בארגון גדול עובד אחרת: פחות התראות, יותר הקשר, והיכרות עמוקה עם מה שנחשב תקין באותה סביבה. הבסיס שם לרוב גבוה במעט, ההטבות טובות יותר, והקצב רגוע יותר. מנגד, ההזדמנויות לקידום מוגבלות למספר התפקידים בארגון, ולכן ההתקדמות תלויה בתחלופה ולא בביצועים.

למי שנמצא בתחילת הדרך, המסלול שמייצר את השכר הגבוה ביותר בטווח של חמש שנים הוא לרוב שנתיים אצל ספק ואז מעבר פנימה. הלמידה המהירה אצל הספק היא שמאפשרת להיכנס פנימה במדרגה גבוהה יותר מזו שאפשר היה להתחיל בה.

מה נבדק בראיון וכיצד זה מתורגם להצעה

ראיון לתפקיד במרכז ניטור בנוי כמעט תמיד משלושה חלקים, וההצעה נגזרת מהחלק שבו המועמד בולט. החלק הראשון הוא יסודות: מה קורה כשמשתמש מתחבר, איך נראית תעבורה חשודה, מה ההבדל בין חשבון שנפרץ לחשבון שנעשה בו שימוש לרעה מבפנים. מי שחזק כאן בלבד יקבל הצעה בשורה הראשונה של הטבלה.

החלק השני הוא תרחיש: מציגים התראה ובודקים איך המועמד חוקר אותה. מה הוא שואל קודם, אילו מקורות מידע הוא רוצה, ומתי הוא מחליט להסלים. כאן מופרד מי שמכיר תסריט ממי שמבין מה מאחוריו, וזה בדיוק הגבול שבין שתי המדרגות הראשונות.

החלק השלישי הוא נכונות תפעולית: משמרות, לחץ, עבודה לפי נוהל וכתיבה מסודרת. הוא נשמע שולי אך הוא זה שקובע אם בכלל תהיה הצעה, ולכן כדאי להגיע אליו עם תשובה מדויקת לגבי מה מקובל עליכם, ולא עם הסכמה גורפת שתתגלה כבעיה בחודש השלישי.

מה מעלה את ההצעה מהר יותר מהוותק

שלוש יכולות מזיזות את המספר מהר. הראשונה היא שליטה אמיתית במערכת ה-SIEM של הארגון, כולל כתיבת שאילתות משלכם ולא רק צפייה בלוחות קיימים. השנייה היא אוטומציה: מי שיודע לכתוב תסריט שמבצע העשרת מידע או פעולת תגובה חוסך למרכז שעות עבודה בכל יום, וזה ערך שקל להציג. השלישית היא תיעוד: אנליסט שכותב דוח אירוע קריא שאפשר להעביר להנהלה נבדל מיד מהשאר.

יש גם כיוון פחות טכני שמשתלם: ידע עסקי על הסביבה המוגנת. אנליסט שמבין איך עובד תהליך התשלומים בארגון, אילו מערכות מחזיקות מידע רגיש ומי המשתמשים בעלי ההרשאות הרחבות, מצליח לתעדף התראות טוב יותר מכל כלי. הידע הזה נבנה בשאלות פשוטות שנשאלות לאורך הזמן, והוא מה שהופך אנליסט למי שאי אפשר להחליף במהירות.

יכולת רביעית שנמדדת פחות אך שווה הרבה היא צמצום התראות שווא. מי שמצליח להראות שחוק גילוי ששינה הפחית באופן מובהק את מספר ההתראות המיותרות מציג תרומה מדידה, והתרומה הזו היא הטיעון החזק ביותר בשיחת שכר. על נתיב ההתקדמות המלא כתבנו במאמר אנליסט SOC בישראל.

מה פתוח עכשיו בלוח

שלושה עמודי נחיתה שרלוונטיים ישירות: 7 משרות SIEM, 18 משרות סייבר, ו25 משרות בקטגוריית אבטחת מידע. מכיוון שהתפקיד מתפרסם לעיתים ככותרת ניטור, בקרה או מוקד, שווה לקרוא את גוף המשרה ולחפש את המילים משמרות ו-Tier.

שאלות נפוצות

האם המספרים במאמר מגיעים מהמשרות באתר?

לא, וזה חשוב לנו להדגיש. אין שדה שכר בבסיס הנתונים של הלוח, ולכן כל טווח כאן הוא הערכת שוק. הספירות שליד הקישורים הן הדבר היחיד שנשלף מהמערכת.

כמה זמן נשארים ב-Tier 1?

בדרך כלל בין שנה לשנתיים, תלוי בגודל המרכז ובקצב שבו נפתחות מדרגות מעל. במרכזים קטנים המעבר מהיר יותר אך פחות מסודר, ובמרכזים גדולים הוא איטי יותר ומלווה בהכשרה מובנית.

עדיף מרכז ניטור פנימי או ספק שירות מנוהל?

ספק שירות מנוהל מספק חשיפה למגוון לקוחות וטכנולוגיות ומתאים ללמידה מהירה. מרכז פנימי מאפשר להכיר סביבה אחת לעומק ולהשפיע עליה. השכר ההתחלתי דומה, ואצל הספק קצב הלמידה בדרך כלל גבוה יותר.

האם אפשר להיכנס בלי ניסיון קודם בסייבר?

כן, וזה אחד המסלולים הנפוצים ביותר. נדרשים יסודות ברשתות ובמערכות הפעלה, נכונות למשמרות ויכולת לעקוב אחרי נוהל מדויק. חלק מהמרכזים מגייסים ומכשירים מהיסוד.

האם תוספת המשמרות נשמרת אם עוברים לתפקיד יום?

לרוב לא. כשעוברים לסידור יום רכיב המשמרות נעלם, ולכן צריך לבדוק שהבסיס החדש מכסה את ההפרש. זו טעות נפוצה של אנליסטים שמגלים ירידה בהכנסה למרות קידום בתפקיד.

לאן ממשיכים אחרי המרכז?

הכיוונים המקובלים הם תגובה לאירועים, מודיעין איומים, הנדסת גילוי, ובדיקות חדירה. כל אחד מהם מוציא מסידור המשמרות ומעלה את הבסיס, וכל אחד דורש התמחות שונה שכדאי להתחיל לבנות עוד בתוך המרכז.