Tester penetracyjny: jak zostać pentesterem?
Pentester (tester penetracyjny, etyczny haker) to specjalista ds. bezpieczeństwa IT, który na zlecenie i na podstawie podpisanej umowy przeprowadza ataki na systemy, aplikacje i sieci w celu wykrycia słabych punktów, zanim zrobią to prawdziwi atakujący. W Polsce jest to usługa komercyjna i legalna, a kluczową umiejętnością nie jest samo włamanie, lecz sporządzenie przejrzystego raportu, na podstawie którego klient może podjąć odpowiednie działania.
Czym właściwie zajmuje się tester penetracyjny na co dzień?
Otrzymujesz określony zakres – aplikację internetową, interfejs API, infrastrukturę wewnętrzną, aplikację mobilną lub klienta grubego – oraz czas na przeprowadzenie testów. Mapujesz powierzchnię ataku, szukasz luk w zabezpieczeniach, próbujesz je wykorzystać, a następnie pokazujesz, jak daleko mógłby się posunąć atakujący. Ta najbardziej efektowna część, czyli wykorzystanie luki, stanowi zaledwie ułamek pracy.
Większość czasu poświęcasz na rozpoznanie, metodyczne testowanie zgodnie z listą kontrolną oraz dokumentację. Zakończone zlecenie kończy się raportem: opisuje się w nim każde odkrycie, ocenia ryzyko, dołącza dowód koncepcji oraz zaleca konkretne rozwiązanie. W sektorach podlegających regulacjom przeprowadzasz również ponowne testy, aby potwierdzić, że klient faktycznie usunął luki.
Praca dzieli się na specjalizacje, które różnią się wynagrodzeniem i wymagają różnych umiejętności: testowanie stron internetowych i interfejsów API, aplikacji mobilnych (gdzie nieustannie pojawiają się narzędzia takie jak Frida i MobSF), infrastruktury i usługi Active Directory, a także – w coraz większym stopniu – bezpieczeństwa w chmurze w ramach platform AWS, Azure i GCP. Niektóre role skupiają się raczej na działaniach typu „red teaming”, czyli pełnej symulacji ataku, niż na ograniczonym poszukiwaniu luk w zabezpieczeniach.
Czy testy penetracyjne są legalne w Polsce i gdzie przebiega granica?
Testowanie systemów bez upoważnienia stanowi przestępstwo zgodnie z Kodeksem karnym, głównie na podstawie artykułów dotyczących nieuprawnionego dostępu do informacji oraz ingerencji w dane i systemy. To, co sprawia, że praca pentestera jest legalna, to zlecenie: umowa i pisemne upoważnienie, które dokładnie określają, do czego można mieć dostęp i kiedy.
Kodeks karny zawiera również przepis dotyczący badaczy bezpieczeństwa działających w dobrej wierze, którzy testują zabezpieczenia i odpowiedzialnie zgłaszają swoje ustalenia. Nie jest to jednak carte blanche. Zasada bezpieczeństwa w tym zawodzie jest prosta i bezwzględna: brak zakresu działań i brak podpisanej zgody oznacza brak testów. Wyjście poza uzgodniony zakres oznacza utratę ochrony prawnej.
Nie ma państwowej licencji na wykonywanie tej pracy. Nikt nie wydaje zezwolenia na bycie pentesterem w taki sposób, w jaki państwo wydaje licencje w niektórych regulowanych zawodach. Twoja wiarygodność opiera się na certyfikatach, portfolio i referencjach, a nie na oficjalnym rejestrze.
Jak zostać pentesterem bez licencji, na której można się oprzeć?
Ponieważ nie ma formalnych barier wejścia, droga do tego zawodu opiera się na wykazanych umiejętnościach. Większość osób trafia do tej branży z jednego z trzech kierunków: dyplom z informatyki lub pokrewnej dziedziny, przejście z innej roli w IT (administrator systemu, programista, analityk SOC) lub samokształcenie poparte praktycznymi dowodami.
Certyfikatem, o którym w ogłoszeniach o pracę najczęściej wspomina się jako o wymaganym lub zdecydowanie preferowanym, jest OSCP (Offensive Security Certified Professional), znany z trudnego, praktycznego egzaminu. Pracodawcy wymieniają również certyfikaty równoważne i specjalizacje: CRTP, CRTO, eCPPT, OSWE, OSEP, BSCP, PNPT oraz bardziej zorientowane na zarządzanie certyfikaty CEH lub CISSP. W kilku ogłoszeniach wyraźnie zaznaczono, że zamiast konkretnego certyfikatu akceptowane będzie solidne portfolio, odkrycia w bazie CVE, dobry ranking w zawodach CTF lub wyniki w programach bug bounty.
To portfolio ma tak samo duże znaczenie jak każdy certyfikat. Platformy treningowe, zawody typu Capture The Flag oraz udział w legalnych programach bug bounty to sposoby, dzięki którym początkujący specjaliści udowadniają, że potrafią wykonywać tę pracę, zanim ktokolwiek powierzy im płatne zlecenie. Warto wcześnie zbudować publiczne osiągnięcia, ponieważ mają one większe znaczenie przy poszukiwaniu pierwszej pracy niż kolejna pozycja w CV.
Jakich umiejętności i narzędzi faktycznie oczekują polscy pracodawcy?
Wystarczy przeczytać wystarczająco dużo polskich ogłoszeń o pracę, by zauważyć powtarzający się zestaw narzędzi. Burp Suite Professional jest niemal powszechnie stosowany do testowania stron internetowych. Nmap, Wireshark, Metasploit i Nessus lub podobne skanery podatności pojawiają się nieustannie. W przypadku urządzeń mobilnych – Frida i MobSF. Kali Linux jest domyślnym środowiskiem pracy.
Wymagana jest znajomość metodologii: OWASP Top 10, OWASP ASVS i MASVS, a także frameworków takich jak OSSTMM, PTES i NIST. Musisz rozumieć klasy luk w zabezpieczeniach, na których opierają się narzędzia, takie jak wstrzyknięcie kodu SQL, skryptowanie międzywitrynowe (XSS), CSRF, wstrzyknięcie poleceń i kodu, a także luki w uwierzytelnianiu i sesjach – nie wystarczy tylko uruchamiać skaner.
Umiejętność pisania skryptów jest twardym wymogiem, zazwyczaj w języku Python, a także w Bash, a czasem w PowerShell. Prawie w każdym ogłoszeniu wymagana jest dobra znajomość języka angielskiego (poziom B2 i wyższy), ponieważ dokumentacja, raporty, a często także klienci mają charakter międzynarodowy. Umiejętnością, która odróżnia dobrego pentestera od przeciętnego, jest umiejętność pisania: sporządzania raportów, które są zrozumiałe dla menedżera niebędącego specjalistą i na podstawie których programista może wprowadzić poprawki.
Jak w praktyce wygląda rekrutacja na stanowisko pentestera?
Proces ten ma bardziej techniczny charakter niż zwykła rozmowa kwalifikacyjna w biurze. Po wstępnej selekcji CV i portfolio należy spodziewać się rozmowy technicznej na temat metodologii i dotychczasowych ustaleń, a następnie etapu praktycznego: zadania do wykonania w domu, ćwiczenia na żywo w stylu CTF lub krótkiego testu na przygotowanym celu. Pracodawcy chcą zobaczyć, jak myślisz, a nie tylko jakie certyfikaty posiadasz.
Osoby przeprowadzające rozmowę kwalifikacyjną szukają dogłębnej wiedzy. Poproszą Cię o szczegółowe omówienie rzeczywistej luki w zabezpieczeniach, którą wykryłeś, sposobu jej wykorzystania oraz sposobu sporządzenia raportu. Kandydat, który potrafi wyjaśnić wpływ luki na działalność firmy oraz sposoby jej usunięcia, zdecydowanie przewyższa tego, który jedynie recytuje polecenia narzędzi. Pomocne jest przejrzyste CV, które przedstawia rzeczywiste projekty i certyfikaty, dlatego warto poświęcić CV na stanowisko związane z bezpieczeństwem IT tyle samo uwagi, co przygotowaniu technicznemu.
W tej branży liczą się referencje i dyskrecja. Ponieważ masz do czynienia z poufnymi danymi, pracodawcy cenią kandydatów, którzy oprócz umiejętności technicznych wykazują się profesjonalizmem, zachowaniem poufności i nienaganną reputacją.
Jak wygląda ścieżka kariery testera penetracyjnego?
Zazwyczaj zaczynasz jako junior pod nadzorem, przeprowadzając testy internetowe lub infrastrukturalne o określonym zakresie i ucząc się sporządzania raportów. Wraz z nabieraniem doświadczenia przechodzisz na stanowisko średniego, a następnie wyższego szczebla, samodzielnie kierując projektami, ustalając zakres prac z klientami i mentorując juniorów. Od tego momentu ścieżki się rozgałęziają.
Jedna ścieżka prowadzi do pogłębienia wiedzy specjalistycznej: kierownik zespołu red team, specjalizujący się w chmurze, sprzęcie lub zaawansowanych technikach eksploatacji. Inna zmierza w kierunku doradztwa i zarządzania: konsultant ds. bezpieczeństwa, kierownik zespołu lub stanowiska związane z zarządzaniem i zgodnością z przepisami. Niektórzy testerzy penetracyjni przechodzą do pracy w obszarze obrony lub do policji, gdzie jednostki ds. cyberprzestępczości w polskiej policji potrzebują tej samej wiedzy ofensywnej po drugiej stronie prawa.
Ponieważ popyt jest wysoki, a umiejętności mają charakter uniwersalny, częste są zmiany stanowisk w ramach tej samej branży. Doświadczenie jako tester penetracyjny otwiera drzwi do pokrewnych ról, takich jak specjalista ds. systemów z naciskiem na bezpieczeństwo lub analityk SOC, a także z powrotem.
Co wpływa na wynagrodzenie pentestera?
Kariera w tej branży rzadko zaczyna się od płacy minimalnej – specjaliści ds. bezpieczeństwa są rzadkością, więc nawet wynagrodzenie na poziomie juniora zazwyczaj plasuje się powyżej średniej krajowej, gdy już minie etap staży i samodzielnej nauki. Po kilku latach wykonywania komercyjnych testów penetracyjnych, zdobyciu wymaganych certyfikatów i prawdziwej specjalizacji, zarobki osób z doświadczeniem znacznie przewyższają średnią krajową.
Co wpływa na wysokość wynagrodzenia: wieloletnie doświadczenie komercyjne, posiadane certyfikaty (OSCP i certyfikaty wyższego poziomu mają duże znaczenie), specjalizacja (praca w chmurze i w zespołach typu „red team” jest lepiej płatna niż rutynowe skanowanie stron internetowych) oraz to, czy pracujesz na podstawie umowy o pracę, czy jako wykonawca B2B, gdzie stawki dzienne dla starszych specjalistów są wysokie. Wynagrodzenie różni się w zależności od tego, czy pracujesz dla dostawcy rozwiązań bezpieczeństwa oferującego testy penetracyjne, w wewnętrznym zespole ds. bezpieczeństwa, czy też prowadzisz własną działalność. Bardzo dobra znajomość języka angielskiego oraz umiejętność samodzielnego kierowania projektami dodatkowo podnoszą stawki. Jeśli rozważasz ofertę zatrudnienia w porównaniu ze stawką B2B, skorzystaj z kalkulatora wynagrodzenia netto, aby sprawdzić, ile naprawdę warte są obie opcje po opodatkowaniu.
W jaki sposób popyt na cyberbezpieczeństwo i dyrektywa NIS2 zmieniają tę pracę?
Popyt na tych specjalistów jest strukturalnie wysoki. Specjaliści ds. cyberbezpieczeństwa należą do grup zawodowych, które polscy pracodawcy uznają za najtrudniejsze do obsadzenia, i tak było już przed ostatnimi zmianami regulacyjnymi. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża dyrektywę UE NIS2 do polskiego prawa, weszła w życie 3 kwietnia 2026 r. i nakłada formalne obowiązki w zakresie bezpieczeństwa na dziesiątki tysięcy przedsiębiorstw z wielu sektorów – znacznie więcej niż kilkaset objętych nimi wcześniej.
Większa liczba organizacji, które muszą wykazać, że ich systemy są bezpieczne, oznacza większe zapotrzebowanie na testy, audyty i działania naprawcze – zadania, które spoczywają na testerach penetracyjnych i zespołach ds. bezpieczeństwa. Jest to jeden z wyraźniejszych czynników sprzyjających rozwojowi tej profesji w ciągu najbliższych kilku lat.
Automatyzacja i sztuczna inteligencja zmieniają narzędzia, ale nie istotę sprawy. Skanery i asystenci oparci na sztucznej inteligencji przyspieszają rozpoznanie i selekcję zagrożeń, jednak generują szum, fałszywe alarmy i pomijają luki w logice biznesowej, które człowiek wykrywa, analizując aplikację. Ocena sytuacji, łańcuch exploitów oraz czytelny raport pozostają w gestii człowieka.
Jeszcze jedna rzecz, którą warto podkreślić dla każdego wkraczającego w tę dziedzinę: raport jest produktem. Klient płaci za ustalenia, na podstawie których może podjąć działania, a nie za dreszczyk emocji związany z włamaniem. Nauka rozsądnej oceny ryzyka, pisania zarówno dla menedżerów, jak i programistów oraz ustalania priorytetów poprawek sprawia, że z kompetentnego testera staje się ten, o którego klienci proszą z imienia i nazwiska.
Dla kogo ta praca jest odpowiednia, a kto powinien jej unikać?
To zawód dla osób, które naprawdę interesują się tym, jak coś się psuje, są wystarczająco cierpliwe, by wszystko starannie dokumentować, i nie mają nic przeciwko ciągłemu uczeniu się – narzędzia i techniki zmieniają się co roku. Trzeba umieć poświęcić na rozwiązanie problemu wiele godzin, a potem jasno opisać wynik.
Nie jest to odpowiednia praca dla osób, które nie lubią papierkowej roboty, chcą stabilnej pracy od 9 do 17 bez konieczności nauki po godzinach lub uważają tę pracę za czysty wyzysk bez możliwości składania raportów. Znaczna część dnia ma charakter metodyczny i administracyjny. Wizerunek „hakera” sprzedaje kursy; rzeczywistość nagradza dyscyplinę.
Często zadawane pytania dotyczące kariery pentestera
Czy potrzebuję certyfikatu OSCP, aby zostać zatrudnionym jako pentester?
Nie zawsze, ale bardzo pomaga. Wiele polskich ogłoszeń wymienia certyfikat OSCP jako wymagany lub preferowany, akceptując jednocześnie jego odpowiedniki, takie jak CRTP, CRTO czy eCPPT. Kilku pracodawców wyraźnie zaznacza, że solidne portfolio, odkrycia CVE, rankingi CTF lub wyniki programów bug bounty mogą zastąpić konkretny certyfikat, zwłaszcza jeśli masz już doświadczenie w pracy komercyjnej.
Czy zawód testera penetracyjnego jest legalny w Polsce?
Tak, pod warunkiem pracy na podstawie podpisanej umowy i pisemnego upoważnienia określającego zakres działań. Testowanie systemów bez takiego upoważnienia stanowi naruszenie Kodeksu karnego. Kodeks karny chroni testy bezpieczeństwa przeprowadzane w dobrej wierze i w sposób odpowiedzialny, ale wyłącznie w uzgodnionym zakresie. Brak upoważnienia oznacza zakaz testowania.
Czego trzeba się nauczyć, aby zostać etycznym hakerem?
Nie ma jednej obowiązkowej ścieżki kariery. Sprawdzają się zarówno dyplom z informatyki, przejście z innego stanowiska w branży IT, jak i systematyczna nauka na własną rękę wspierana platformami ćwiczeniowymi i konkursami CTF. Pracodawcy zwracają uwagę na wykazane umiejętności, certyfikaty, portfolio i referencje, a nie na konkretny dyplom, ponieważ zawód ten nie wymaga państwowej licencji.
Ile zarabia pentester w porównaniu ze średnią pensją?
Wynagrodzenie na początku kariery zazwyczaj już przewyższa średnią krajową ze względu na niedobór specjalistów. Po kilku latach doświadczenia w testowaniu komercyjnym, posiadaniu odpowiednich certyfikatów i specjalizacji, takiej jak chmura obliczeniowa czy red teaming, zarobki znacznie przewyższają średnią krajową, a stawki dzienne w sektorze B2B dla osób z doświadczeniem należą do najwyższych w branży IT.
Czy sztuczna inteligencja zastąpi testerów penetracyjnych?
Nie, choć zmienia charakter pracy. Sztuczna inteligencja i zautomatyzowane skanery przyspieszają rozpoznanie i selekcję, ale generują fałszywe alarmy oraz pomijają luki związane z logiką biznesową i luki łańcuchowe. Wykorzystanie luki w kontekście oraz sporządzenie raportu, na podstawie którego programista może podjąć działania, pozostają zadaniami wykonywanymi przez ludzi. Prawdopodobnym skutkiem będzie wzrost popytu, a nie jego spadek.