Cięcia w CISA i zamknięcie Huntr: co zmienia się w rekrutacji specjalistów od bezpieczeństwa

CISA straciła w 2025 roku około 1 000 osób, czyli mniej więcej 29 procent kadry. Zakończono też działania jej red teamu. Z kolei 30 czerwca 2026 roku Huntr przestał przyjmować nowe zgłoszenia w programie bug bounty dla open source. Dla części niezależnych badaczy oznaczało to utratę dodatkowego dochodu i możliwości budowania portfolio. Te wydarzenia dzielił dłuższy okres; nie były jedną falą zwolnień. Nie wiemy też, ilu specjalistów w ich następstwie szuka pracy w startupach. Jeśli jednak zatrudniasz badacza podatności lub specjalistę red team, warto przygotować sprawny proces i jasno opisać warunki.

Cięcia w CISA i zmiana programu Huntr

CISA straciła około 1 000 osób. Liczba „2 800” oznacza coś innego

Na początku roku fiskalnego 2025 CISA zatrudniała około 3 400 pracowników. Według przywołanych doniesień w ciągu 2025 roku straciła około 1 000 osób, czyli 29 procent kadry, na skutek odpraw, wcześniejszych emerytur, zwolnień i cięć związanych z DOGE. Zakończono też działania jej red teamu. O odpływie pracowników pisały Cybersecurity Dive, CyberScoop i Axios. W doniesieniach pojawiała się również obsada rzędu 2 200 osób. Te przybliżone wartości nie składają się na jeden spójny bilans zatrudnienia.

Liczba „2 800” oznacza co innego. Zgodnie z zeznaniami przed Kongresem z 3 czerwca 2026 roku to proponowany docelowy poziom zatrudnienia, poniżej zatwierdzonej obsady około 3 400. Nie oznacza 2 800 zwolnionych osób. Propozycja budżetu administracji na rok fiskalny 2027 zakłada ponadto cięcia w CISA o ponad 700 milionów dolarów, jak podaje Daily Security Review. Redukcje już przeprowadzone trzeba więc odróżnić od planów budżetowych i docelowej obsady.

Huntr przeszedł od bug bounty dla open source do testowania bezpieczeństwa AI

Huntr pozwalał początkującym i niezależnym badaczom zarabiać na zgłaszaniu podatności w open source i budować publiczny dorobek. 8 czerwca 2026 roku ogłosił przejście na „Huntr 2.0”, skupione na wyzwaniach z zakresu bezpieczeństwa AI. Podany harmonogram obejmował:

• 30 czerwca 2026: koniec przyjmowania nowych zgłoszeń w programie podatności dla open source.
• 31 lipca 2026: zamknięcie wszystkich zgłoszeń OSS, w tym tych, których nie zdążono obsłużyć.
• 30 sierpnia 2026: dostęp do historycznych danych o podatnościach do tego dnia; brak gwarancji dostępu po październiku 2026.

Zgodnie z Huntr 2.0 FAQ i opisem na huntr.com platforma skupia się teraz na konkursach polegających na testowaniu granic systemów AI. Dotychczasowy program OSS się kończy.

LoSec Research opisało jednego z badaczy, który 22 czerwca wybrał NLTK jako cel, następnego dnia znalazł trzy podatności i zgłosił je przed terminem. Wszystkie trzy zostały zweryfikowane do 4 lipca, a łączna wypłata wyniosła 1 625 dolarów. To przykład dochodu z programu, nie miara zarobków wszystkich jego uczestników.

Popyt na specjalistów od bezpieczeństwa

W czasie przygotowywania artykułu dostępne były m.in. następujące oferty:

• ManTech: stanowiska badaczy podatności CNO (Computer Network Operations) w Herndon w Wirginii i Fort Meade w Marylandzie oraz programistów CNO pracujących w C/C++, Pythonie, asemblerze i inżynierii wstecznej.
• Apple: stanowisko badacza podatności w SEAR (Security Engineering and Architecture) na jobs.apple.com.

Te przykłady pokazują, z kim startup może konkurować o kandydatów. Nie mówią, jak długo trwa rekrutacja w każdej z tych firm. Procesy u wykonawców z sektora obronnego mogą wymagać poświadczeń bezpieczeństwa i dodatkowych etapów. Mały zespół może skrócić własny czas odpowiedzi, choć szybkość nie zastąpi odpowiednich warunków pracy i wynagrodzenia.

Szerszy kontekst rynkowy

Przywoływane szacunki mówią o ponad 470 000 ogłoszeń o pracę w bezpieczeństwie i rocznym wzroście o około 12 procent. Globalny niedobór specjalistów bywa szacowany na blisko 4,8 miliona osób. Stanowiska w bezpieczeństwie ofensywnym i testach penetracyjnych mogą oferować ponad 200 000 dolarów, przy podawanej ogólnej średniej dla badacza bezpieczeństwa wynoszącej około 90 800 dolarów. To orientacyjne dane z różnych kategorii, a nie bezpośrednio porównywalne miary ani prognoza dla konkretnej rekrutacji.

Pracę mają także zespoły zajmujące się obroną systemów. Ponad 130 CVE w przywołanej edycji Patch Tuesday oznacza liczne poprawki do oceny przez zespoły SOC i dostawców usług zarządzanych (MSP). Liczba ta nie musi powtarzać się w każdym miesiącu i sama nie określa potrzeb kadrowych firmy.

Jak skrócić proces bez rezygnowania z oceny

Długi czas oczekiwania na odpowiedź może zniechęcić kandydata, szczególnie gdy szuka nowego źródła dochodu. Postaw sobie za cel pierwszą odpowiedź w ciągu 48 godzin i decyzję w niecałe dwa tygodnie, jeśli zakres oceny na to pozwala. Oprócz terminu decyzji dla kandydata znaczenie mają wynagrodzenie, zakres pracy i zespół.

20-osobowy startup może mieć mniej etapów zatwierdzania niż wykonawca zatrudniający 20 000 osób. Wykorzystaj tę możliwość, ustalając z góry kryteria oceny, odpowiedzialnych za rozmowy i terminy odpowiedzi. Pośpiech nie powinien oznaczać decyzji na wyczucie ani pomijania kontaktu z kandydatem.

Cztery kroki w rekrutacji specjalisty od bezpieczeństwa ofensywnego

1. Przygotuj etapy przed publikacją ogłoszenia

Ustal kolejność: np. przegląd wstępny, praktyczne zadanie lub ćwiczenie w stylu CTF, rozmowa techniczna według ustalonych kryteriów i decyzja. Dzięki temu nie trzeba uzgadniać procesu od nowa dla każdej osoby.

Szablony procesów w Kit pozwalają zapisać etapy i wykorzystać je w kolejnych ogłoszeniach. O doborze kryteriów przeczytasz w przewodniku o tym, jak interpretować wyniki CTF przy rekrutacji.

2. Ustal wspólne kryteria oceny

Dwu- lub trzyosobowy zespół powinien oceniać te same kompetencje według wspólnych zasad. Przy porównywaniu opinii poproś o przykłady z pracy kandydata i omów rozbieżności.

W Kit zbierzesz oceny z poszczególnych etapów i zobaczysz oczekujące decyzje. Więcej o samej metodzie znajdziesz w tekstach o kartach oceny rozmów i trafności predykcyjnej oraz rekrutacji opartej na umiejętnościach.

3. Ustal terminy odpowiedzi

Pierwsza odpowiedź w 48 godzin i decyzja w dwa tygodnie to proponowane cele. Powiedz kandydatowi, ile etapów planujesz i kiedy wrócisz z informacją. Jeśli termin się zmienia, daj znać.

Podsumowania kandydatur, przenoszenie do kolejnych etapów i wiadomości w Kit pomagają koordynować pracę. To zespół musi jednak zarezerwować czas na ocenę i dopilnować odpowiedzi.

4. Sprawdź pulę talentów

Zanim rozpoczniesz nowe poszukiwania, sprawdź osoby zapisane w puli talentów: wcześniejszych kandydatów i specjalistów, z którymi już rozmawialiście. Być może poprzednio przeszkodą był termin albo brak odpowiedniego stanowiska. W Kit możesz zaprosić osoby z puli do nowej rekrutacji i sprawdzić ich obecne zainteresowanie.

Jak rozmawiać z osobami po utracie dochodu

Przejście z administracji lub pracy na zlecenie do startupu wymaga omówienia kilku spraw:

• Sprawdź rzeczywiste wymagania dotyczące poświadczeń bezpieczeństwa. Doświadczenie z sektora publicznego może być przydatne także przy komercyjnym produkcie. Nie wymagaj poświadczenia, jeśli nie wynika ono z obowiązków danego stanowiska.
• Zapytaj o ograniczenia związane z poprzednią pracą. Zakazy konkurencji i podobne zapisy różnią się zakresem. Wyjaśnij obowiązki na nowym stanowisku i ustal wcześnie, czy kandydat ma ograniczenia wymagające osobnego sprawdzenia.
• Omów cel i sposób pracy. Osoba z sektora publicznego może mieć inne doświadczenia z tempem zmian, odpowiedzialnością i celami organizacji. Opisz konkretne zadania, zamiast zakładać, że interesuje ją dowolne zatrudnienie.

Utrata źródła dochodu nie jest powodem, by obniżać standardy komunikacji czy oferowane warunki.

Jak wykorzystać Kit

W Kit przygotujesz szablon procesu, zbierzesz oceny z etapów, sprawdzisz oczekujące decyzje i skontaktujesz się z kandydatami. Możesz też zaprosić osoby zapisane w puli talentów do nowej rekrutacji. Ustal w zespole, kto sprawdza materiały, podejmuje decyzję i odpowiada kandydatowi.

Zmiany w CISA i Huntr mogą skłonić część badaczy do poszukiwania innego zajęcia. Żeby do nich dotrzeć, potrzebujesz konkretnej oferty, odpowiednich warunków i sprawnej komunikacji. Rozpocznij bezpłatny okres próbny, by przygotować proces i opublikować ogłoszenie.