Cyberbezpieczeństwo OT (IT przemysłowe)

Mapa roku po roku — od absolwenta do boutique

Rok 0–1: Wejście — wybór środowiska

Masz dyplom informatyki lub automatyki i robotyki. Interesuje Cię bezpieczeństwo. Widziałeś termin NIS2 i przeczytałeś przynajmniej jeden raport Dragos lub Claroty. To wystarczy na start.

Dwie opcje wejścia i co każda z nich oznacza:

Opcja A — integrator automatyki z praktyką security (8 200–9 800 zł): Firmy takie jak ABB, Siemens, Honeywell, Emerson mają działy bezpieczeństwa OT lub budują je teraz. Dostaniesz dostęp do realnych środowisk przemysłowych od pierwszego miesiąca. Minus: security jest tu często usługą dodatkową, nie core business. Ryzyko, że zostaniesz automatykiem z „security w nazwie stanowiska”.

Opcja B — firma cybersecurity z praktyką OT (9 000–11 500 zł): Seqred (Warszawa/Kraków) lub Big 4 (Deloitte, PwC, KPMG) z rosnącymi praktykami ICS. Lepszy mentoring security, gorsze rozumienie OT na początku. Ucząc się od seniorów jak myśleć o zagrożeniach, będziesz odrabiał braki w znajomości hal produkcyjnych na projektach.

Kwiecień, rok 1. Siedzisz od trzech miesięcy w firmie i jeszcze nie byłeś na żadnym zakładzie produkcyjnym. Wszystko jest w PowerPoint. To sygnał — nie wyrok, ale sygnał. Zapytaj wprost: kiedy pojadę na pierwsze wdrożenie terenowe? Jeśli odpowiedź brzmi „za rok, jak się wdrożysz” — zacznij równolegle robić IEC 62443 Fundamentals na własny koszt (~2 600 zł). To 2–3 tygodnie nauki online. Nikt Ci nie da z powrotem straconego czasu.

Na koniec roku 0–1 powinieneś mieć:

• Podstawy protokołów przemysłowych (Modbus TCP, EtherNet/IP, przynajmniej jeden protokół seryjny)
• Rozumienie architektury Purdue Model / IEC 62443 stref
• Jeden projekt w środowisku OT — choćby jako obserwator
• Certyfikat CompTIA Security+ (1 400 zł, 3–4 tygodnie) jeśli nie masz wcześniej
• IEC 62443 Fundamentals — to jest Twój priorytet roku pierwszego

Rok 1–2: Pierwsza certyfikacja i pierwsze zaufanie

Wrzesień, rok 1. Masz za sobą pierwsze wizyty w zakładach, wiesz czym różni się PLC od DCS, i zaczynasz rozumieć dlaczego patchowanie sterownika Siemens S7 to nie to samo co patchowanie serwera Windows. Czas na IEC 62443 Cybersecurity Certificate Program — poziom „Cybersecurity Fundamentals Specialist” (~2 600 zł samodzielnie, pracodawca powinien finansować z lojalką 6–12 mies.).

Jeśli pracodawca odmawia finansowania IEC 62443 Fundamentals — przemyśl, czy ta firma serio traktuje OT security czy tylko sprzedaje je jako buzzword w przetargach.

Co budować w tym roku:

Zacznij aktywnie mapować środowiska OT, które odwiedzasz. Nie tylko „audytuję” — rozumiej architekturę, zadawaj pytania inżynierom automatyki, dowiedz się, jak działa dana linia. Inżynier mechanik z 20-letnim stażem, który patrzy na Ciebie z rezerwą, to Twój najcenniejszy informator. On wie, co się stanie z procesem produkcyjnym, jeśli konkretny PLC przestanie odpowiadać na 15 sekund. Ty wiesz, że 15 sekund to wieczność w ataku ransomware. Na tym polega OT security.

Zarobki rok 1–2: 11 500–15 000 zł brutto (UoP) Jeśli po 18 miesiącach jesteś poniżej 12 000 zł i masz IEC 62443 Fundamentals — coś jest nie tak. Zaktualizuj CV.

Rok 2–3: GICSP i pierwsze samodzielne zadania

Styczeń, rok 2–3. Rozmawiasz z szefem o ścieżce rozwoju. Pada temat GICSP — Global Industrial Cyber Security Professional (GIAC). Egzamin: ~2 850 zł (~649 USD). Przygotowanie bez kursu SANS: 3–4 miesiące intensywnej nauki, z materiałami z ISA i własną pracą na środowiskach testowych.

GICSP to pierwszy certyfikat, który jest rozpoznawalny globalnie i jednoznacznie sygnalizuje pracodawcy: ta osoba rozumie zarówno IT security jak i OT. Jeśli Twoja firma finansuje SANS ICS410 (~23 000 zł) — bierz bez wahania, to cztery dni w laboratorium z realnym sprzętem. Wartość rynkowa po kursie: natychmiastowy skok w widełkach o 20–30%.

Luty, rok 3. Prowadzisz pierwszą samodzielną ocenę bezpieczeństwa dla klienta — zakład przemysłowy średniej wielkości, sieć OT z 80 urządzeniami. Piszesz raport. Dostajesz pierwsze pytania od klienta bezpośrednio, nie przez przełożonego. To jest ten moment.

Zarobki rok 2–3: 13 000–17 500 zł brutto (UoP) / 700–1 000 zł dziennie (B2B)

Warto rozważyć przejście na B2B między rokiem 2 a 3 — stawka dzienna 700–800 zł przekłada się na ~14 000–16 000 zł miesięcznie przy 20 dniach, plus samodzielność w wyborze projektów.

Rok 3–4: Senior i budowanie sieci klientów

Rok 3–4 to najważniejszy okres z perspektywy przyszłego boutique. Jesteś seniorem — prowadzisz audyty samodzielnie, budujesz raporty, rozmawiasz z zarządami. W tym czasie zacznij świadomie budować sieć kontaktów.

Czego szukać w projektach:

• Audyty dla podmiotów NIS2 — to jest Twoja przyszła baza klientów
• Projekty w sektorach: energetyka (Tauron, PGE, Orlen), gospodarka wodna, transport (PKP, porty), przemysł chemiczny
• Każdy zakład, który audytujesz, jest potencjalnym klientem retainerowym za 3–4 lata

Co budować poza projektami:

Zacznij pisać. Raport po audycie idzie do szuflady klienta. Twoja analiza incydentu przemysłowego (anonimizowana) opublikowana na LinkedIn lub branżowym blogu buduje Cię jako eksperta w przestrzeni publicznej. W OT security nie ma wielu ludzi, którzy piszą po polsku — Twoja publiczność jest nieobsadzona.

Sygnały że czas na ruch:

1. Pracujesz ponad 18 miesięcy jako senior i nie ma ścieżki do lead/principal ani partnership. Firma nie awansuje — używa Cię do projektów.
2. Twoja stawka B2B nie była renegocjowana od roku mimo rosnącego portfela zrealizowanych audytów.
3. Firma bierze projekty, które Ty kwalifikujesz jako poniżej standardów (skróty w scope, raporty szablonowe). Twoje nazwisko jest na tym raporcie.
4. Budujesz relacje z klientami, a firma systemowo blokuje bezpośredni kontakt (wszystko przez account managera). Chcą Twoich kompetencji, nie chcą żebyś wiedział co płacą.
5. Widzisz, że klient płaci Twojej firmie 60 000 zł za audyt. Twoja dniówka to 1 200 zł × 10 dni = 12 000 zł. Prosta matematyka.

Zarobki rok 3–4: 18 500–26 000 zł brutto (UoP) / 1 200–1 800 zł dziennie (B2B)

Rok 4–5: Przygotowanie do boutique

To nie jest rok otwarcia firmy. To rok przygotowania.

Styczeń–czerwiec roku 4. Analizujesz, ile audytów rocznie masz szansę zdobyć samodzielnie bez marki pracodawcy. Realnie — 3 do 5 pierwszego roku, jeśli klienci Cię znają. Rozmawiasz nieoficjalnie z jedną osobą ze swojej sieci o potencjalnym partnerstwie. Szukasz kogoś komplementarnego — jeśli jesteś mocny w ICS/SCADA, partner z background IT security (pentesty, SOC) daje boutique pełny profil.

Lipiec roku 4. Masz pierwszą nieoficjalną rozmowę z klientem który mówi: „jak będziesz miał swoją firmę, wróć do nas.” To jest sygnał do działania. Jeden klient retainerowy na 8 000 zł/mies. to 96 000 zł rocznie — pokrywa koszty spółki z marginesem.

Wrzesień roku 4. Otwierasz sp. z o.o. (lub JDG). Pracujesz jeszcze 3–4 miesiące u dotychczasowego klienta B2B obsługując umowę wypowiedzenia. Zbierasz pierwszy projekt pod szyldem własnej firmy — mały, ale własny.

Kiedy otworzyć własną firmę — warunki wejścia

Boutique to nie idylla. To praca intensywna, z dużą odpowiedzialnością i nieregularnym cash flow na początku. Oto warunki, które muszą być spełnione jednocześnie:

Warunek 1: Portfolio minimum 8–10 zrealizowanych audytów OT. Z różnych sektorów, najlepiej: energetyka lub przemysł chemiczny lub transport. Audyt „pod nadzorem” liczy się połowicznie.

Warunek 2: Co najmniej jeden aktywny certyfikat branżowy. GICSP lub IEC 62443 Certificate Program (poziom wyższy niż Fundamentals) lub SANS ICS410/ICS515. Bez tego Twój boutique nie wygra przetargu w poważnej firmie.

Warunek 3: Minimum 2 potencjalnych klientów, którzy znają Cię z imienia. Nie „znam kogoś w tej firmie.” Osoby, które powiedziały wprost: „jak będziesz samodzielny, wróć do nas.” Jeden klient retainerowy na start to różnica między boutique a stresem.

Warunek 4: Oszczędności lub partner pokrywające 6 miesięcy kosztów życia. Pierwszy rok boutique kończy się zazwyczaj na 200 000–350 000 zł przychodu (2 osoby). Cash flow jest nieregularny — audyt trwa 2–3 tygodnie, faktura płatna 30–60 dni. Bez poduszki finansowej pracujesz pod presją która degraduje jakość.

Warunek 5: Partner, nie solo. OT security boutique solo to pułapka wydajnościowa. Jeden poważny projekt na kilka tygodni blokuje wszystko inne. Dwuosobowy zespół oznacza możliwość prowadzenia dwóch projektów równolegle, wzajemnego review raportów i dzielenia kosztów stałych.

Model biznesowy boutique OT security

Struktura przychodów (2 osoby, rok stabilizacji)

Koszty stałe (rocznie, 2 osoby)

Wynik netto na właściciela (50/50 podział): 110 000–272 000 zł rocznie, czyli 9 200–22 700 zł netto/mies.

Rytm pracy

Boutique OT security nie pracuje w systemie „billable hours 8h dziennie.” Projekty audytowe trwają 5–15 dni terenowych, plus 10–20 dni raportu i follow-up. Retainer to 3–5 dni miesięcznie per klient (monitoring, policy review, incident support). Realnie: 60–70% czasu billable w roku stabilizacji.

Pierwszy rok (rok zerowy boutique)

Rok zerowy jest zawsze słabszy — realistycznie: 2–3 audyty, 1–2 retainery. Przychód: 180 000–320 000 zł. Przy dwóch właścicielach i minimalnych kosztach — wychodzisz na zero do lekkiego plusu. Cel roku zerowego to nie zysk — to 5 klientów referencyjnych i pierwsza przedłużona umowa retainerowa.