Etik Hacker Maaşları 2025: Türkiye ve Dünyada Ne Kadar Kazanıyorlar?
CyberLord HR Team Yazar profili
2025 yılında dünya genelinde 3.5 milyon boş siber güvenlik pozisyonu olduğunu biliyor muydunuz? Şirketler, verilerini koruyacak yetenekli "Beyaz Şapkalı" hackerları bulmak için adeta savaşıyor.
Bu talep patlaması tek bir anlama geliyor: Maaşlar yükseliyor.
Eskiden "bilgisayarcı çocuk" olarak görülen meslek, artık pilotlardan veya cerrahlardan daha fazla kazanma potansiyeline sahip bir kariyer yolu. Peki, gerçek rakamlar ne?
Bu raporda, Cyberlord İK ekibi olarak Türkiye'deki (TL) ve globaldeki (USD) maaşları, freelance fırsatlarını ve bu paraları kazanmak için hangi sertifikalara ihtiyacınız olduğunu analiz ettik.
Bölüm 1: Türkiye Pazarında Maaşlar (2025)
Türkiye'de ekonomik dalgalanmalar nedeniyle maaş skalası geniştir. Ancak siber güvenlik, dövize endeksli nadir sektörlerden biridir.
1. Junior Penetration Tester (Giriş Seviyesi)
Deneyim: 0-2 Yıl Henüz yolun başında olan, otomatik tarama araçlarını kullanabilen ve temel raporlamayı yapan uzmanlar.
- Maaş: Net 35.000 TL - 55.000 TL / Ay.
- Beklenti: Temel Linux bilgisi, Network+, Security+ sertifikaları.
2. Senior Security Engineer (Kıdemli Uzman)
Deneyim: 3-5 Yıl+ Kendi exploitlerini yazabilen, karmaşık ağ yapılarını analiz eden ve ekiplere liderlik edenler.
- Maaş: Net 70.000 TL - 140.000 TL / Ay.
- Beklenti: OSCP sertifikası, Python/Go programlama, Red Teaming deneyimi.
3. CISO (Chief Information Security Officer)
Deneyim: 10+ Yıl Şirketin tüm güvenlik stratejisini yöneten üst düzey yönetici.
- Maaş: 150.000 TL - 300.000 TL+ / Ay (Büyük bankalarda ve holdinglerde daha yüksek).
Bölüm 2: Global Pazar (Uzaktan Çalışma Fırsatı)
Türkiye'de yaşayıp ABD veya Avrupa şirketlerine uzaktan (remote) çalışmak, birçok Türk gencinin hayalidir ve bu hayal gerçekleşebilir.
Amerika Birleşik Devletleri (Uzaktan)
ABD şirketleri, dünyanın en yüksek maaşlarını öder.
- Junior Pentester: Yıllık $80,000 - $110,000.
- Senior Security Consultant: Yıllık $140,000 - $220,000.
- Not: Türkiye'de yaşarken bu parayı kazanmak, ayda yaklaşık 300.000 TL - 500.000 TL gelir demektir.
Avrupa (Almanya, Hollanda, İngiltere)
- Ortalama Maaş: Yıllık €50,000 - €90,000.
- Sosyal haklar ve iş-yaşam dengesi ABD'ye göre daha iyidir.
Bölüm 3: Freelance ve Bug Bounty (Ödül Avcılığı)
Maaşlı bir işe girmek zorunda değilsiniz. HackerOne, Bugcrowd veya Intigriti gibi platformlarda serbest çalışarak da servet kazanabilirsiniz.
Bug Bounty Nedir?
Şirketler (Google, Apple, Trendyol, Yemeksepeti), sistemlerinde açık bulan araştırmacılara para ödülü verir.
Kazanç Potansiyeli
Burada "maaş" yoktur. Ne kadar avlarsan o kadar yersin.
- Düşük Seviye Açık (Low): $100 - $500.
- Orta Seviye (Medium): $500 - $2,000.
- Kritik Açık (Critical): $5,000 - $50,000+.
Başarı Hikayesi: Türk siber güvenlikçi Can Y., 2024 yılında sadece Bug Bounty yaparak 250.000 Dolardan fazla kazandı. Bu, bir CEO maaşından fazladır.
Bug Bounty Ödeme Eğrileri: Kademelerin Gerçekçi Gelir Yapısı
Yukarıdaki ödül tablosu tek seferlik tutarları gösterir; platformların ödeme mantığı ise kademeli bir eğriye dayanır. Programlar raporları genelde dört şiddet kademesine ayırır ve aynı kademe bile programdan programa değişir: öyle ki aynı zafiyet, iki farklı programda kat kat farklı ödül üretebilir. Bu yüzden tek gerçek rakam aramak yerine bantlarla düşünün:
Yaygın kademeli ödül bantları (kamuya açık programlarda)
- Düşük şiddet (Low/P4): rapor başına 50-500 USD bandı; keşfi kolay ama çift rapor oranı yüksektir.
- Orta şiddet (Medium/P3): 250-2.000 USD; iş mantığındaki yetkilendirme hataları çoğunlukla bu kuşakta değerlendirilir.
- Yüksek şiddet (High/P2): 1.000-6.000 USD; kimlik doğrulama atlatmaları ve zincirlenmiş hatalar burada yoğunlaşır.
- Kritik (Critical/P1): orta ölçekli programlarda 3.000-15.000 USD; çok büyük platformlarda 25.000 USD üstü uçlar görülebilir.
Eğriyi bozan değişkenler
Ödemenin hesaba geçme süresini de işin içine katın: bug bounty'de nakit akışı aylık maaş gibi akmaz, kabaca 2-8 haftalık doğrulama dönemleriyle dalgalanır. Davetli (private) programlarda aynı şiddetteki hata genellikle daha iyi ödüllendirilir ve çift bildirme ihtimali düşer; yeni açılan ürünlerin genç programlarında ise az çalışılmış alanlar bulunur — ödül cömertliği ile keşif fırsatı beraber ilerler.
Gerçekçi çerçeve şudur: ilk yılında bir araştırmacı, kabul oranı düşük kaldığı için ayda 100-1.500 USD arası değişken bir yan gelir görebilir. Ritmi oturmuş, özel programlara davet alan orta seviye bir avcı ayda 1.000-5.000 USD bandını koruyabilir; bunun bedeli ise haftada 10-15 saat kesintisiz araştırma ve hızlı teknik rapor yazmaktır. Kısacası bug bounty tek başına maaş yerine geçmez; maaşın üstüne eklenen, istikrarı hava durumuna bağlı ciddi bir yan gelir kalemidir.
Programı marka tarafında kurup bütçelemek isteyen yöneticiler için Bug Bounty Programları 2025 rehberimiz kurulum adımlarıyla maliyet kalemlerini ayrıca anlatır.
Freelance mi Tam Zamanlı mı? İki Gelir Yapısının Anatomisi
Hangi modelin daha çok kazandırdığı değil, hangi risk profiline dayanabildiğiniz önemlidir. İki yapının işleyişi şöyledir:
- Tam zamanlı: tahmin edilebilir net aylık ödeme, prim yükünü üstlenen kurum (SGK dahil) ve tanımlı yıllık artış takvimi. Karşılığında gelirin üst sınırı dar kalır.
- Freelance: proje akışına bağlı gelir — dolu ayda birkaç proje, sessiz ayda sıfır; karşılığında alınan gün ücreti bordrolu karşılığının kat kat üstünde olabilir.
İngilizce Pazarda Gün Ücretiyle Çalışmak (USD Bazlı)
Batıdaki danışmanlık firmaları, kıdemli bir pentest uzmanının çalışma gününü müşteriye kabaca 700-1.100 USD üzerinden fatura eder. İstanbul'dan çalışan ve İngilizce rapor üretebilen serbest bir uzman bu bandın %50-70'ini — kabaca 350-750 USD/gün — istemekle makul sayılır; aradaki fark, yaşam ve maliyet tabanının düşüklüğünden gelir ve dolar bazlı kazancı sürdürülebilir kılan kaldıraç da tam buradadır.
Faturalanabilir iş yılda gerçekçi olarak 90-160 gün aralığında kalır, çünkü rapor yazma, teklif hazırlama, sertifikasyon ve boş bekleyiş faturalanmaz. Boru hattı düzenli beslenirse yıllık ham ciro kabaca 35.000-120.000 USD bandında seyreder ve bu bandın neresine çıkacağınızı satış disipliniz belirler. Aynı hizmetin müşteri tarafından fiyatını görmek isteyenler hizmet maliyetini planlama rehberimize göz atabilir.
Vergi ve SSK Pratiği: Şahıs mı Limited mi?
Serbest çalışan iki resmi kimlik seçebilir; her ikisi de net kazancı ve yük dağılımını farklı çizer:
- Şahıs şirketi: kurulumu ve idari yükü en hafif yapıdır; ancak gelir vergisi progresif dilimli olduğundan net kâr büyüdükçe toplam yük üst dilimlere doğru hızlanır. İlk yıllar için rahat bir tercihtir.
- Limited şirket: kurumlar vergisi tek oranlıdır (güncel %25 bandını teyit edin), ama defter tutma ve muhasebecilik masrafı eklenir; ortaklara dağıtılan kârdan ayrıca stopaj kesilir.
- Genel gider oranı: serbest çalışan, fatura cirosunun %25-40'ını muhasebe ücreti, SGK primleri, sertifikasyon yenilemeleri, sigorta, donanım ve yedekleme altyapısına ayırır; gün ücretini çıkarsarken bu kalemleri fiyata sabit maliyet olarak ekleyin.
- SSK tarafı: bordrolu çalışanın primlerini ağırlıkla işveren üstlenir; şahıs şirketi sahibi kendi adına Bağ-Kur primi öderken, limited şirkette ortak kendi şirketi bünyesinde bordrolu olabilir. Prim taban tutarı her yıl güncellendiği için geçerli rakamları SGK yayınlarından doğrulayın.
- KDV ve ihracat: yurtdışına verilen test ve danışmanlık hizmeti, ilgili şartlar sağlandığında ihraç statüsünde işlem görüp KDV istisnasından yararlanabilir; şartları ve belge düzenini muhasebecinizle doğrulayın, ama bu istisna hem rekabet fiyatınıza hem nakit akışınıza dokunan gerçek bir avantajdır.
Bölüm 4: Nasıl Değerinizi Arttırırsınız? (Yol Haritası)
Eğer bu rakamları kazanmak istiyorsanız, "diploma" tek başına yetmez. İşte sizi 1 yılda sıfırdan kahramana (Zero to Hero) taşıyacak yol haritası:
Adım 1: İngilizce (Olmazsa Olmaz)
Siber dünyanın dili İngilizcedir. Dokümanlar, eğitimler, araçlar İngilizcedir. İngilizce bilmeden Senior olamazsınız.
Adım 2: Sertifikalar (Sektörün Para Birimi)
- Başlangıç: CompTIA Security+ (Sizi kavrama hazırlar).
- Orta: eJPT (Junior Penetration Tester) - İlk pratik sertifikanız.
- Altın Standart: OSCP (Offensive Security Certified Professional).
- 24 saatlik, zorlu bir sınavdır.
- Bu sertifikayı alan birinin işsiz kalma ihtimali neredeyse sıfırdır.
- Maaş pazarlığında elinizi %50 güçlendirir.
Adım 3: Portfolyo (GitHub ve Blog)
Şirketler CV'den çok ne yaptığınıza bakar.
- HackTheBox ve TryHackMe profillerinizdeki puanlarınız.
- Yazdığınız teknik blog yazıları (Write-up).
- GitHub'da paylaştığınız kendi yazdığınız araçlar (Scriptler).
Bölüm 5: En Çok Kazandıran Alanlar (Nişler)
Herkes "web sitesi hacklemeyi" bilir. Ama büyük para daha az bilinen alanlardadır:
- Akıllı Sözleşme Denetimi (Smart Contract Auditing): Blockchain dünyasında bir hata milyon dolarlara mal olur. Bu yüzden denetçiler saatlik $500+ kazanır.
- Bulut Güvenliği (Cloud Security): AWS ve Azure güvenliği uzmanları karaborsadır.
- Endüstriyel Kontrol Sistemleri (SCADA/ICS): Fabrikaları ve enerji santrallerini koruyanlar en yüksek ücreti alır.
Kariyer Tavanları: Junior'dan Senior'a Geçiş Yolu Nerede Daralır?
Yukarıdaki kıdemli maaş bandı herkese aynı hızda açılmaz. Yerel pazarlarda araç kullanabilen ve kalıp web zafiyetlerini raporlayabilen pentester arzı arttıkça, ücret eğrisi orta seviyeden sonra düzleşme eğilimine girer; tavanı aşan geçişler bilinen üç yoldan birine bağlanır:
- Bulut güvenliği: kimlik mimarisi, yapılandırma denetimi ve kod olarak altyapı (IaC) taramaları gündelik işin merkezine yerleşir; AZ-500 ya da AWS güvenlik uzmanlığı gibi sertifikalar bu yönde hız kazandırır. Kıdemli bulut güvenliği paketleri, eşdeğer genel pentester paketinin genellikle %10-30 üstünde şekillenir.
- AppSec: pentest bulgularını geliştirme döngüsüne gömmek — tehdit modelleme, statik ve dinamik analiz araçlarını derleme boru hattına kurmak, geliştiricilerle gündelik iş birliği yürütmek. Araştırmacılık yetisini yazılım kültürüyle birleştirdiği için bu rol, dar kapsamlı pentester kariyerinden daha dayanıklı fiyatlanır.
- GRC: teknik geçmişi olan uzman, pentest bulgusunu ISO 27001 denetimi, bankacılık düzenlemeleri ve KVKK uyum raporlarına çevirebilir; denetim firmaları ile finans kuruluşları, teknik derinliği denetim diline taşıyan profile belirgin bir prim tanır.
Bu geçişlerin hazırlık süresini merak edenler için öğrenme süresine dair zaman çizelgemiz gerçekçi bir takvim sunuyor.
Maaş Pazarlığında Kaldıraçlar: Teklifi Paket Olarak Okuyun
Baz maaş başlangıç noktasıdır, bitiş değil; şirketler baz ücrete zor uzlaşırken yan kalemlerde daha esnektir. Pazarlık listesinde taranacak kalemler:
- Sertifika sponsorluğu: OSCP sınav ve lab bedeli güncel fiyatlarla 2.000-4.000 USD bandına oturur; şirketin üstlenmesi size somut tasarruf, işverene ölçülebilir bir eğitim yatırımı demektir.
- Yıllık eğitim bütçesi: lab abonelikleri, konferans bileti ve seyahati ayrı bir hatta isteyin; yıllık 15.000-40.000 TL bandı makul bir müzakere talebidir.
- Yıllık bonus hedefi: baz maaşın genelde %5-20'si aralığında şekillenir; hangi göstergelere bağlandığını yazılı isteyin.
- Hisse senedi blokları: uzaktan startup tekliflerinde hisse bloğu genellikle dört yıllık vesting cetveli ve bir yıllık bekleme dönemiyle verilir; ikisini de teklif yazısında teyit edin.
- OTE (hedefte kazanç): performans-bağlı rollerde teklif "baz + değişken" biçiminde ayrıştırılmalı; değişkenin gerçekleşme bantı (%80-120 gibi) ve ödeme takvimi sorulmalıdır.
- Diğer kalemler: uzaktan/hibrit çalışma modu, deneme süresi boyunca maaş, ek donanım desteği ve taşınma yardımı — bunları tek kalem gibi değil, paket içinde tartışın.
Yazılı teklifte ısrar edin: yıllık gözden geçirme takvimi, terfi ölçütleri ve eğitim bütçe kalemi aynı metne girsin; sözlü vaatler müzakere gücü taşımaz.
Sonuç: Gelecek Parlak
Yapay zeka (AI) birçok mesleği bitiriyor olabilir, ancak siber güvenlikte durum tam tersi. AI geliştikçe saldırılar karmaşıklaşıyor ve insan zekasına duyulan ihtiyaç artıyor.
Eğer meraklı, sabırlı ve sürekli öğrenmeye açıksanız, siber güvenlik 2025 ve sonrasında Türkiye'deki en kazançlı kariyer yoludur.
Kariyerinize Nereden Başlayacaksınız? Eğitime yatırım yapın, İngilizcenizi geliştirin ve pratik yapın. Ve eğer şirketinizin güvenliğini bu uzmanlara emanet etmek istiyorsanız, Cyberlord'un sertifikalı ekibiyle tanışın. Biz en iyileri işe alıyoruz, böylece siz güvende kalıyorsunuz.
Genel Bakış
Bu konu için temel kararlar, riskler ve uygulama adımları.