В смысле невысокие? Вполне себе на уровне с остальными ключевыми участниками процесса вроде. А вообще это вопрос из серии "кто должен получать больше: фронтэндер или бэкэндер/девопс/админ?" Без ИБшников будут утечки и уязвимости почти наверняка, но если у них будут зарплаты выше "кнопкокрасов", которые между прочим отвечают за то, чтобы у потенциального клиента не возникало рвотных позывов и непреодолимого желания закрыть вкладку с вашим сайтом, то они пойдут тоже заниматься ИБ, и кто тогда будет строить фронт, и кому нужно приложение/сайт без интерфейса, кроме разве что узкого круга таких же красноноазых знатоков свежих CVE, которые вообще всё, что только можно, делают в терминальном эмуляторе. Я имею право так говорить, потому что сам красноглазый, если что 😸

Да Вы видели, какие они душные? Формальными тестами систему прогоняют, галочки ставят, а ты потом сиди разбирайся, че там за CVE и как его исправить.

Возможно бизнес покупает дорогой софт для ИБ, а сотрудники просто обслуживают его и соответственно добавленной стоимости не создают для бизнеса