carreras
DevSecOps Engineer
Construye el pipeline de entrega para que la forma segura también sea la forma fácil.
Un ingeniero DevSecOps automatiza la seguridad en cómo se construye, entrega y ejecuta el software: pipelines, infraestructura como código, contenedores y controles de nube. Donde AppSec se centra en el código y el diseño, DevSecOps se centra en la máquina que lo lleva a producción.
ver este camino en el mapa del recorridoUn día en el cargo
- Ser dueño de los controles de seguridad del CI/CD: etapas de escaneo, gates, firma, credenciales de corta duración.
- Revisar infraestructura como código y aplicar políticas antes de que llegue a la nube.
- Endurecer imágenes de contenedor, clústeres y runners, y mantenerlos actualizados.
- Convertir revisiones manuales de seguridad en verificaciones automáticas y versionadas que se ejecutan en cada cambio.
- Medir la fricción (tiempo de build, falsos positivos) y eliminarla, para que los equipos no esquiven los controles.
Etapa 1· Fundamentos
Conocer el pipeline, el modelo de identidad y la idea de shift-left.
Estudia aquí
- CI/CD
- Shift-left
- Secrets Scanning
- IAM - identidad y acceso
- Flujos de Git y code review
- El ciclo de vida de la entrega
Aprende en otros lugares
- Linux, redes y shell scripting
- Git y al menos un sistema de CI
- Nociones de Docker: imágenes, capas, registries
Construye esto
Monta un pipeline de CI para un servicio pequeño que haga lint, ejecute pruebas, escanee secretos y publique una imagen.
Etapa 2· Práctica
Automatizar las verificaciones principales y proteger la infraestructura que ejecuta el código.
Estudia aquí
- SAST
- SCA
- DAST
- Infraestructura segura como código
- Hardening de CI/CD
- Containers - imágenes y cadena de suministro
- Pipelines de CI que siguen siendo rápidos
- Infraestructura como código
- Contenedores e imágenes
Aprende en otros lugares
- Terraform u otra herramienta de IaC, escrita de verdad
- Nociones de observabilidad: métricas, logs, alertas
- Los servicios centrales de un proveedor de nube
Construye esto
Aprovisiona un entorno pequeño con IaC, escanea el código y el plan, y despliega con credenciales de corta duración en lugar de claves guardadas.
Etapa 3· Avanzado
Tratar la seguridad como una plataforma que los equipos adoptan.
Estudia aquí
- SBOM
- DevSecOps
- Policy as code
- Kubernetes - runtime seguro
- La seguridad como producto interno
- Fundamentos de Kubernetes
- Estrategias de release y rollback
Aprende en otros lugares
- Prácticas de fiabilidad (SRE): SLOs, respuesta a incidentes, ingeniería de releases
- Integridad de la cadena de suministro: firma y procedencia
- Experiencia del desarrollador como disciplina
Construye esto
Publica una plantilla de camino pavimentado (pipeline + módulo de IaC + política) y mide cuántos equipos la adoptan y cuánto tarda el onboarding.
Qué mostrar
- Un repositorio con un pipeline endurecido: dependencias fijadas, credenciales de nube de corta duración, artefactos firmados.
- Un conjunto de reglas de policy as code con pruebas, mostrando qué previene cada una.
- Un relato de antes y después de un pipeline donde quitaste fricción y mantuviste (o mejoraste) la cobertura.
Certificaciones (ejemplos)
- CKS (CNCF)
- AWS Certified Security – Specialty
- Azure Security Engineer Associate (AZ-500)
Ejemplos, no recomendaciones ni requisitos. Consulta los detalles actuales con la entidad emisora.