carreiras
DevSecOps Engineer
Construa a pipeline de entrega para que o jeito seguro também seja o jeito fácil.
Um engenheiro DevSecOps automatiza a segurança em como o software é construído, entregue e executado: pipelines, infraestrutura como código, containers e controles de nuvem. Onde o AppSec foca em código e design, o DevSecOps foca na máquina que leva isso até a produção.
ver este caminho no mapa da jornadaUm dia no cargo
- Cuidar dos controles de segurança do CI/CD: etapas de varredura, gates, assinatura, credenciais de curta duração.
- Revisar infraestrutura como código e aplicar política antes de ela chegar à nuvem.
- Endurecer imagens de container, clusters e runners, e mantê-los atualizados.
- Transformar revisões manuais de segurança em verificações automáticas e versionadas que rodam a cada mudança.
- Medir o atrito (tempo de build, falsos positivos) e removê-lo, para que os times não contornem os controles.
Etapa 1· Fundamentos
Conhecer a pipeline, o modelo de identidade e a ideia de shift-left.
Estude aqui
- CI/CD
- Shift-left
- Secrets Scanning
- IAM - identidade e acesso
- Fluxos de Git e code review
- O ciclo de vida da entrega
Aprenda em outros lugares
- Linux, redes e shell scripting
- Git e pelo menos um sistema de CI
- Noções de Docker: imagens, camadas, registries
Construa isto
Monte uma pipeline de CI para um serviço pequeno que faz lint, testa, varre segredos e publica uma imagem.
Etapa 2· Prática
Automatizar as principais verificações e proteger a infraestrutura que executa o código.
Estude aqui
- SAST
- SCA
- DAST
- Infraestrutura segura como código
- Hardening de CI/CD
- Containers — imagens e cadeia de suprimentos
- Pipelines de CI que continuam rápidos
- Infraestrutura como código
- Contêineres e imagens
Aprenda em outros lugares
- Terraform ou outra ferramenta de IaC, escrito para valer
- Noções de observabilidade: métricas, logs, alertas
- Os serviços centrais de um provedor de nuvem
Construa isto
Provisione um ambiente pequeno com IaC, varra o código e o plano, e faça o deploy com credenciais de curta duração em vez de chaves guardadas.
Etapa 3· Avançado
Tratar a segurança como uma plataforma que os times adotam.
Estude aqui
- SBOM
- DevSecOps
- Policy as code
- Kubernetes — runtime seguro
- Segurança como produto interno
- Fundamentos de Kubernetes
- Estratégias de release e rollback
Aprenda em outros lugares
- Práticas de confiabilidade (SRE): SLOs, resposta a incidentes, engenharia de release
- Integridade da cadeia de suprimentos: assinatura e proveniência
- Experiência do desenvolvedor como disciplina
Construa isto
Publique um template de caminho pavimentado (pipeline + módulo de IaC + política) e meça quantos times o adotam e quanto tempo leva o onboarding.
O que mostrar
- Um repositório com uma pipeline endurecida: dependências fixadas, credenciais de nuvem de curta duração, artefatos assinados.
- Um conjunto de regras de policy as code com testes, mostrando o que cada uma previne.
- Um relato de antes e depois de uma pipeline em que você removeu atrito e manteve (ou melhorou) a cobertura.
Certificações (exemplos)
- CKS (CNCF)
- AWS Certified Security – Specialty
- Azure Security Engineer Associate (AZ-500)
Exemplos, não recomendações nem requisitos. Confira os detalhes atuais com a entidade emissora.