DevSecOps: mercado

Vacante

un empleo abierto que superó el filtro de calidad y menciona al menos dos tecnologías

Candidato observado

un candidato cuyo stack contiene esta tecnología; es un agregado: ni un solo registro sale del perímetro

Candidato emparejable

aún no contabilizado

Ventana

empleos abiertos en el momento en que se generó el snapshot

Junior es raro (entrada típica: DevOps Middle con interés por la seguridad o Application Security Engineer Middle con interés por DevOps). El salto de Junior a Middle: tras la primera integración de un pipeline de seguridad de extremo a extremo (SAST + SCA + escaneo de contenedores + escaneo de secretos en CI/CD). De Middle a Senior: responsabilidad sobre el pipeline de seguridad de varios equipos + automatización del cumplimiento (automatización lista para auditorías SOC 2 / ISO 27001 / PCI-DSS) + configuración de seguridad en tiempo de ejecución. De Senior a Staff / Principal: arquitectura de seguridad de toda la organización + modelado de amenazas + integración con el equipo de seguridad de producto. Trayectoria: DevOps Middle (2-3 años) + interés → DevSecOps Junior (1-2 años) → Middle (2-3 años) → Senior → luego Staff / Principal DevSecOps, vía de CISO, Cloud Security Engineer o especialista en AppSec.

Principales 5: devsecops, devops, aws, sre, cloud. Herramientas SAST: Semgrep (en auge 2026, rápido + reglas propias + packs de reglas de la comunidad), SonarQube (maduro), CodeQL (GitHub Advanced Security, el mejor para shops GitHub-native), Checkmarx (enterprise), Veracode. Herramientas DAST: OWASP ZAP (estándar gratuito), Burp Suite (Professional, Portswigger), Acunetix, StackHawk (DAST moderno en CI). SCA (Software Composition Analysis): Snyk domina 2026 (mejor UX + integraciones), Dependabot (base gratuita de GitHub), Renovate (auto-PR avanzado, mejor que Dependabot para monorepos), Sonatype Nexus IQ, JFrog Xray. Seguridad de contenedores: Trivy (Aqua, open-source, estándar 2026 para escaneo de imágenes en CI), Grype (Anchore), Snyk Container, Twistlock / Prisma Cloud (enterprise de Palo Alto), Aqua Security. Seguridad de IaC: Checkov (Bridgecrew / Palo Alto, el mejor para Terraform/CloudFormation), tfsec, KICS (Checkmarx), Terrascan. Escaneo de secretos: GitLeaks, TruffleHog (el mejor para escaneos históricos), Detect Secrets (Yelp). Seguridad de la supply chain: Sigstore + cosign (firma + verificación de imágenes, Linux Foundation), niveles 1-4 del framework SLSA, generación de SBOM (Syft) + escaneo (Grype + Trivy), attestations in-toto. Policy as code: OPA (Open Policy Agent) + Gatekeeper para políticas de admission de K8s + Conftest para políticas de CI, Kyverno (alternativa de políticas de K8s en auge, más simple que OPA). Seguridad en runtime: Falco (CNCF, monitorización de syscalls basada en eBPF), Cilium Tetragon (observabilidad de seguridad eBPF más nueva), Tracee (Aqua). Gestión de secretos: HashiCorp Vault (estándar de la industria, engines Transit / KV / Database / PKI), cloud-native (AWS Secrets Manager / Parameter Store + GCP Secret Manager + Azure Key Vault), External Secrets Operator (K8s, extrae de Vault / gestores de secretos cloud). Cloud security: cloud-native (AWS GuardDuty + Security Hub + Macie + IAM Access Analyzer / GCP Security Command Center / Azure Sentinel + Defender for Cloud) + herramientas CSPM (Wiz (premium 2026), Lacework, Prisma Cloud, Orca Security). Threat modelling: metodología STRIDE, Microsoft Threat Modeling Tool, OWASP Threat Dragon. Automatización de compliance: AWS Config Rules + Conformance Packs, GCP Forseti, Azure Policy. Lenguajes: Python principal (para tooling de seguridad propio).

DevOps Engineer: enfoque en CI/CD + infraestructura. La seguridad es parte del trabajo (lo básico, como gestión de secretos e IAM), pero no la especialidad principal. Ver DevOps Engineer (general). Security Engineer (general): enfoque en la seguridad de toda la organización: seguridad de red, seguridad de endpoints, gestión de identidades y accesos, respuesta a incidentes, arquitectura de seguridad, detección de amenazas (trabajo de analista SOC). Puede NO trabajar con pipelines de CI/CD. Poca programación. Ver Security Engineer (general) (cuando se publique la página). DevSecOps Engineer (esta página): intersección de DevOps + Security. Enfocado específicamente en la seguridad DENTRO de los pipelines de CI/CD + seguridad de la infraestructura como código + seguridad de contenedores en runtime + integridad de la cadena de suministro. Mucha programación (herramientas de seguridad propias en Python). Application Security Engineer (AppSec): enfoque en la seguridad del código del producto (triaje de hallazgos de SAST, modelado de amenazas para funcionalidades, revisión de código de seguridad, formación en seguridad para desarrolladores). Puede solaparse con DevSecOps, pero se centra en el código del producto (no en la infraestructura). Cloud Security Engineer: enfoque en la seguridad específica de la nube (dominio de IAM + KMS + servicios de seguridad cloud-native + herramientas CSPM: Wiz / Lacework / Orca). A menudo se solapa con DevSecOps + Cloud Engineer. Ver Cloud Security. Cambios de carrera: DevOps Middle → DevSecOps en 4-8 meses (hacen falta herramientas de seguridad + nociones de modelado de amenazas). AppSec Engineer ↔ DevSecOps en 2-4 meses (mucho conocimiento compartido). Security Engineer general → DevSecOps en 6-12 meses (hay que reforzar el stack DevOps).

Pipeline de referencia de seguridad shift-left 2026 (comprobaciones de seguridad en cada etapa del ciclo de vida del desarrollo): 1) Pre-commit hooks: hooks locales de Git con escaneo de secretos (GitLeaks) + linting de IaC (Checkov / tfsec). Rechazar commits con secretos filtrados O patrones de IaC inseguros. 2) Plugins del IDE: extensiones de Semgrep / SonarLint / Snyk para IntelliJ / VS Code: las vulnerabilidades marcadas aparecen en el IDE antes del commit. 3) Creación de PR / MR: comprobaciones automáticas: SAST (Semgrep / CodeQL / SonarQube), SCA (Snyk / Dependabot: marcan vulnerabilidades en dependencias + sugieren actualizaciones automáticas), seguridad de IaC (Checkov), escaneo de secretos (GitLeaks / TruffleHog). El PR se bloquea ante hallazgos críticos. 4) Revisión de código: los PR marcados por seguridad etiquetan automáticamente al equipo de seguridad para revisión. Revisión de modelado de amenazas para nuevas funcionalidades de arquitectura. 5) Merge a main: batería completa de escaneos de seguridad en CI: SAST más profundo (más lento), escaneos DAST del entorno de staging (OWASP ZAP / StackHawk contra la API de staging), escaneo de cumplimiento de licencias (Snyk License Compliance / FOSSA). 6) Build del contenedor: builds multietapa + imágenes base distroless + escaneo con Trivy / Snyk Container tras el build. Rechazar builds con CVE críticos. 7) Firma de imágenes: firma con Sigstore cosign en modo keyless (basado en OIDC) + generación de SBOM (Syft). Subir las imágenes firmadas + el SBOM al registro OCI. 8) Control de admisión: un admission webhook de K8s (OPA Gatekeeper / Kyverno) verifica las firmas de las imágenes (cosign) + comprueba las políticas de seguridad (sin contenedores privilegiados, sin host-network, etiquetas obligatorias, cumplimiento de RBAC). 9) Seguridad en tiempo de ejecución: Falco / Cilium Tetragon detecta syscalls, procesos y conexiones de red anómalos. Alerta ante actividad sospechosa (por ejemplo, una shell lanzada en un contenedor de producción, una conexión de red no autorizada, una violación de integridad de archivos). 10) Monitorización de la configuración cloud: CSPM (Wiz / Lacework / Prisma Cloud / Orca) escanea de forma continua las configuraciones cloud en busca de desviaciones de la base segura. Corrección automática de las infracciones estándar. 11) Gestión de vulnerabilidades: dashboard centralizado (Snyk Hub / Dependabot Alerts / DefectDojo) para seguimiento + priorización + asignación + cumplimiento del SLA (Critical se corrige en 7 d, High en 30 d, Medium en 90 d). 12) Informes de cumplimiento: recogida automática de evidencias para auditorías SOC 2 / ISO 27001 / PCI-DSS / HIPAA (Drata / Vanta / Secureframe). Cumplimiento continuo, no pánico ante la auditoría anual. Métricas del pipeline que se siguen: tiempo medio de corrección (MTTR) de vulnerabilidades, % de PR con hallazgos de seguridad, deuda de seguridad en el tiempo, puntuación de postura de cumplimiento. Un DevSecOps Senior es responsable de todo este pipeline + del ajuste de la tasa de falsos positivos + del equilibrio entre seguridad y velocidad de los desarrolladores.

Sí, el 87% de los empleos de DevSecOps son full-remote o híbridos. El trabajo de DevSecOps es cloud estándar. Las outsourcing shops — casi siempre remotas en proyectos de EE. UU. Las empresas de producto rusas — híbrido o remoto tras el periodo de prueba. Los bancos rusos — híbrido/oficina por el compliance de seguridad, pero el remoto es posible tras la verificación de antecedentes. Las empresas tecnológicas internacionales — full-remote estándar. Big Tech — híbrido estándar. Hubs de relocación: Polonia / Alemania (DevSecOps-friendly) / Canadá / Serbia / Georgia. Inglés para el remoto internacional de DevSecOps — obligatorio (la comunidad de seguridad y la mayoría de los recursos están en inglés).

DevSecOps Engineer: enfoque de seguridad en la capa de infraestructura: pipelines de CI/CD, seguridad de IaC, seguridad de contenedores, seguridad en runtime, integridad de la cadena de suministro, configuraciones en la nube. Programa en Python para automatizar la seguridad. Application Security Engineer (AppSec): enfoque de seguridad en la capa del código del producto: triaje de hallazgos de SAST (filtrar falsos positivos + asignar los válidos), modelado de amenazas para nuevas funcionalidades (metodología STRIDE), revisión de código de seguridad (manual + asistida por herramientas), formación en seguridad para desarrolladores, gestión del programa de bug bounty, pruebas de seguridad de funcionalidades antes del lanzamiento. Mucha programación (hay que entender a fondo el código en varios lenguajes). Solapamiento: ~50%: ambos conocen herramientas SAST, el OWASP Top 10 y patrones de programación segura. DevSecOps profundiza en herramientas; AppSec, en código. Cambios de carrera: movimiento lateral fácil (2-4 meses). Estructura típica de la empresa: organización pequeña: una persona hace ambas cosas (rol híbrido DevSecOps + AppSec). Organización mediana: roles separados, ambos reportan al CISO. Gran empresa (FAANG / bancos): equipo de AppSec dentro de seguridad de producto, equipo de DevSecOps dentro de seguridad de plataforma. Retribución comparable: ambos están en el segmento premium por encima de un Senior DevOps general. Elección de carrera: DevSecOps si te interesan la infraestructura + operaciones + automatización en profundidad; AppSec si te interesan el código del producto + el modelado de amenazas + la arquitectura de seguridad en profundidad. AppSec suele tener más responsabilidad sobre el impacto en el cliente / negocio (diseño de funcionalidades de seguridad).

Roadmap: 1) Solid DevOps base — Linux + Docker + Kubernetes (CKA) + IaC (Terraform) + one cloud + CI/CD. No point going into DevSecOps without it. 2) Security fundamentals — OWASP Top 10 deep understanding (web app vulnerabilities), CIA Triad (Confidentiality / Integrity / Availability), Identity / Access Management basics, Cryptography basics (symmetric / asymmetric / hashing — applied perspective). Books: "The Web Application Hacker's Handbook" Stuttard / Pinto, "Practical Cryptography for Developers" Nakov. 3) One programming language deep: Python (default for security automation) or Go (for custom tooling). 4) SAST + SCA mastery — set up Semgrep + Snyk + Dependabot in a personal GitHub project. Understand false-positive triage. Write custom Semgrep rules. 5) Container security — Trivy mastery (scanning + SBOM), distroless images, multi-stage builds, secure base image selection. Set up image signing with Sigstore cosign. 6) IaC security — Checkov mastery for Terraform / CloudFormation. Set up in CI/CD. 7) Secrets management — HashiCorp Vault deep (Transit / KV / Database / PKI engines), External Secrets Operator setup in K8s. 8) Policy as code — OPA Gatekeeper for K8s admission control + Conftest for CI policies. Write real-world policies. 9) Cloud security deep — IAM mastery (least-privilege design + automation), KMS integration patterns, cloud-native security services (GuardDuty + Security Hub / Security Command Center / Sentinel). AWS Security Specialty certification (premium cert). 10) Runtime security — Falco setup on a K8s cluster, write custom rules, integrate alerts with SIEM. 11) Threat modelling — STRIDE methodology (Microsoft), "Threat Modeling: Designing for Security" Adam Shostack. Apply to your own project. 12) Compliance frameworks basics — SOC 2 / ISO 27001 / PCI-DSS / HIPAA — what they require, how to automate evidence collection (Drata / Vanta / Secureframe). 13) Advanced pet project: build a full shift-left security pipeline (12 stages) for your own project — document as portfolio. 14) Offensive security bonus (not required but premium): OSCP (Offensive Security Certified Professional) certification, HackTheBox / TryHackMe / PortSwigger Web Security Academy. Understanding the attacker perspective sharply improves defence. Russian courses: Otus "DevSecOps", Slurm DevSecOps, Karpov.Courses DevSecOps, BI.ZONE Cybersecurity Academy. International (EN): SANS courses (premium but best — SEC540 Cloud Security & DevOps Automation), "Practical DevSecOps" courses, OWASP free resources, The DevSecOps Handbook. Must-read books: "Securing DevOps" Vehent (canonical), "Container Security" Liz Rice, "Cloud Native Security" Liz Rice. DevOps Middle + security interest → DevSecOps Junior — 4-8 months.

244 active open DevSecOps positions — growing security-shift specialisation. Geography: the US, Poland, Singapore. The real market is broader thanks to the international remote segment. Time to close a Senior DevSecOps role — 6-12 weeks (longer than general DevOps due to rare-skill combination + background-check requirements at banks).

Un Senior DevSecOps es responsable del ciclo completo de ingeniería de seguridad + DevOps + liderazgo técnico. Fundamentos de seguridad a fondo: dominio del OWASP Top 10, criptografía aplicada (configuración TLS, rotación de claves, integración con HSM), arquitectura Zero Trust, conocimiento del framework MITRE ATT&CK para el modelado de amenazas. Dominio de SAST + SCA: escritura de reglas personalizadas de Semgrep (a fondo: escribir reglas de seguridad específicas de la lógica de negocio), consultas CodeQL para GitHub Advanced Security, ajuste de la integración de Snyk (gestión de falsos positivos). Dominio de la seguridad de contenedores: Trivy avanzado (checks personalizados + flujos de SBOM), estrategia de imágenes distroless, firma de imágenes con Sigstore (modo keyless con OIDC), atestaciones de la cadena de suministro (in-toto / SLSA L3+). Dominio de la seguridad de IaC: desarrollo de checks personalizados de Checkov, patrones de seguridad de Terraform, automatización de líneas base de seguridad nativas de la nube. Dominio de policy as code: el lenguaje Rego de OPA a fondo, políticas complejas con múltiples condiciones, Gatekeeper / Kyverno en K8s en producción. Dominio de la seguridad en tiempo de ejecución: reglas personalizadas de Falco en Lua / YAML, políticas eBPF de Cilium Tetragon, integración con SIEM (Splunk / Elastic Security / Sentinel) y SOAR (Tines / Torq / Splunk SOAR / Cortex XSOAR). Seguridad cloud a fondo: dominio de IAM (automatización de mínimo privilegio multicuenta), patrones de integración con KMS (envelope encryption, automatización de la rotación de claves), servicios de seguridad nativos de la nube avanzados (detectores personalizados de GuardDuty / integraciones personalizadas de Security Hub / Security Command Center / automatización de Sentinel). Dominio de herramientas CSPM (Wiz / Lacework / Prisma Cloud): un Senior típico es responsable de los flujos de remediación basados en CSPM. Dominio de Vault: HashiCorp Vault avanzado (Transit para cifrado como servicio, motores de base de datos para credenciales dinámicas, motor PKI para certificados internos, integración de métodos de autenticación con K8s / OIDC / AWS / plataformas cloud). Dominio del modelado de amenazas: metodología STRIDE, liderazgo de revisiones de diseño, análisis de la superficie de ataque. Dominio de la automatización del cumplimiento: SOC 2 / ISO 27001 / PCI-DSS / HIPAA: diseñar sistemas automatizados de recogida de evidencias (integración con Drata / Vanta / Secureframe o desarrollo propio). Respuesta a incidentes: dirigir incidentes de seguridad, nociones de análisis forense, redacción de post-mortems. Programación: Python a fondo + nociones de Go para automatización de seguridad propia. Diseño de sistemas para la seguridad: diseñar en pizarra una arquitectura Zero Trust, diseñar de extremo a extremo un programa de seguridad de la cadena de suministro, diseñar una estrategia de gestión de claves multirregión. Soft: redacción de ADRs para decisiones de seguridad, desarrollo de formación en seguridad para ingenieros, comunicación ejecutiva (informes de postura de seguridad al CISO / consejo de administración), mentoría a DevSecOps Middle. Inglés para Senior+ IMPRESCINDIBLE: la comunidad de seguridad, OWASP, Defcon y Black Hat son angloparlantes. Extra opcional: experiencia en seguridad ofensiva (OSCP / OSCE), contribuciones open source a herramientas de seguridad (Trivy / Falco / Vault / OPA / Cilium Tetragon), charlas en conferencias de seguridad: aumentan notablemente el valor de mercado.