DevSecOps: rynek

Oferta

otwarta oferta, która przeszła kontrolę jakości i wymienia co najmniej dwie technologie

Obserwowany kandydat

kandydat, którego stack zawiera tę technologię; agregat — żaden pojedynczy rekord nie opuszcza perymetru

Kandydat do dopasowania

jeszcze nie liczone

Okno

oferty otwarte w chwili tworzenia snapshotu

Junior — rzadkość (typowe wejście: DevOps Middle z zainteresowaniem bezpieczeństwem lub Application Security Engineer Middle z zainteresowaniem DevOps). Skok Junior → Middle — po pierwszej kompleksowej integracji pipeline'u bezpieczeństwa (SAST + SCA + skanowanie kontenerów + skanowanie sekretów w CI/CD). Middle → Senior — odpowiedzialność za pipeline bezpieczeństwa wielu zespołów + automatyzacja zgodności (automatyzacja gotowa do audytu SOC 2 / ISO 27001 / PCI-DSS) + konfiguracja bezpieczeństwa runtime. Senior → Staff / Principal — architektura bezpieczeństwa całej organizacji + modelowanie zagrożeń + integracja z zespołem bezpieczeństwa produktu. Ścieżka kariery: DevOps Middle (2-3 lata) + zainteresowanie → DevSecOps Junior (1-2 lata) → Middle (2-3 lata) → Senior → albo Staff / Principal DevSecOps, ścieżka CISO, Cloud Security Engineer, albo specjalista AppSec.

5 najważniejszych: devsecops, devops, aws, sre, cloud. Narzędzia SAST: Semgrep (rosnący 2026 — szybki + własne reguły + pakiety reguł społeczności), SonarQube (dojrzały), CodeQL (GitHub Advanced Security — najlepszy dla firm natywnych na GitHubie), Checkmarx (enterprise), Veracode. Narzędzia DAST: OWASP ZAP (darmowy standard), Burp Suite (Professional — Portswigger), Acunetix, StackHawk (nowoczesny DAST w CI). SCA (Software Composition Analysis): Snyk dominuje 2026 (najlepszy UX + integracje), Dependabot (darmowa baza na GitHubie), Renovate (zaawansowane automatyczne PR — lepszy niż Dependabot dla monorepo), Sonatype Nexus IQ, JFrog Xray. Bezpieczeństwo kontenerów: Trivy (Aqua, open-source — standard 2026 skanowania obrazów w CI), Grype (Anchore), Snyk Container, Twistlock / Prisma Cloud (Palo Alto enterprise), Aqua Security. Bezpieczeństwo IaC: Checkov (Bridgecrew / Palo Alto — najlepszy dla Terraform/CloudFormation), tfsec, KICS (Checkmarx), Terrascan. Skanowanie sekretów: GitLeaks, TruffleHog (najlepszy do skanowania historii), Detect Secrets (Yelp). Bezpieczeństwo łańcucha dostaw: Sigstore + cosign (podpisywanie i weryfikacja obrazów — Linux Foundation), poziomy frameworka SLSA 1-4, generowanie SBOM (Syft) + skanowanie (Grype + Trivy), atestacje in-toto. Policy as code: OPA (Open Policy Agent) + Gatekeeper dla polityk dopuszczania w K8s + Conftest dla polityk w CI, Kyverno (rosnąca alternatywa polityk K8s — prostsza niż OPA). Bezpieczeństwo w czasie działania: Falco (CNCF — monitoring wywołań systemowych oparty na eBPF), Cilium Tetragon (nowsza observability bezpieczeństwa na eBPF), Tracee (Aqua). Zarządzanie sekretami: HashiCorp Vault (standard branżowy — silniki Transit / KV / Database / PKI), natywne dla chmury (AWS Secrets Manager / Parameter Store + GCP Secret Manager + Azure Key Vault), External Secrets Operator (K8s — pobiera z Vault / chmurowych menedżerów sekretów). Bezpieczeństwo chmury: natywne dla chmury (AWS GuardDuty + Security Hub + Macie + IAM Access Analyzer / GCP Security Command Center / Azure Sentinel + Defender for Cloud) + narzędzia CSPM (Wiz (premium 2026), Lacework, Prisma Cloud, Orca Security). Modelowanie zagrożeń: metodyka STRIDE, Microsoft Threat Modeling Tool, OWASP Threat Dragon. Automatyzacja zgodności: AWS Config Rules + Conformance Packs, GCP Forseti, Azure Policy. Języki: Python jako główny (do własnych narzędzi bezpieczeństwa).

DevOps Engineer — nacisk na CI/CD + infrastrukturę. Bezpieczeństwo — część pracy (podstawy, jak zarządzanie sekretami, IAM), ale nie główna ekspertyza. Zob. DevOps Engineer (ogólnie). Security Engineer (ogólnie) — nacisk na bezpieczeństwo w całej organizacji: bezpieczeństwo sieci, endpointów, zarządzanie tożsamością / dostępem, reagowanie na incydenty, architektura bezpieczeństwa, wykrywanie zagrożeń (praca analityka SOC). Może NIE pracować z pipeline'ami CI/CD. Niewiele programowania. Zob. Security Engineer (ogólnie) (gdy strona zostanie opublikowana). DevSecOps Engineer (ta strona) — styk DevOps + Security. Skupiony konkretnie na bezpieczeństwie WEWNĄTRZ pipeline'ów CI/CD + bezpieczeństwie infrastructure-as-code + bezpieczeństwie kontenerów w runtime + integralności łańcucha dostaw. Dużo programowania (własne narzędzia bezpieczeństwa w Pythonie). Application Security Engineer (AppSec) — nacisk na bezpieczeństwo kodu produktu (triaż wyników SAST, threat modelling funkcji, security code review, szkolenia z bezpieczeństwa dla programistów). Może pokrywać się z DevSecOps, ale skupia się na kodzie produktu (nie na infrastrukturze). Cloud Security Engineer — nacisk na bezpieczeństwo specyficzne dla chmury (biegłość w IAM + KMS + natywne usługi bezpieczeństwa chmury + narzędzia CSPM — Wiz / Lacework / Orca). Często pokrywa się z DevSecOps + Cloud Engineer. Zob. Cloud Security. Zmiany ścieżki kariery: DevOps Middle → DevSecOps w 4-8 miesięcy (potrzebne narzędzia bezpieczeństwa + podstawy threat modellingu). AppSec Engineer ↔ DevSecOps w 2-4 miesiące (dużo wspólnej wiedzy). Security Engineer ogólny → DevSecOps w 6-12 miesięcy (trzeba wzmocnić stack DevOps).

Referencyjny pipeline bezpieczeństwa shift-left 2026 (kontrole bezpieczeństwa na każdym etapie cyklu wytwarzania): 1) Hooki pre-commit — lokalne hooki Git ze skanowaniem sekretów (GitLeaks) + lintowaniem IaC (Checkov / tfsec). Odrzucaj commity z wyciekłymi sekretami LUB niebezpiecznymi wzorcami IaC. 2) Wtyczki IDE — rozszerzenia Semgrep / SonarLint / Snyk dla IntelliJ / VS Code — oznaczone podatności pojawiają się w IDE przed commitem. 3) Tworzenie PR / MR — automatyczne kontrole: SAST (Semgrep / CodeQL / SonarQube), SCA (Snyk / Dependabot — oznaczają podatności zależności + proponują automatyczne podbicia wersji), bezpieczeństwo IaC (Checkov), skanowanie sekretów (GitLeaks / TruffleHog). PR blokowany przy krytycznych znaleziskach. 4) Code review — PR oznaczone jako istotne dla bezpieczeństwa automatycznie przypisują zespół bezpieczeństwa do przeglądu. Przegląd modelu zagrożeń dla nowych funkcji architektonicznych. 5) Merge do main — pełny zestaw skanów bezpieczeństwa w CI: głębszy SAST (dłużej trwający), skany DAST środowiska staging (OWASP ZAP / StackHawk na API staging), skan zgodności licencji (Snyk License Compliance / FOSSA). 6) Budowanie kontenera — buildy wieloetapowe + obrazy bazowe distroless + skan Trivy / Snyk Container po buildzie. Odrzucaj buildy z krytycznymi CVE. 7) Podpisywanie obrazów — podpisywanie Sigstore cosign w trybie keyless (opartym na OIDC) + generowanie SBOM (Syft). Wypychaj podpisane obrazy + SBOM do rejestru OCI. 8) Admission control — webhook admission K8s (OPA Gatekeeper / Kyverno) weryfikuje podpisy obrazów (cosign) + sprawdza polityki bezpieczeństwa (żadnych kontenerów uprzywilejowanych, żadnego host-network, wymagane etykiety, zgodność RBAC). 9) Bezpieczeństwo runtime — Falco / Cilium Tetragon wykrywa nietypowe wywołania systemowe + procesy + połączenia sieciowe. Alarmuje przy podejrzanej aktywności (np. uruchomienie powłoki w kontenerze produkcyjnym, nieautoryzowane połączenie sieciowe, naruszenie integralności plików). 10) Monitoring konfiguracji chmury — CSPM (Wiz / Lacework / Prisma Cloud / Orca) stale skanuje konfiguracje chmury pod kątem odchyleń od bezpiecznej bazy. Automatyczna naprawa standardowych naruszeń. 11) Zarządzanie podatnościami — scentralizowany dashboard (Snyk Hub / Dependabot Alerts / DefectDojo) do śledzenia + priorytetyzacji + przypisywania + egzekwowania SLA (Critical poprawka w 7d, High w 30d, Medium w 90d). 12) Raportowanie zgodności — automatyczne zbieranie dowodów do audytów SOC 2 / ISO 27001 / PCI-DSS / HIPAA (Drata / Vanta / Secureframe). Ciągła zgodność, a nie panika przed corocznym audytem. Śledzone metryki pipeline'u: średni czas naprawy (MTTR) podatności, % PR ze znaleziskami bezpieczeństwa, dług bezpieczeństwa w czasie, wskaźnik postawy zgodności. Senior DevSecOps odpowiada za cały ten pipeline + strojenie odsetka fałszywych alarmów + równoważenie bezpieczeństwa z tempem pracy programistów.

Tak, 87% ofert DevSecOps to praca w pełni zdalna lub hybrydowa. Praca DevSecOps — standardowo oparta na chmurze. Firmy outsourcingowe — prawie zawsze zdalnie przy projektach z USA. Rosyjskie firmy produktowe — hybrydowo lub zdalnie po okresie próbnym. Rosyjskie banki — hybrydowo/w biurze ze względu na zgodność z wymogami bezpieczeństwa, ale praca zdalna możliwa po weryfikacji. Międzynarodowe firmy technologiczne — praca w pełni zdalna to standard. Big Tech — standardem jest hybryda. Huby relokantów: Polska / Niemcy (przyjazne DevSecOps) / Kanada / Serbia / Gruzja. Angielski do międzynarodowej pracy zdalnej w DevSecOps — obowiązkowo (społeczność bezpieczeństwa i większość zasobów są anglojęzyczne).

DevSecOps Engineer — nacisk bezpieczeństwa na warstwę infrastruktury: pipeline'y CI/CD, bezpieczeństwo IaC, bezpieczeństwo kontenerów, bezpieczeństwo runtime, integralność łańcucha dostaw, konfiguracje chmury. Programowanie w Pythonie do automatyzacji bezpieczeństwa. Application Security Engineer (AppSec) — nacisk bezpieczeństwa na warstwę kodu produktu: triaż wyników SAST (odfiltrowanie fałszywych alarmów + przypisanie prawdziwych), threat modelling nowych funkcji (metodyka STRIDE), security code review (ręczny + wspierany narzędziami), szkolenia z bezpieczeństwa dla programistów, zarządzanie programem bug bounty, testy bezpieczeństwa funkcji przed wydaniem. Dużo programowania (trzeba dogłębnie rozumieć kod w wielu językach). Pokrycie: ~50% — obie role znają narzędzia SAST, OWASP Top 10, wzorce bezpiecznego kodowania. DevSecOps — głęboko w narzędziach, AppSec — głęboko w kodzie. Zmiany ścieżki kariery: łatwe przejście poziome (2-4 miesiące). Typowa struktura firmy: mała organizacja — jedna osoba robi oba (hybrydowa rola DevSecOps + AppSec). Średnia organizacja — osobne role, obie raportują do CISO. Duże enterprise (FAANG / banki) — zespół AppSec w ramach product security, zespół DevSecOps w ramach platform security. Porównywalne wynagrodzenia — obie role to segment premium względem ogólnego Senior DevOps. Wybór kariery: DevSecOps, jeśli interesuje cię dogłębnie infrastruktura + operacje + automatyzacja; AppSec, jeśli interesuje cię dogłębnie kod produktu + threat modelling + architektura bezpieczeństwa. AppSec często ma większy wpływ na klientów / biznes (projektowanie funkcji bezpieczeństwa).

Roadmapa: 1) Solidna baza DevOps — Linux + Docker + Kubernetes (CKA) + IaC (Terraform) + jedna chmura + CI/CD. Bez tego nie ma sensu iść w DevSecOps. 2) Podstawy bezpieczeństwa — dogłębne zrozumienie OWASP Top 10 (podatności aplikacji webowych), triada CIA (Confidentiality / Integrity / Availability), podstawy zarządzania tożsamością / dostępem, podstawy kryptografii (symetryczna / asymetryczna / hashowanie — z perspektywy zastosowań). Książki: „The Web Application Hacker's Handbook” Stuttard / Pinto, „Practical Cryptography for Developers” Nakov. 3) Jeden język programowania dogłębnie: Python (domyślny do automatyzacji bezpieczeństwa) lub Go (do własnych narzędzi). 4) Opanowanie SAST + SCA — skonfiguruj Semgrep + Snyk + Dependabot we własnym projekcie na GitHubie. Zrozum triaż fałszywych alarmów. Pisz własne reguły Semgrep. 5) Bezpieczeństwo kontenerów — opanowanie Trivy (skanowanie + SBOM), obrazy distroless, buildy wieloetapowe, wybór bezpiecznych obrazów bazowych. Skonfiguruj podpisywanie obrazów przez Sigstore cosign. 6) Bezpieczeństwo IaC — opanowanie Checkov dla Terraform / CloudFormation. Skonfiguruj w CI/CD. 7) Zarządzanie sekretami — dogłębnie HashiCorp Vault (silniki Transit / KV / Database / PKI), konfiguracja External Secrets Operator w K8s. 8) Policy as code — OPA Gatekeeper do admission control w K8s + Conftest do polityk w CI. Pisz polityki z prawdziwego świata. 9) Dogłębne bezpieczeństwo chmury — opanowanie IAM (projektowanie najmniejszych uprawnień + automatyzacja), wzorce integracji KMS, natywne usługi bezpieczeństwa chmury (GuardDuty + Security Hub / Security Command Center / Sentinel). Certyfikat AWS Security Specialty (certyfikat premium). 10) Bezpieczeństwo runtime — konfiguracja Falco na klastrze K8s, pisanie własnych reguł, integracja alertów z SIEM. 11) Modelowanie zagrożeń — metodyka STRIDE (Microsoft), „Threat Modeling: Designing for Security” Adam Shostack. Zastosuj do własnego projektu. 12) Podstawy frameworków zgodności — SOC 2 / ISO 27001 / PCI-DSS / HIPAA — czego wymagają, jak automatyzować zbieranie dowodów (Drata / Vanta / Secureframe). 13) Zaawansowany projekt własny: zbuduj pełny pipeline bezpieczeństwa shift-left (12 etapów) dla własnego projektu — udokumentuj jako portfolio. 14) Bonus: bezpieczeństwo ofensywne (niewymagane, ale premium): certyfikat OSCP (Offensive Security Certified Professional), HackTheBox / TryHackMe / PortSwigger Web Security Academy. Zrozumienie perspektywy atakującego mocno poprawia obronę. Rosyjskie kursy: Otus „DevSecOps”, Slurm DevSecOps, Karpov.Courses DevSecOps, BI.ZONE Cybersecurity Academy. Międzynarodowe (EN): kursy SANS (premium, ale najlepsze — SEC540 Cloud Security & DevOps Automation), kursy „Practical DevSecOps”, darmowe zasoby OWASP, The DevSecOps Handbook. Obowiązkowe książki: „Securing DevOps” Vehent (kanon), „Container Security” Liz Rice, „Cloud Native Security” Liz Rice. DevOps Middle + zainteresowanie bezpieczeństwem → DevSecOps Junior — 4-8 miesięcy.

244 active open DevSecOps positions — growing security-shift specialisation. Geography: the US, Poland, Singapore. The real market is broader thanks to the international remote segment. Time to close a Senior DevSecOps role — 6-12 weeks (longer than general DevOps due to rare-skill combination + background-check requirements at banks).

Senior DevSecOps odpowiada za pełny cykl inżynierii bezpieczeństwa + DevOps + przywództwa technicznego. Dogłębne podstawy bezpieczeństwa: biegłość w OWASP Top 10, kryptografia stosowana (konfiguracja TLS, rotacja kluczy, integracja HSM), architektura Zero Trust, znajomość frameworka MITRE ATT&CK do modelowania zagrożeń. Biegłość w SAST + SCA: tworzenie własnych reguł Semgrep (dogłębnie — pisanie reguł bezpieczeństwa specyficznych dla logiki biznesowej), zapytania CodeQL dla GitHub Advanced Security, strojenie integracji Snyk (zarządzanie fałszywymi alarmami). Biegłość w bezpieczeństwie kontenerów: zaawansowany Trivy (własne kontrole + workflow SBOM), strategia obrazów distroless, podpisywanie obrazów Sigstore (tryb keyless OIDC), atestacje łańcucha dostaw (in-toto / SLSA L3+). Biegłość w bezpieczeństwie IaC: tworzenie własnych kontroli Checkov, wzorce bezpieczeństwa Terraform, automatyzacja natywnych baseline'ów bezpieczeństwa chmury. Biegłość w policy as code: dogłębnie język OPA Rego, złożone polityki z wieloma warunkami, Gatekeeper / Kyverno w produkcyjnym K8s. Biegłość w bezpieczeństwie runtime: własne reguły Falco w Lua / YAML, polityki eBPF w Cilium Tetragon, integracja z SIEM (Splunk / Elastic Security / Sentinel) i SOAR (Tines / Torq / Splunk SOAR / Cortex XSOAR). Dogłębne bezpieczeństwo chmury: biegłość w IAM (automatyzacja least-privilege dla wielu kont), wzorce integracji KMS (envelope encryption, automatyzacja rotacji kluczy), zaawansowane natywne usługi bezpieczeństwa chmury (własne detektory GuardDuty / własne integracje Security Hub / Security Command Center / automatyzacja Sentinel). Biegłość w narzędziach CSPM (Wiz / Lacework / Prisma Cloud) — typowy Senior odpowiada za workflow naprawy oparte na CSPM. Biegłość w Vault: zaawansowany HashiCorp Vault (Transit do szyfrowania jako usługi, silniki Database do dynamicznych poświadczeń, silnik PKI do certyfikatów wewnętrznych, integracja metod uwierzytelniania z K8s / OIDC / AWS / platformami chmurowymi). Biegłość w modelowaniu zagrożeń: metodyka STRIDE, prowadzenie design review, analiza powierzchni ataku. Biegłość w automatyzacji zgodności: SOC 2 / ISO 27001 / PCI-DSS / HIPAA — projektowanie systemów automatycznego zbierania dowodów (integracja Drata / Vanta / Secureframe lub rozwiązania własne). Reagowanie na incydenty: prowadzenie incydentów bezpieczeństwa, podstawy informatyki śledczej, pisanie post-mortemów. Programowanie: dogłębny Python + podstawy Go do własnej automatyzacji bezpieczeństwa. Projektowanie systemów pod kątem bezpieczeństwa: projektowanie architektury Zero Trust na tablicy, projektowanie programu bezpieczeństwa łańcucha dostaw end-to-end, projektowanie strategii zarządzania kluczami multi-region. Kompetencje miękkie: pisanie ADR dla decyzji bezpieczeństwa, tworzenie szkoleń z bezpieczeństwa dla inżynierów, komunikacja z kierownictwem (raportowanie postawy bezpieczeństwa do CISO / zarządu), mentoring DevSecOps na poziomie Middle. Angielski dla Senior+ OBOWIĄZKOWO — społeczność bezpieczeństwa / OWASP / Defcon / Black Hat są anglojęzyczne. Opcjonalny bonus: doświadczenie w offensive security (OSCP / OSCE), wkład open source w narzędzia bezpieczeństwa (Trivy / Falco / Vault / OPA / Cilium Tetragon), wystąpienia na konferencjach bezpieczeństwa — znacząco podnoszą wartość rynkową.