Cloud Security: rynek

Oferta

otwarta oferta, która przeszła kontrolę jakości i wymienia co najmniej dwie technologie

Obserwowany kandydat

kandydat, którego stack zawiera tę technologię; agregat — żaden pojedynczy rekord nie opuszcza perymetru

Kandydat do dopasowania

jeszcze nie liczone

Okno

oferty otwarte w chwili tworzenia snapshotu

Junior — typowe wejście: 1) Cloud Engineer Middle + zainteresowanie bezpieczeństwem (ekspertyza chmurowa już jest, potrzebne techniki bezpieczeństwa), 2) Security Engineer Middle + zainteresowanie dogłębną specyfiką chmury, 3) DevSecOps Middle + nacisk na chmurę. Skok Junior → Middle — po pierwszym wdrożeniu narzędzia CSPM (Wiz / Prisma Cloud / natywny AWS Security Hub) + pierwszej inicjatywie naprawy IAM w wielu kontach. Middle → Senior — governance multi-cloud + architektura bezpieczeństwa landing zone + biegłość w narzędziach CNAPP + automatyzacja frameworków zgodności (dowody specyficzne dla chmury FedRAMP / SOC 2 / ISO 27001). Senior → Cloud Security Architect — strategia bezpieczeństwa chmury całej organizacji + Zero Trust w multi-cloud + doradztwo dla zarządu. Ścieżka kariery: Cloud Engineer Senior (3-5 lata) + zainteresowanie → Cloud Security Engineer Junior (1-2 lata) → Middle (2-3 lata) → Senior → albo Cloud Security Architect, specjalista narzędzi CNAPP/CSPM (Wiz CSE / ekspert Prisma Cloud), ścieżka CISO Cloud, albo przejście do zespołu bezpieczeństwa dostawcy chmury (AWS / GCP / Azure — poziom premium).

5 najważniejszych: cloud, aws, azure, gcp, ci/cd. Jedna platforma chmurowa dogłębnie + podstawy dwóch pozostałych. Biegłość w AWS Security: GuardDuty + Security Hub + Macie + Inspector + Detective + Config + IAM Access Analyzer + KMS + Secrets Manager + WAF + Shield + Network Firewall + VPC Flow Logs + Security Lake (2024+ — security data lake). Certyfikat AWS Security Specialty (SCS-C02). Biegłość w GCP Security: Security Command Center (SCC Enterprise — flagowy) + Cloud Armor (WAF + DDoS) + Cloud DLP + Cloud KMS + Secret Manager + Cloud Identity + Web Risk + Chronicle (SIEM od Google — premium). Certyfikat GCP Professional Cloud Security Engineer. Azure SC-100 (Cybersecurity Architect Expert) + AZ-500 (Security Engineer Associate). Biegłość w CSPM: Wiz (lider 2026 — ceny premium, architektura bezagentowa — must-know dla czołowych ról w bezpieczeństwie chmury) + Prisma Cloud (Palo Alto enterprise) + Lacework + Orca Security (bezagentowy konkurent Wiz) + Sysdig Secure + Aqua Cloud Security + Check Point CloudGuard + Tenable Cloud Security (Ermetic — mocny w CIEM) + Datadog Cloud Security Management + Zscaler Posture Control. Open-source: Prowler (lider dla AWS — obowiązkowy w firmach na AWS) + Cloud Custodian (silnik polityk multi-cloud) + ScoutSuite + CloudSploit + Steampipe (zapytania SQL do zasobów chmury). CIEM: Wiz CIEM + Tenable Cloud Security (Ermetic — lider CIEM) + SailPoint + Saviynt + CyberArk Secure Cloud Access. Pacu (ofensywna eksploatacja AWS). CNAPP: Wiz (zdefiniował kategorię) + Prisma Cloud + CrowdStrike Falcon Cloud Security + Lacework + Orca + Sysdig + SentinelOne Cloud Security + Aqua CNAPP. DSPM rosnący 2024+: BigID (lider) + Cyera + Symmetry Systems + Sentra + Securiti. Bezpieczeństwo kontenerów / K8s: Falco w czasie działania + Cilium Tetragon + Tracee + skanowanie obrazów Trivy/Grype/Snyk Container + kontrolery dopuszczania OPA Gatekeeper / Kyverno + podpisywanie obrazów Sigstore cosign + Kubescape (postura K8s, CNCF) + kube-bench (CIS) + kube-hunter (pentesting). Bezpieczeństwo serverless: Snyk Function Scanning + najmniejsze uprawnienia w Lambda + bezpieczeństwo zależności. Skanowanie IaC: Checkov (najlepszy dla Terraform/CFN) + tfsec + KICS + Terrascan + Snyk IaC. Sekrety w chmurze: HashiCorp Vault (standard branżowy) + natywne dla chmury (Secrets Manager/Parameter Store + Secret Manager + Key Vault) + Doppler/Akeyless/1Password Secrets Automation + External Secrets Operator dla K8s. Szyfrowanie w chmurze: envelope encryption w KMS + HSM (CloudHSM/Cloud HSM/Dedicated HSM) + BYOK/HYOK. Frameworki zgodności: SOC 2 + ISO 27001 + PCI-DSS + HIPAA + FedRAMP + GDPR + 152-FZ + 187-FZ + CIS AWS/Azure/GCP Benchmarks. Języki: Python jako główny + bezpieczeństwo IaC w Terraform + bash + PowerShell + Go jako atut.

Cloud Engineer — nacisk na tworzenie infrastruktury chmurowej + optymalizację kosztów + governance wielu kont. Bez specjalizacji w bezpieczeństwie. Zob. Cloud Engineer. DevSecOps Engineer — nacisk na bezpieczeństwo w pipeline'ach CI/CD + bezpieczeństwo IaC + runtime kontenerów + łańcuch dostaw. Strona infrastrukturalna. Zob. DevSecOps. Security Engineer (ogólnie) — szerokie pokrycie wszystkich domen bezpieczeństwa. Zob. Security Engineer (ogólnie). Cloud Security Engineer (ta strona) — nacisk na bezpieczeństwo specyficzne dla chmury: natywne usługi AWS/GCP/Azure + CSPM/CIEM/CNAPP + zgodność w chmurze + biegłość w IAM specyficznym dla chmury + governance wielu kont + szyfrowanie w chmurze. Najlepszy segment premium dzięki hybrydowym umiejętnościom. Realia 2026 (mapa pokrycia): Cloud Security ↔ Cloud Engineer: 60% (obie role dogłębnie w jednej chmurze, ale z innym naciskiem). Cloud Security ↔ DevSecOps: 50% (wspólne: bezpieczeństwo kontenerów + IaC + łańcuch dostaw). Cloud Security ↔ Security Engineer ogólnie: 40% (Cloud Security — głębia w domenie chmury, Security Engineer — szerokość). Zmiany ścieżki kariery: Cloud Engineer Senior → Cloud Security Junior — 4-8 miesięcy (trzeba dodać techniki bezpieczeństwa + narzędzia CSPM + biegłość w IAM + frameworki zgodności). Security Engineer Middle → Cloud Security — 4-8 miesięcy (potrzebna głębia w chmurze). DevSecOps Senior → Cloud Security — 2-4 miesięcy (duże pokrycie). Realia 2026: rynek Cloud Security rośnie szybciej niż bezpieczeństwo ogółem dzięki dalszej adopcji chmury (89% firm używa 2+ chmur według Flexera) + bólom governance w multi-cloud + presji regulacyjnej (FedRAMP / SOC 2 / CIS Benchmarks).

Przypadek użycia: przedsiębiorstwa z budżetem + multi-cloud + chcą najlepszego w klasie. Wygrał najnowszy Gartner MQ 2024. 2) Prisma Cloud (Palo Alto Networks) — kompleksowe rozwiązanie enterprise — połączone przejęcia Twistlock + RedLock + PureSec. Mocne strony: głębokie bezpieczeństwo kontenerów/K8s (dziedzictwo Twistlock), szerokie pokrycie. Słabe strony: cięższe wdrożenie, złożony cennik. Przypadek użycia: obecny klient Palo Alto Networks + chce zunifikowanej platformy. 3) Lacework — wykrywanie oparte na zachowaniu (platforma danych Polygraph) + multi-cloud. Mocne strony: wykrywanie anomalii bez własnych reguł. Słabe strony: mniej dojrzały UI niż Wiz. Przypadek użycia: średni rynek + chce wykrywania opartego na zachowaniu. 4) Orca Security — bezagentowy konkurent Wiz (podobna architektura — korzysta z API chmury). Mocne strony: opatentowana technologia side-scanning — bez agentów, mniejszy wpływ na wydajność. Zwykle tańszy niż Wiz. Przypadek użycia: podobnie jak Wiz, ale przy ograniczonym budżecie. 5) Sysdig Secure — skupiony na czasie działania (oparty na eBPF) + mocny w kontenerach. Mocne strony: głębokie bezpieczeństwo w czasie działania (dziedzictwo Falco — Sysdig stworzył Falco), najlepszy dla obciążeń mocno opartych na kontenerach. Słabe strony: węższe pokrycie CSPM. Przypadek użycia: mocno oparty na Kubernetes + chce głębokiego bezpieczeństwa w czasie działania. 6) Aqua Cloud Security — dostawca nastawiony na kontenery (twórcy Trivy) + CNAPP. Mocne strony: głębokie bezpieczeństwo kontenerów + dziedzictwo open-source (Trivy szeroko używany). Przypadek użycia: firmy dojrzałe w kontenerach + chcą dostawcy opiekującego się open-source. 7) CrowdStrike Falcon Cloud Security — rozszerzenie od lidera EDR, CrowdStrike. Mocne strony: integracja z EDR + platformą Falcon. Przypadek użycia: obecny klient CrowdStrike chcący rozszerzenia o bezpieczeństwo chmury. 8) Snyk Cloud — rozszerzenie od lidera SCA/SAST, Snyk. Mocne strony: przyjazny deweloperom + integracja z IDE. Przypadek użycia: obecny klient Snyk chcący bezpieczeństwa chmury. 9) Natywne dla chmury (darmowe / tanie): AWS Security Hub + GuardDuty + Macie + IAM Access Analyzer + Config / GCP Security Command Center / Azure Defender for Cloud + Sentinel. Przypadek użycia: ograniczony budżet + akceptacja vendor lock-in + mała obecność w chmurze. 10) Open-source CSPM: Prowler (AWS — lider, używany przez samego Wiz do skanowania AWS), Cloud Custodian (silnik polityk multi-cloud), ScoutSuite, CloudSploit, Steampipe (zapytania SQL do zasobów chmury). Przypadek użycia: zerowy budżet + zespół techniczny zdolny to obsługiwać. Domyślne rekomendacje 2026: Enterprise + multi-cloud + budżet w porządku → Wiz lub Prisma Cloud. Dużo kontenerów → Sysdig Secure lub Aqua. Obecny klient CrowdStrike/Snyk → rozszerzenie Falcon Cloud Security / Snyk Cloud. Ograniczony budżet → natywne dla chmury + open-source Prowler / Cloud Custodian. Najlepszy UX bez agentów → Wiz lub Orca. Rynek rosyjski (po odejściu AWS/GCP) → natywne narzędzia dostawców chmury + rosyjscy dostawcy bezpieczeństwa.

Tak, 33% ofert Cloud Security Engineer to praca w pełni zdalna lub hybrydowa. Praca Cloud Security jest w pełni oparta na chmurze (całkowicie przez konsole + dashboardy + narzędzia SaaS). Firmy outsourcingowe (EPAM Cloud Security Practice / Luxoft / Andersen / DataArt Cloud Security) — prawie zawsze zdalnie przy projektach z USA. Rosyjskie banki — hybrydowo/w biurze ze względu na regulacje + wymóg suwerenności danych w chmurze. Rosyjscy dostawcy chmury — hybrydowo lub zdalnie po weryfikacji bezpieczeństwa. Rosyjscy dostawcy bezpieczeństwa — hybrydowo. Firmy państwowe — hybrydowo/w biurze obowiązkowo ze względu na sieci odizolowane + poświadczenia. Dostawcy CSPM/CNAPP (Wiz / Prisma Cloud / Lacework / Orca / Sysdig / Aqua / Snyk Cloud) — praca w pełni zdalna to standard, segment premium dla rosyjskojęzycznych Seniorów z angielskim. Bezpieczeństwo natywne dla chmury — w pełni zdalnie. Big Tech Cloud Security (AWS Security team / GCP Security / Azure Security / Apple Cloud / Meta Production Engineering Security) — standardem jest hybryda. Huby relokantów: Polska (UE przyjazna Cloud Security) / Niemcy (Berlin + Monachium) / Kanada / Serbia / ZEA. Angielski do międzynarodowej pracy zdalnej w Cloud Security — obowiązkowo (dokumentacja dostawców Wiz / Prisma / Snyk + społeczność + konferencje fwd:cloudsec / RSA / Black Hat — anglojęzyczne).

Senior Cloud Security Engineer — praktycznie odpowiada za wdrożenia bezpieczeństwa chmury. Na co dzień: strojenie polityk narzędzi CSPM (reguły Wiz / Prisma Cloud), reagowanie na wykrycia, naprawa IAM, triaż podatności, automatyzacja (Python w skryptach bezpieczeństwa chmury), zbieranie dowodów zgodności. Umiarkowanie dużo programowania. Cloud Security Architect — projektuje strategię bezpieczeństwa chmury całej organizacji + architekturę Zero Trust dla wielu chmur + wzorce bezpieczeństwa landing zone + dobór frameworków zgodności. Na co dzień: pisanie ADR dla decyzji o bezpieczeństwie chmury, przeglądy projektów bezpieczeństwa chmury zespołów produktowych, strategia governance wielu chmur, doradztwo dla CISO / CTO, ocena dostawców (decyzja Wiz vs Prisma vs Orca), obrona budżetu. Mniej programowania. Ścieżka kariery: Senior Cloud Security Engineer (4-6 lat) → Cloud Security Architect → Principal Cloud Security Architect / Distinguished / ścieżka CISO Cloud. Specjalista CSPM/CNAPP (podspecjalizacja) — dogłębna ekspertyza w jednym narzędziu CSPM (Wiz CSE — Certified Security Engineer / Prisma Cloud Certified Engineer / Lacework). Często pracuje u dostawców lub w konsultingu premium (PwC Cloud Security / Deloitte Cloud Security). Wynagrodzenie porównywalne z Senior Cloud Security + premia za certyfikat dostawcy. AWS / GCP / Azure Security Engineer (specjalista jednej chmury) — dogłębna ekspertyza w natywnych usługach bezpieczeństwa jednej chmury (a nie ogólne bezpieczeństwo chmury). Często w zespole dostawcy chmury (AWS Security / GCP Security / Azure Security) albo w firmach mocno opartych na jednej chmurze. Wybór kariery: Senior Engineer, jeśli ciekawi cię praktyka, Architect, jeśli strategia + praca międzyzespołowa, specjalista CSPM, jeśli głębia narzędziowa, specjalista jednej chmury, jeśli chcesz poziomu premium w natywnym zespole dostawcy chmury.

Roadmapa: 1) Solidne podstawy chmury — wybierz jedną chmurę dogłębnie (AWS / GCP / Azure) i zdaj certyfikat Foundation (AWS Cloud Practitioner / GCP Cloud Digital Leader / Azure Fundamentals AZ-900). 2) Baza Cloud Engineer — certyfikat poziomu Associate (AWS SA Associate / GCP Associate Cloud Engineer / Azure AZ-104). Opanowanie IAM + projektowanie VPC + przegląd usług cloud-native. 3) Podstawy bezpieczeństwa — OWASP Top 10 + triada CIA + podstawy kryptografii + protokoły sieciowe (TCP / TLS / VPN). 4) Certyfikat Security+ (CompTIA — podstawowy). 5) Certyfikat specyficzny dla Cloud Security: AWS Security Specialty (SCS-C02) — obowiązkowy na ścieżce AWS Security (certyfikat premium + uznawany w całej branży). Albo Azure SC-100 (Cybersecurity Architect Expert) + AZ-500 (Security Engineer). Albo GCP Professional Cloud Security Engineer. 6) Opanowanie IaC: Terraform + natywne IaC chmury (AWS CDK / Azure Bicep). Praktyka z Checkov / tfsec do skanowania bezpieczeństwa IaC. 7) Praktyka z open-source'owym CSPM: Prowler (AWS — obowiązkowo) + Cloud Custodian + ScoutSuite. Uruchom na własnym koncie AWS Free Tier. Zrozum wzorce błędnych konfiguracji. 8) Bezpieczeństwo kontenerów: Falco w runtime + skanowanie obrazów Trivy + admission przez OPA Gatekeeper lub Kyverno. Skonfiguruj na własnym klastrze K8s (kind / k3s). 9) Dogłębnie HashiCorp Vault: standard branżowy zarządzania sekretami. Skonfiguruj self-hosted Vault + integrację z K8s (External Secrets Operator). 10) Praktyka z chmurowym SIEM: konfiguracja AWS Security Lake lub GCP Chronicle lub Azure Sentinel. Zbuduj podstawowe reguły detekcji. 11) Narzędzia dostawców CSPM/CNAPP (jeśli jest budżet lub zapewnia je pracodawca): wypróbuj Wiz / Prisma Cloud / trial Snyk Cloud / dema Lacework. Zrozum generowane raporty. 12) Dogłębnie frameworki zgodności: CIS AWS Benchmarks / CIS Azure / CIS GCP — automatyzuj kontrole zgodności (Prowler już implementuje CIS). Wymagania chmurowe FedRAMP / SOC 2 / ISO 27001. 13) Ścieżka certyfikatów premium: CCSP (Certified Cloud Security Professional — ISC²) lub CCSK (Certificate of Cloud Security Knowledge — Cloud Security Alliance) — certyfikaty Cloud Security premium. Trio multi-cloud: AWS Security Specialty + Azure SC-100 + GCP Professional Cloud Security — sygnał w CV na poziomie premium. 14) Portfolio projektów własnych: a) pełna architektura Cloud Security dla konta AWS (governance wielu kont + Control Tower + Security Hub + GuardDuty + własne reguły Prowler); b) wdrożenie demo Wiz / Prisma Cloud (użyj triala); c) konfiguracja bezpieczeństwa K8s (Falco + polityki Kyverno + podpisywanie Sigstore). Udokumentuj na GitHubie + wpis na blogu. Międzynarodowe (EN): kursy SANS (SEC540 Cloud Security & DevOps Automation — premium, drogie, ale najlepsze), kursy „Practical DevSecOps”, ścieżki Security w A Cloud Guru / Cloud Academy, ścieżki nauki Security w AWS Skill Builder. Obowiązkowe książki: „Cloud Native Security” Liz Rice, „Container Security” Liz Rice, „Practical Cloud Security” Chris Dotson, „AWS Security Cookbook” Heartin Kanikathottu. Cloud Engineer Middle + zainteresowanie → Cloud Security Junior — 4-8 miesięcy.

286 active open Cloud Security Engineer positions — growing segment due to mainstream cloud adoption + multi-cloud reality + regulatory pressure (FedRAMP / SOC 2 / CIS Benchmarks). Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment (CSPM/CNAPP vendors — full-remote-friendly) + Big Tech Cloud Security teams (AWS Security largest + GCP Security + Azure Security teams). Time to close a Senior Cloud Security Engineer — 6-12 weeks (longer than general DevOps due to rare-skill combination — cloud expertise + security expertise + multi-cloud certifications).

Senior Cloud Security Engineer odpowiada za pełny cykl bezpieczeństwa chmury + governance multi-cloud + przywództwo techniczne. Jeden certyfikat bezpieczeństwa chmury na poziomie Pro: AWS Security Specialty (SCS-C02) lub Azure SC-100 / AZ-500 lub GCP Professional Cloud Security Engineer — w realnej skali produkcyjnej. Podstawy multi-cloud: znajomość dwóch pozostałych chmur co najmniej na poziomie Associate. Dogłębna biegłość w IAM: projektowanie least-privilege dla wielu kont + automatyzacja (AWS Organizations SCPs + GCP Organization Policy + Azure Management Groups), wzorce IAM service-to-service (IRSA dla EKS / Workload Identity dla GKE / Managed Identity dla Azure), zarządzanie dostępem uprzywilejowanym (narzędzia PAM — CyberArk / BeyondTrust / HashiCorp Boundary), wzorce dostępu JIT (Just-In-Time). Biegłość w narzędziach CSPM: jedno z Wiz / Prisma Cloud / Lacework / Orca / Sysdig dogłębnie — tworzenie własnych polityk, workflow triage znalezisk, automatyzacja naprawy, strategia onboardingu wielu kont. Biegłość w natywnych usługach bezpieczeństwa chmury: zaawansowane AWS Security Hub + GuardDuty + Macie + Inspector + Config + IAM Access Analyzer (własne detektory, automatyczna naprawa) lub zaawansowany GCP Security Command Center lub zaawansowany Azure Defender for Cloud. Natywny SIEM w chmurze: AWS Security Lake + Detective lub Google Chronicle lub Azure Sentinel — własne reguły detekcji, agregacja logów z wielu chmur. Biegłość w bezpieczeństwie kontenerów / K8s: własne reguły Falco + zaawansowane polityki Kyverno / OPA Gatekeeper + workflow podpisywania Sigstore cosign + zarządzanie postawą bezpieczeństwa w Kubescape + strategie bezpieczeństwa wielu klastrów. Biegłość w bezpieczeństwie IaC: tworzenie własnych kontroli Checkov, wzorce bezpieczeństwa Terraform, bezpieczeństwo natywnego IaC chmur (AWS CDK + Azure Bicep). Biegłość w szyfrowaniu w chmurze: zaawansowane wzorce envelope encryption w KMS, integracja HSM (CloudHSM / Dedicated HSM), BYOK / HYOK dla zgodności, automatyzacja rotacji kluczy. Biegłość w zarządzaniu sekretami: zaawansowany HashiCorp Vault (Transit / KV / Database / PKI / natywne metody uwierzytelniania chmur), External Secrets Operator dla K8s, strategia sekretów multi-cloud. Biegłość we frameworkach zgodności: SOC 2 + ISO 27001 + PCI-DSS + HIPAA + FedRAMP + GDPR + 152-FZ + 187-FZ + automatyzacja CIS Benchmarks. Projektowanie systemów automatycznego zbierania dowodów (Drata / Vanta / Secureframe). Modelowanie zagrożeń dla chmury: wektory ataku specyficzne dla chmury (ścieżki eskalacji uprawnień IAM, ataki między kontami, wykorzystanie lambd, ucieczka z kontenera, łańcuch dostaw w chmurze), MITRE ATT&CK Cloud Matrix. Projektowanie systemów pod kątem bezpieczeństwa chmury: projektowanie architektury Zero Trust multi-cloud na tablicy, projektowanie wzorców bezpieczeństwa landing zone, projektowanie strategii zarządzania kluczami multi-region, projektowanie Zero Trust Network Access (ZTNA). Programowanie: dogłębny Python (biegłość w SDK chmur — boto3 + google-cloud + azure-sdk) do własnej automatyzacji bezpieczeństwa, Terraform do IaC, bash + PowerShell. Kompetencje miękkie: pisanie ADR dla decyzji bezpieczeństwa chmury, pisanie techniczne (dokumenty projektowe bezpieczeństwa chmury + raporty z audytów), komunikacja z kierownictwem (postawa bezpieczeństwa chmury dla CISO / CTO / zarządu), ocena dostawców (decyzja Wiz vs Prisma vs Orca), mentoring Cloud Security Engineerów na poziomie Middle. Angielski dla Senior+ OBOWIĄZKOWO — społeczność Cloud Security (fwd:cloudsec / ścieżka RSA Cloud Security / CSA) + dokumentacja dostawców (Wiz / Prisma / Snyk / HashiCorp) są w całości anglojęzyczne. Opcjonalny bonus: wkład open source w narzędzia bezpieczeństwa chmury (Prowler / Cloud Custodian / Falco / OPA / Kyverno) — znacząco podnosi wartość rynkową przy rekrutacji do Cloud Security w Big Tech + u dostawców CSPM/CNAPP. Wystąpienia na fwd:cloudsec / ścieżce RSA Cloud Security — premia w czołowych firmach zajmujących się bezpieczeństwem chmury.