DevSecOps: mercado

Vaga

uma vaga aberta que passou pelo filtro de qualidade e lista pelo menos duas tecnologias

Candidato observado

um candidato cujo stack contém esta tecnologia; um agregado — nenhum registro individual sai do perímetro

Candidato compatível

ainda não contado

Janela

vagas abertas no momento em que o snapshot foi gerado

Júnior — raro (entrada típica: DevOps Pleno com interesse em segurança, ou Application Security Engineer Pleno com interesse em DevOps). O salto Júnior → Pleno — depois da primeira integração de um pipeline de segurança de ponta a ponta (SAST + SCA + scanning de contêineres + scanning de secrets no CI/CD). Pleno → Sênior — propriedade de pipeline de segurança multi-time + automação de compliance (automação pronta para auditoria SOC 2 / ISO 27001 / PCI-DSS) + configuração de segurança em runtime. Sênior → Staff / Principal — arquitetura de segurança para toda a organização + threat modelling + integração com o time de product security. Fluxo de carreira: DevOps Pleno (2-3 anos) + interesse → DevSecOps Júnior (1-2 anos) → Pleno (2-3 anos) → Sênior → ou Staff / Principal DevSecOps, trilha de CISO, Cloud Security Engineer, ou especialista AppSec.

Top 5: devsecops, devops, aws, sre, cloud. Ferramentas de SAST: Semgrep (em ascensão 2026 — rápido + regras customizadas + community rule packs), SonarQube (maduro), CodeQL (GitHub Advanced Security — melhor para shops GitHub-native), Checkmarx (enterprise), Veracode. Ferramentas de DAST: OWASP ZAP (padrão gratuito), Burp Suite (Professional — Portswigger), Acunetix, StackHawk (DAST moderno em CI). SCA (Software Composition Analysis): Snyk domina 2026 (melhor UX + integrações), Dependabot (baseline gratuito do GitHub), Renovate (auto-PR avançado — melhor que Dependabot para monorepos), Sonatype Nexus IQ, JFrog Xray. Segurança de containers: Trivy (Aqua, open-source — padrão 2026 para image scanning em CI), Grype (Anchore), Snyk Container, Twistlock / Prisma Cloud (enterprise Palo Alto), Aqua Security. Segurança de IaC: Checkov (Bridgecrew / Palo Alto — melhor para Terraform/CloudFormation), tfsec, KICS (Checkmarx), Terrascan. Secrets scanning: GitLeaks, TruffleHog (melhor para scans históricos), Detect Secrets (Yelp). Supply chain security: Sigstore + cosign (image signing + verification — Linux Foundation), níveis 1-4 do framework SLSA, geração de SBOM (Syft) + scanning (Grype + Trivy), attestations in-toto. Policy as code: OPA (Open Policy Agent) + Gatekeeper para políticas de admission de K8s + Conftest para políticas de CI, Kyverno (alternativa de política de K8s em ascensão — mais simples que OPA). Runtime security: Falco (CNCF — monitoramento de syscalls baseado em eBPF), Cilium Tetragon (observabilidade de segurança eBPF mais nova), Tracee (Aqua). Secrets management: HashiCorp Vault (padrão da indústria — engines Transit / KV / Database / PKI), cloud-native (AWS Secrets Manager / Parameter Store + GCP Secret Manager + Azure Key Vault), External Secrets Operator (K8s — puxa do Vault / cloud secret managers). Cloud security: cloud-native (AWS GuardDuty + Security Hub + Macie + IAM Access Analyzer / GCP Security Command Center / Azure Sentinel + Defender for Cloud) + ferramentas CSPM (Wiz (premium 2026), Lacework, Prisma Cloud, Orca Security). Threat modelling: metodologia STRIDE, Microsoft Threat Modeling Tool, OWASP Threat Dragon. Automação de compliance: AWS Config Rules + Conformance Packs, GCP Forseti, Azure Policy. Linguagens: Python principal (para tooling de segurança customizado).

DevOps Engineer — foco em CI/CD + infraestrutura. Segurança faz parte do trabalho (o básico, como gestão de segredos e IAM), mas não é a especialidade principal. Veja DevOps Engineer (geral). Security Engineer (geral) — foco em segurança de toda a organização: segurança de rede, segurança de endpoints, gestão de identidade e acesso, resposta a incidentes, arquitetura de segurança, detecção de ameaças (trabalho de analista de SOC). Pode NÃO trabalhar com pipelines de CI/CD. Pouca programação. Veja Security Engineer (geral) (quando a página for publicada). DevSecOps Engineer (esta página) — interseção entre DevOps + Segurança. Foco específico em segurança DENTRO dos pipelines de CI/CD + segurança de infraestrutura como código + segurança de contêineres em runtime + integridade da cadeia de suprimentos. Muita programação (ferramentas de segurança próprias em Python). Application Security Engineer (AppSec) — foco na segurança do código do produto (triagem de achados de SAST, modelagem de ameaças para funcionalidades, revisão de código com foco em segurança, treinamento de segurança para desenvolvedores). Pode se sobrepor ao DevSecOps, mas com foco no código do produto (não na infra). Cloud Security Engineer — foco em segurança específica de nuvem (domínio de IAM + KMS + serviços de segurança cloud-native + ferramentas de CSPM — Wiz / Lacework / Orca). Frequentemente se sobrepõe a DevSecOps + Cloud Engineer. Veja Cloud Security. Transições de carreira: DevOps Pleno → DevSecOps em 4-8 meses (é preciso ferramentas de segurança + noções de modelagem de ameaças). AppSec Engineer ↔ DevSecOps em 2-4 meses (muito conhecimento em comum). Security Engineer geral → DevSecOps em 6-12 meses (é preciso reforçar o stack de DevOps).

Pipeline de segurança shift-left de referência 2026 (checagens de segurança em cada etapa do ciclo de vida de desenvolvimento): 1) Pre-commit hooks — Git hooks locais com varredura de secrets (GitLeaks) + linting de IaC (Checkov / tfsec). Rejeite commits com secrets vazados OU padrões inseguros de IaC. 2) Plugins de IDE — extensões Semgrep / SonarLint / Snyk para IntelliJ / VS Code — vulnerabilidades sinalizadas aparecem na IDE antes do commit. 3) Criação de PR / MR — checagens automatizadas: SAST (Semgrep / CodeQL / SonarQube), SCA (Snyk / Dependabot — sinaliza vulnerabilidades de dependências + sugere auto-bumps), segurança de IaC (Checkov), varredura de secrets (GitLeaks / TruffleHog). PR bloqueado em achados críticos. 4) Revisão de código — PRs sinalizados por segurança automaticamente marcam a equipe de segurança para revisão. Revisão de modelagem de ameaças para novas funcionalidades de arquitetura. 5) Merge para a main — suíte completa de varredura de segurança no CI: SAST mais profundo (execução mais longa), varreduras DAST em ambiente de staging (OWASP ZAP / StackHawk contra a API de staging), varredura de conformidade de licenças (Snyk License Compliance / FOSSA). 6) Build de contêiner — builds multi-stage + imagens base distroless + varredura Trivy / Snyk Container pós-build. Rejeite builds com CVEs críticos. 7) Assinatura de imagem — assinatura com Sigstore cosign em modo keyless (baseado em OIDC) + geração de SBOM (Syft). Envie imagens assinadas + SBOM para o registry OCI. 8) Controle de admissão — webhook de admissão do K8s (OPA Gatekeeper / Kyverno) verifica assinaturas de imagem (cosign) + checa políticas de segurança (sem contêineres privilegiados, sem host-network, labels obrigatórios, conformidade de RBAC). 9) Segurança em runtime — Falco / Cilium Tetragon detecta syscalls + processos + conexões de rede anômalas. Alerta sobre atividade suspeita (ex.: spawn de shell em um contêiner de produção, conexão de rede não autorizada, violação de integridade de arquivo). 10) Monitoramento de configuração cloud — CSPM (Wiz / Lacework / Prisma Cloud / Orca) varre continuamente as configs cloud em busca de desvios do baseline seguro. Auto-remediação para violações padrão. 11) Gestão de vulnerabilidades — dashboard centralizado (Snyk Hub / Dependabot Alerts / DefectDojo) para acompanhamento + priorização + atribuição + aplicação de SLA (correção de Crítica em 7d, Alta em 30d, Média em 90d). 12) Relatórios de conformidade — coleta automatizada de evidências para auditorias SOC 2 / ISO 27001 / PCI-DSS / HIPAA (Drata / Vanta / Secureframe). Conformidade contínua, não pânico de auditoria anual. Métricas do pipeline acompanhadas: tempo médio de remediação (MTTR) de vulnerabilidades, % de PRs com achados de segurança, dívida de segurança ao longo do tempo, pontuação de postura de conformidade. O DevSecOps Sênior é dono de todo esse pipeline + ajuste das taxas de falsos positivos + equilíbrio entre segurança e velocidade de desenvolvimento.

Sim, 87% das vagas de DevSecOps são totalmente remotas ou híbridas. O trabalho de DevSecOps é baseado em nuvem padrão. Empresas de outsourcing — quase sempre remotas em projetos dos EUA. Empresas de produto russas — híbrido ou remoto após o período de experiência. Bancos russos — híbrido/presencial por causa de compliance de segurança, mas remoto possível após verificação de antecedentes. Empresas de tecnologia internacionais — totalmente remoto padrão. Big Tech — híbrido padrão. Hubs de relocação: Polônia / Alemanha (DevSecOps-friendly) / Canadá / Sérvia / Geórgia. Inglês para remoto internacional de DevSecOps — obrigatório (a comunidade de segurança e a maioria dos recursos são em inglês).

DevSecOps Engineer — foco de segurança na camada de infraestrutura: pipelines de CI/CD, segurança de IaC, segurança de contêineres, segurança em runtime, integridade da cadeia de suprimentos, configurações de nuvem. Programação em Python para automação de segurança. Application Security Engineer (AppSec) — foco de segurança na camada de código do produto: triagem de achados de SAST (filtrar falsos positivos + atribuir os válidos), modelagem de ameaças para novas funcionalidades (metodologia STRIDE), revisão de código com foco em segurança (manual + com ferramentas), treinamento de segurança para desenvolvedores, gestão de programa de bug bounty, testes de segurança de funcionalidades antes do lançamento. Muita programação (é preciso entender código a fundo em várias linguagens). Sobreposição: ~50% — ambos conhecem ferramentas de SAST, OWASP Top 10, padrões de codificação segura. DevSecOps é profundo em ferramentas, AppSec é profundo em código. Transições de carreira: transição lateral fácil (2-4 meses). Estrutura típica nas empresas: empresa pequena — uma pessoa faz as duas coisas (cargo híbrido DevSecOps + AppSec). Empresa média — cargos separados, ambos reportam ao CISO. Grande corporação (FAANG / bancos) — time de AppSec dentro de product security, time de DevSecOps dentro de platform security. Remuneração comparável — ambos estão no segmento premium acima do DevOps Sênior geral. Escolha de carreira: DevSecOps se você se interessa por infra + ops + automação a fundo, AppSec se você se interessa por código do produto + modelagem de ameaças + arquitetura de segurança a fundo. AppSec muitas vezes tem mais responsabilidade sobre o impacto no cliente / negócio (design de funcionalidades de segurança).

Roadmap: 1) Base de DevOps sólida — Linux + Docker + Kubernetes (CKA) + IaC (Terraform) + uma cloud + CI/CD. Não faz sentido entrar em DevSecOps sem isso. 2) Fundamentos de segurança — entendimento profundo do OWASP Top 10 (vulnerabilidades de web app), Tríade CIA (Confidentiality / Integrity / Availability), noções de Identity / Access Management, noções de criptografia (simétrica / assimétrica / hashing — perspectiva aplicada). Livros: "The Web Application Hacker's Handbook" Stuttard / Pinto, "Practical Cryptography for Developers" Nakov. 3) Uma linguagem de programação a fundo: Python (padrão para automação de segurança) ou Go (para tooling customizado). 4) Domínio de SAST + SCA — configure Semgrep + Snyk + Dependabot em um projeto GitHub pessoal. Entenda a triagem de falsos positivos. Escreva regras customizadas do Semgrep. 5) Segurança de contêineres — domínio do Trivy (varredura + SBOM), imagens distroless, builds multi-stage, seleção de imagem base segura. Configure assinatura de imagem com Sigstore cosign. 6) Segurança de IaC — domínio do Checkov para Terraform / CloudFormation. Configure no CI/CD. 7) Gerenciamento de secrets — HashiCorp Vault a fundo (engines Transit / KV / Database / PKI), setup do External Secrets Operator no K8s. 8) Policy as code — OPA Gatekeeper para controle de admissão no K8s + Conftest para políticas de CI. Escreva políticas reais. 9) Segurança cloud a fundo — domínio de IAM (design de least-privilege + automação), padrões de integração de KMS, serviços de segurança cloud-native (GuardDuty + Security Hub / Security Command Center / Sentinel). Certificação AWS Security Specialty (certificação premium). 10) Segurança em runtime — setup do Falco em um cluster K8s, escreva regras customizadas, integre alertas com o SIEM. 11) Modelagem de ameaças — metodologia STRIDE (Microsoft), "Threat Modeling: Designing for Security" Adam Shostack. Aplique ao seu próprio projeto. 12) Noções de frameworks de conformidade — SOC 2 / ISO 27001 / PCI-DSS / HIPAA — o que exigem, como automatizar a coleta de evidências (Drata / Vanta / Secureframe). 13) Pet project avançado: construa um pipeline completo de segurança shift-left (12 etapas) para o seu próprio projeto — documente como portfólio. 14) Bônus de segurança ofensiva (não obrigatório, mas premium): certificação OSCP (Offensive Security Certified Professional), HackTheBox / TryHackMe / PortSwigger Web Security Academy. Entender a perspectiva do atacante melhora drasticamente a defesa. Cursos russos: Otus "DevSecOps", Slurm DevSecOps, Karpov.Courses DevSecOps, BI.ZONE Cybersecurity Academy. Internacional (EN): cursos SANS (premium, mas os melhores — SEC540 Cloud Security & DevOps Automation), cursos "Practical DevSecOps", recursos gratuitos da OWASP, The DevSecOps Handbook. Livros de leitura obrigatória: "Securing DevOps" Vehent (canônico), "Container Security" Liz Rice, "Cloud Native Security" Liz Rice. DevOps Middle + interesse em segurança → DevSecOps Junior — 4-8 meses.

244 active open DevSecOps positions — growing security-shift specialisation. Geography: the US, Poland, Singapore. The real market is broader thanks to the international remote segment. Time to close a Senior DevSecOps role — 6-12 weeks (longer than general DevOps due to rare-skill combination + background-check requirements at banks).

Um DevSecOps Sênior é dono do ciclo completo de engenharia de segurança + DevOps + liderança técnica. Fundamentos de segurança a fundo: domínio do OWASP Top 10, criptografia aplicada (configuração de TLS, rotação de chaves, integração com HSM), arquitetura Zero Trust, conhecimento do framework MITRE ATT&CK para modelagem de ameaças. Domínio de SAST + SCA: criação de regras personalizadas no Semgrep (a fundo — escrever regras de segurança específicas da lógica de negócio), consultas CodeQL para o GitHub Advanced Security, ajuste da integração com Snyk (gestão de falsos positivos). Domínio de segurança de contêineres: Trivy avançado (checks personalizados + workflows de SBOM), estratégia de imagens distroless, assinatura de imagens com Sigstore (modo keyless OIDC), atestações da cadeia de suprimentos (in-toto / SLSA L3+). Domínio de segurança de IaC: desenvolvimento de checks personalizados no Checkov, padrões de segurança para Terraform, automação de baselines de segurança nativas de nuvem. Domínio de policy as code: linguagem Rego do OPA a fundo, políticas complexas com múltiplas condições, Gatekeeper / Kyverno em K8s de produção. Domínio de segurança em runtime: regras personalizadas do Falco em Lua / YAML, políticas eBPF do Cilium Tetragon, integração com SIEM (Splunk / Elastic Security / Sentinel) e SOAR (Tines / Torq / Splunk SOAR / Cortex XSOAR). Segurança em nuvem a fundo: domínio de IAM (automação de menor privilégio multiconta), padrões de integração com KMS (envelope encryption, automação de rotação de chaves), serviços nativos de segurança da nuvem avançados (detectores personalizados no GuardDuty / integrações personalizadas no Security Hub / Security Command Center / automação do Sentinel). Domínio de ferramentas CSPM (Wiz / Lacework / Prisma Cloud) — um Sênior típico é dono dos workflows de remediação guiados pelo CSPM. Domínio de Vault: HashiCorp Vault avançado (Transit para criptografia como serviço, engines de Database para credenciais dinâmicas, engine PKI para certificados internos, integração de métodos de autenticação com K8s / OIDC / AWS / plataformas de nuvem). Domínio de modelagem de ameaças: metodologia STRIDE, condução de revisões de design, análise da superfície de ataque. Domínio de automação de compliance: SOC 2 / ISO 27001 / PCI-DSS / HIPAA — projetar sistemas automatizados de coleta de evidências (integração com Drata / Vanta / Secureframe ou solução própria). Resposta a incidentes: conduzir incidentes de segurança, noções de forense, redação de post-mortems. Programação: Python a fundo + noções de Go para automação de segurança personalizada. System design para segurança: projetar uma arquitetura Zero Trust no quadro branco, projetar um programa de segurança da cadeia de suprimentos de ponta a ponta, projetar uma estratégia de gestão de chaves multirregião. Soft skills: escrita de ADRs para decisões de segurança, desenvolvimento de treinamentos de segurança para engenheiros, comunicação executiva (relatórios de postura de segurança para o CISO / Conselho), mentoria de DevSecOps Pleno. Inglês para Sênior+ OBRIGATÓRIO — comunidade de segurança / OWASP / Defcon / Black Hat são em inglês. Bônus opcional: experiência em segurança ofensiva (OSCP / OSCE), contribuições open-source para ferramentas de segurança (Trivy / Falco / Vault / OPA / Cilium Tetragon), palestras em conferências de segurança — aumentam muito o valor de mercado.