DevSecOps Engineer

Также называют: DevSecOps Specialist, Cloud Security Engineer, Security Automation Engineer, Product Security Engineer.

Кто такой DevSecOps Engineer и чем он занимается?

DevSecOps Engineer — это инженер, который делает безопасность частью того, как софт пишется и выкатывается, а не отдельной проверкой перед релизом. Он автоматизирует проверки так, чтобы разработчики находили уязвимости сами и рано, и работает вместе с командами, а не контролирует их со стороны. Типичные задачи:

• защищает CI/CD: доступы к пайплайнам, подпись артефактов, контроль того, что попадает в продакшен;
• встраивает проверку кода, зависимостей, контейнеров и секретов в пайплайн;
• проверяет инфраструктуру как код и настройки облака на опасные ошибки;
• управляет доступами и секретами в инфраструктуре;
• помогает быстро разобрать инцидент и закрыть причину, а не только последствия.

Когда компании нужен DevSecOps Engineer?

DevSecOps Engineer нужен, когда безопасность начинает тормозить разработку или, наоборот, разработка идёт так быстро, что безопасность за ней не успевает. Частые триггеры: требования регулятора или крупного клиента (SOC 2, ISO 27001, PCI DSS), утечка секретов или инцидент с зависимостью, переезд в облако, рост команды, при котором ручная проверка релизов перестала работать. Роль не сработает, если у компании нет зрелого CI/CD: встраивать безопасность некуда, и сначала нужен DevOps Engineer. Если главная задача — политики, риски и аудит, нужен скорее CISO или Information Security Analyst.

Чем DevSecOps Engineer отличается от DevOps Engineer?

DevSecOps Engineer отличается от DevOps Engineer тем, что отвечает за то, чтобы в продакшен не попало опасное, а DevOps Engineer — за то, чтобы туда быстро и стабильно попадало нужное. Они работают с одними и теми же пайплайнами и инфраструктурой, но DevSecOps добавляет в них проверки и ограничения так, чтобы разработчики их принимали и не обходили. От Application Security Engineer его отличает фокус на инфраструктуре и автоматизации, а не на ручном анализе кода приложения.

DevSecOps Engineer и смежные роли: сравнение

Почему DevSecOps Engineer сложно нанять?

DevSecOps Engineer сложно нанять, потому что роль требует настоящей инженерии и в инфраструктуре, и в безопасности, а большинство кандидатов сильны в чём-то одном.

• Тайтл DevSecOps часто носит DevOps Engineer, который просто подключил сканер уязвимостей, и по резюме его не отличить от того, кто строил систему защиты.
• Специалисты по безопасности нередко хорошо знают угрозы, но не пишут код и не понимают, как устроена поставка.
• Нужно ещё умение договариваться: правило, которое разработчики обходят, хуже, чем отсутствие правила.
• Сильные кандидаты сосредоточены в финтехе и других регулируемых отраслях, где их хорошо удерживают.

Что выяснить до найма DevSecOps Engineer?

• Что запускает найм: требования регулятора, инцидент или рост? От триггера зависит, нужен человек под аудит в срок или под долгую перестройку процессов.
• Какая часть стека сейчас самая рискованная? Облако, контейнеры, зависимости и секреты требуют разного опыта, и это сужает поиск.
• Человек будет строить инструменты, задавать правила или и то и другое? Security Automation Engineer и Security Architect — разные профили.
• Кто может остановить релиз из-за безопасности? Без понятных полномочий DevSecOps Engineer либо становится бутылочным горлышком, либо его игнорируют.

Где искать DevSecOps Engineer?

DevSecOps Engineers чаще всего приходят из DevOps- и платформенных команд, которые ушли в безопасность, из AppSec-команд, где много автоматизации, и из финтеха и других регулируемых отраслей. Сильный сигнал в профиле — автоматизированные проверки, которые реально работают в пайплайне большой команды, или вклад в open-source инструменты безопасности. NEWHR ищет таких кандидатов по результатам работы, а не по откликам на вакансию.

Как проверить DevSecOps Engineer на интервью?

DevSecOps Engineer проверяют разбором пайплайна, который кандидат защищал, и практическим заданием на тестовом репозитории и инфраструктуре с заложенными уязвимостями. В разборе обсуждают, что он автоматизировал, что блокировал и как к этому отнеслись разработчики. Со стороны компании участвуют Head of Security или CISO и ведущий инфраструктурный инженер.

Сильные сигналы:

• рассказывает, как добился, чтобы разработчики сами пользовались проверками;
• расставляет приоритеты по реальному риску, а не по количеству найденных уязвимостей;
• может объяснить, какую проверку он убрал, потому что она мешала больше, чем помогала.

Красные флаги:

• считает, что безопасность — это блокировать релизы;
• знает инструменты, но не может объяснить, как устроена атака, от которой они защищают;
• не писал кода и автоматизации сам, только настраивал готовые сканеры.

Сколько длится поиск DevSecOps Engineer?

Первых кандидатов на роль DevSecOps Engineer показываем через 5–7 дней после брифа.

Смежные роли

• DevOps Engineer — строит пайплайны и инфраструктуру, в которые DevSecOps встраивает безопасность.
• Information Security Analyst — отслеживает угрозы и соответствие требованиям, а не автоматизирует поставку.
• CISO — отвечает за безопасность всей компании и задаёт политику.
• Network Security Developer — разрабатывает средства сетевой защиты, а не защищает процесс разработки.
• Platform Engineer — строит внутреннюю платформу, где безопасность — одно из требований.