DevSecOps-инженер делает так, чтобы проверки безопасности были встроены в конвейер разработки и доставки кода, а не проводились в последний момент перед релизом. Если DevOps автоматизирует сборку, тестирование и выкладку, то DevSecOps добавляет в каждый этап автоматические проверки: уязвимые библиотеки, секреты в коде, небезопасные настройки контейнеров и инфраструктуры. Это не стартовая профессия: обычно сюда приходят DevOps-инженеры, администраторы или разработчики. Зато спрос на таких людей растёт вместе с числом компаний, которые выпускают обновления каждый день.
Чем занимается DevSecOps-инженер
Главный объект работы — конвейер CI/CD, через который код попадает от разработчика в продакшн. Задачи инженера:
встраивать в конвейер сканеры кода, зависимостей и образов контейнеров;
следить, чтобы пароли и ключи не попадали в репозитории, и настраивать безопасное хранение секретов;
проверять конфигурации инфраструктуры, описанной кодом;
задавать политики: например, сборка не уходит дальше, если найдена критичная уязвимость;
настраивать защиту контейнерных платформ и разграничение доступа;
собирать метрики: сколько проблем находится, как быстро их закрывают.
В отличие от AppSec-специалиста, который смотрит в основном на код и логику приложения, DevSecOps сосредоточен на процессе и инфраструктуре вокруг кода.
Рабочий день DevSecOps
Утро начинается с проверки, не упали ли конвейеры из-за новых правил безопасности.
Разбор отчётов сканеров: что блокирует релиз, а что можно запланировать на потом.
Работа над задачей автоматизации — например, добавить проверку конфигураций в новый проект.
Созвон с разработчиками, у которых проверка мешает работе: найти баланс между скоростью и защитой.
Документация и обновление внутренних шаблонов, чтобы новые проекты сразу стартовали безопасно.
Много времени уходит на снижение «шума». Если сканер выдаёт сотни бесполезных предупреждений, разработчики перестанут на него смотреть — и хорошая настройка здесь ценится выше, чем количество инструментов.
Ещё одна заметная часть работы — реакция на новости. Когда в популярной библиотеке находят серьёзную уязвимость, DevSecOps-инженер первым отвечает на вопрос «а мы её используем и где именно?». Если зависимости и образы учтены заранее, ответ занимает минуты. Если нет — дни ручного поиска. Поэтому значительная часть работы направлена на то, чтобы у компании всегда была актуальная картина того, из чего собраны её сервисы.
Что нужно знать DevSecOps-инженеру
Область | Что важно понимать |
|---|---|
Linux и сети | администрирование, сетевые основы, права доступа |
Git и CI/CD | как устроены репозитории, пайплайны, стадии сборки |
Контейнеры | Docker, оркестрация (чаще всего Kubernetes), безопасность образов |
Инфраструктура как код | Terraform, Ansible или аналоги, типичные ошибки конфигурации |
Безопасность приложений | OWASP Top 10, уязвимые зависимости, работа с секретами |
Скрипты | Python, Bash или Go для автоматизации |
Плюс мягкие навыки: умение договариваться с командами и объяснять, зачем нужна очередная проверка.
Кибербезопасность для разработчиков: почему им проще войти
Для разработчиков и DevOps-инженеров DevSecOps — естественный следующий шаг. Они уже знают, как устроен процесс выпуска, умеют работать с репозиториями и понимают боль команды, когда проверка тормозит релиз. Им остаётся добавить знания о типовых уязвимостях, безопасной настройке инфраструктуры и моделировании угроз.
Профессия подойдёт тем, кто любит автоматизацию, системное мышление и не терпит ручной рутины.
Вход без опыта: честно
Человеку совсем без ИТ-опыта прийти сразу в DevSecOps очень трудно: нужно одновременно понимать разработку, эксплуатацию и безопасность. Реалистичный маршрут для новичка — сначала Linux и основы DevOps, затем первая работа в эксплуатации или поддержке, а уже потом специализация на безопасности. Если вы уже работаете в ИТ, переход можно сделать внутри своей компании, взяв на себя задачи по безопасности конвейера.
Ориентиры дохода
Ориентиры, которые мы используем на CYBY: стажёр — от 55 000 ₽, джун — около 120 000 ₽, мидл — около 220 000 ₽, лид — около 520 000 ₽. По данным Positive Technologies и SuperJob (CNews, 2 апреля 2026 года), вакансий в ИБ за 2025 год стало больше на 26%, а средняя зарплата специалиста по ИБ в Москве — 230 тыс. ₽. Отдельной цифры по DevSecOps в этих данных нет.
Как начать
Освойте Linux и Git на уровне ежедневного использования.
Соберите свой учебный конвейер: сборка, тесты, выкладка тестового приложения.
Добавьте в него проверку зависимостей и поиск секретов.
Разберитесь в контейнерах и типичных ошибках их настройки.
Опишите проект в портфолио: что автоматизировали и какие проблемы это ловит.
Практиковаться можно в браузерном терминале на CYBY — в треке DevSecOps ничего не нужно ставить на компьютер, а за задания начисляются очки опыта и ранги.
Частые вопросы
Чем DevSecOps отличается от DevOps? DevOps отвечает за скорость и надёжность доставки кода, DevSecOps — за то, чтобы на этой скорости не терялась безопасность.
Нужно ли быть сильным программистом? Не обязательно, но уверенно писать скрипты и читать чужой код придётся.
Можно ли перейти из системного администрирования? Да, это один из частых путей. Не хватать обычно будет знаний о CI/CD и безопасности приложений.
Соберите свой первый безопасный конвейер
Начните трек DevSecOps на cyby.ai — подписка на 30 или 365 дней без автоматических списаний, а познакомиться можно на бесплатном тарифе Demo.