Шаблон CV Middle DevSecOps-инженер
Готовый шаблон CV для Middle DevSecOps-инженер. Оптимизирован под ATS-системы.
Зарплата Middle (US)
$180,000 - $260,000
Почему это CV работает
Каждый пункт начинается с глагола владения
Владела, Спроектировала, Раскатила, Убила, Менторила. Mid-level DevSecOps — вы владеете одной платформенной областью (секреты, supply chain, runtime) end-to-end, а не закрываете тикеты.
Жёсткие цифры заменяют 'улучшила безопасность'
92% SBOM coverage, в 78 сервисах, 36 long-lived AWS-ключей, MTTP с 18 дней до 3 дней, 0.91 attestation coverage. Конкретика — разница между DevSecOps-инженером и generalist DevOps.
Результаты привязывают DevSecOps к реальности релиза
Не 'использовала cosign', а 'как обязательный GitHub Actions reusable workflow'. Не 'писала OPA', а 'enforced at admission для prod-namespaces'. Контекст доказывает embedded-глубину.
Embedded в platform-eng, а не рядом
Менторила 2 SRE в DevSecOps, embedded с платформенной инженерией 7 месяцев, ротация секретов в 3 продуктовых оргах. Mid-level DevSecOps живёт внутри платформенной команды.
Конкретный tooling, а не generic 'security stack'
'Спроектировала Conftest bundle' и 'убила шумный Aqua' — это решения. 'Security stack' — buzzword. Называйте, что приняли, что убили, и в какой стадии пайплайна это работало.
Необходимые навыки
- Sigstore cosign
- Tekton Chains
- Syft
- HashiCorp Vault
- Doppler
- OIDC федерация
- OPA
- Conftest
- Kyverno
- Falco
- SLSA Level 2/3
- in-toto
- OSV-Scanner
- Akeyless
- AWS Secrets Manager
- IAM Roles Anywhere
- OPA Gatekeeper
- Pod Security Admission
- Cedar
- Buildkite
- Terraform
- Pulumi
- Crossplane
- Go
- Rego
- Python
Улучшите своё CV
CV DevSecOps-инженера: как попасть на платформенную роль, а не на generic SRE-позицию
DevSecOps - это та роль, которую нанимающие хотят закрыть, но редко пишут JD, ей соответствующую. DevSecOps - это не generic DevOps с security-сертификатом. Это не AppSec-инженер (AppSec живёт ближе к product code review и threat-моделированию). DevSecOps владеет безопасной платформой: пайплайны, секреты, supply chain, IaC, runtime-хардинг и policy-as-code, гейтящий всё до выхода в прод. Рекрутеры в Yandex Security Platform, Sber Tech Security, Tinkoff, Avito Security Platform, Лаборатории Касперского, Wildberries Security, MTS Security, Selectel и Positive Technologies сканируют CV в поисках одного сигнала: вы катите платформенные guardrails или пересылаете находки и называете это безопасностью.
Жестокая правда: большинство DevSecOps-резюме фильтруется по одной причине. В них пишут 'настроил Jenkins' вместо 'выкатил Sigstore-signed-container gate в 142 сервисах'. CISSP стоит в начале первой страницы, а Vault упомянут один раз без cadence ротации. Заявляется 'снижение уязвимостей' без процента SBOM coverage, цифры MTTP или attestation coverage. Нанимающий цикл смотрит на платформенные решения, а не на стопку сертификатов.
Этот гид разбирает, что работает на каждом уровне DevSecOps: junior триажит CI security и хардит один workflow, middle владеет одной платформенной областью (секреты, supply chain или runtime) end-to-end, senior - мульти-областный платформенный владелец с policy-as-code зрелостью, lead - org-wide DevSecOps-платформенный лидер. Все примеры построены на реальных инструментах (GitHub Actions, GitLab CI, Buildkite, Vault, AWS Secrets Manager, Doppler, Akeyless, OPA, Conftest, Cedar, Kyverno, Sigstore, cosign, SLSA Level 3, in-toto, Tekton Chains, Syft, Grype, OSV-Scanner, Trivy, Anchore, Terraform, Pulumi, Crossplane, OPA Gatekeeper, Pod Security Admission, Falco, Tetragon eBPF, Calico Cloud, Wiz, Lacework, Orca) и реальных метриках (cadence ротации секретов, SBOM coverage, attestation coverage, policy violation rate, MTTP, supply-chain incident MTTR, hardened-runner adoption), на которые реально пэттерн-матчат менеджеры.
Лучшие практики для CV Middle DevSecOps-инженера
Начинайте с одной платформенной области, которой вы владеете, а не зоопарком инструментов. Mid-level DevSecOps - это владение одной из: секреты, supply-chain provenance или runtime guardrails. 'Владела программой supply-chain provenance в 78 сервисах, подняв SBOM-покрытие с 36% до 92%'. Всё, что читается как tool-list, бакетится с generic DevOps.
Одно решение по вендору стоит десяти перечисленных инструментов. 'Спроектировала Conftest bundle из 41 OPA-политики, enforced at admission для prod-namespaces' - это решение. Оно говорит, что вы замерили политики, выбрали движок и владеете метриками.
Cadence ротации секретов - метрика, по которой вас молча оценивают. 'Убила 36 long-lived AWS-ключей в пользу OIDC + IAM Roles Anywhere в 14 AWS-аккаунтах, сократив MTTP с 18 дней до 3 дней' показывает владение программой ротации, а не одну фичу. Бонус за класс credential и cadence.
Назовите двух SRE, переведённых в DevSecOps, а не 'менторила джунов'. Разрыв mid → senior - в способности затащить SRE в DevSecOps-ротацию. 'Менторила 2 SRE в DevSecOps через 6-месячную ротацию по Falco и OPA Gatekeeper' доказывает, что вы масштабируете себя.
Проведите одно supply-chain или runtime tabletop в год и вставьте его в CV. 'Спартнёрилась с detection engineering на Falco-правилах для 9 high-blast-radius нагрузок, подняв policy violation MTTR с 5 часов до 32 минут' - один буллет, переформулирующий вас как человека, способного работать под давлением.
Частые ошибки в CV Middle DevSecOps-инженера
- Читается как продвинутый junior с большим набором инструментов
Почему это вредит: Mid-level CV, перечисляющие больше захардненных workflow, больше подключённых сканеров, больше покрытых репозиториев, читаются как junior с 3 годами опыта. Они не сигнализируют ownership одной области, vendor-решения или cadence ротаций.
Как исправить: Добавьте минимум один буллет на роль, называющий замену вендора, платформенную область, которой вы владели end-to-end, или embedded-енгейджмент с platform-eng длиннее 6 месяцев. 'Embedded с платформенной инженерией 7 месяцев, чтобы выкатить HashiCorp Vault и Doppler как корпоративную платформу секретов' - фраза, выводящая из junior-бакета.
- Tool-list секция, читающаяся как у generic DevOps
Почему это вредит: Если skills говорят 'Vault, OPA, Trivy, Cosign, Falco', вы сливаетесь с каждым DevOps-резюме. Mid-level DevSecOps ожидает осознанный стек: Supply-Chain отдельно от Secrets отдельно от Policy-as-Code отдельно от Runtime.
Как исправить: Группируйте навыки по функции DevSecOps (Supply-Chain, Secrets, Policy-as-Code, Runtime, CI) и срезайте всё, что не защитите за 30 минут интервью.
- Policy-as-code, спрятанные под 'security reviews'
Почему это вредит: 'Проводила security reviews инфры' - это GRC-язык. DevSecOps-менеджеры хотят видеть именно policy-as-code с движком (OPA, Conftest, Kyverno, Cedar) и артефактом (admission webhook, Conftest bundle, Cedar policy set).
Как исправить: Замените 'security reviews' на 'Спроектировала Conftest bundle из 41 OPA-политики, enforced at admission для prod-namespaces, заблокировав 287 misconfigured workloads в первом квартале'.
Советы по CV для Middle DevSecOps-инженера
Выберите одну платформенную область и владейте ей. Секреты, supply-chain provenance, runtime guardrails или policy-as-code. Mid-level без специализации упирается в потолок около $230K. Специалисты с одной глубокой областью пробивают его.
Владейте одним результатом менторства SRE. Затащить 1-2 SRE в DevSecOps-ротацию через задокументированный 6-месячный курс по Falco и OPA Gatekeeper - это буллет, приносящий senior-интервью.
Проведите одно supply-chain или runtime tabletop и задокументируйте найденные gaps. Не 'tabletop по supply-chain risk', а 'спартнёрилась с detection engineering на Falco-правилах для 9 high-blast-radius нагрузок, подняв policy violation MTTR с 5 часов до 32 минут'.
Часто задаваемые вопросы
Рекомендуемые сертификации
Подготовка к собеседованию
Интервью на DevSecOps Engineer проверяют глубину механики пайплайна, инстинкты policy-as-code и зрелость platform-мышления. Ожидайте live CI hardening (уязвимый GitHub Actions или GitLab CI workflow, который надо запереть hash-pinning, OIDC и least-privilege scopes), сессию по написанию Rego или Kyverno под Kubernetes admission-сценарий и глубокое погружение по одному инструменту, которым вы заявляете владение (Vault, Sigstore, OPA, Falco, Wiz). Senior+ раунды добавляют вопросы по CNAPP-стратегии, walk-through vendor-решений и проектирование supply-chain provenance (Sigstore, Cosign, SLSA Level 3, Tekton Chains). Lead-раунды добавляют экономику supply-chain incident MTTR, vendor consolidation и симуляцию audit-committee ридаута.
Частые вопросы
Частые вопросы:
- Пройдитесь по раскатке платформы секретов: cadence, blast radius, миграция на OIDC, телеметрия ротаций
- Почему оставили один CI-сканер и убили другой? Какие метрики двигали решение?
- Опишите end-to-end engagement с platform-eng и платформенную область, которой владели
- Как вы измеряете, что supply-chain provenance реально работает?
- Пройдитесь по tabletop-учению по утечке токена или компрометации CI-runner
Советы: Имейте наготове одну явную замену вендора, одну историю ownership платформенной области, один результат менторства. Senior-интервьюеры пробуют кросс-областное мышление. Избегайте чистой технической глубины без platform-фрейминга.