DevSecOps Engineer

• Integrate security into the software development lifecycle (SDLC) and CI/CD pipelines, applying a "shift-left" approach and "security as code" principles.
• Define secure standards, archetypes, and methodologies for application deployments, and periodically verify compliance with them.
• Configure and govern Static Application Security Testing (SAST) with SonarQube in conjunction with the QA team, integrating it into the pipelines and defining quality and security gates.
• Manage the Cloud Security Posture Management (CSPM) strategy with the Infrastructure team using Prisma Cloud (or other equivalent industry tools), ensuring compliance with AWS best practices.
• Coordinate and execute automated penetration testing (pentesting) with Pentera, prioritizing and tracking the remediation of findings.
• Implement additional security controls in the pipelines: Software Composition Analysis (SCA), secret detection, and container image scanning for containers and Infrastructure as Code (IaC).
• Oversee and improve Infrastructure as Code (IaC) using Terraform and AWS architectures, and promote security observability and monitoring (metrics, logs, traces, and alerts).
• Evaluate DevSecOps trends and tools through proof of concept (PoC) and disseminate security best practices among development teams.

Essential requirements

• University degree or equivalent experience in computer engineering or related fields.
• Minimum of 3 years of experience with AWS: EC2, RDS, S3, ELB/ALB, ECR, VPC, or other equivalent services.
• Demonstrable experience in DevSecOps: integrating security controls into CI/CD pipelines (AWS CodePipeline, Jenkins, Bitbucket, etc.).
• Experience with SAST/SCA tools (SonarQube or equivalents) and defining security gates.
• Knowledge of cloud security and posture management (CSPM), preferably with Prisma Cloud or equivalent industry tools.
• Minimum of 2 years of experience with Infrastructure as Code (preferably Terraform) and container orchestration (AWS ECS, Docker, Kubernetes, or Nomad).
• Advanced knowledge of Git (preferably Bitbucket) and a B2 level of English.

Valuable knowledge

• Experience with pentesting tools (Pentera or equivalents), vulnerability management, and incident response.
• Knowledge of security frameworks and standards: OWASP (Top 10, ASVS), ISO 27001, or NIST.
• Security certifications (AWS Security Specialty, CompTIA Security+, CEH, OSCP, …).
• Observability (Grafana, Datadog, Prometheus, OpenTelemetry), programming languages (Java, Node.js, Python), and Confluent/Kafka.

• Integrar la seguridad en el ciclo de vida de desarrollo (SDLC) y en los pipelines de CI/CD, aplicando un enfoque «shift-left» y de «security as code».
• Definir estándares, arquetipos y metodologías seguras para los despliegues de aplicaciones, y verificar periódicamente su cumplimiento.
• Configurar y gobernar el análisis estático de código (SAST) con SonarQube de forma conjunta con el equipo de QA (SQA), integrándolo en los pipelines y definiendo los quality y security gates.
• Gestionar la postura de seguridad cloud (CSPM) junto con el equipo de Infraestructura mediante Prisma Cloud (u otras herramientas equivalentes del sector), garantizando el cumplimiento de las buenas prácticas en AWS.
• Coordinar y ejecutar pruebas de penetración (pentesting) automatizadas con Pentera, priorizando y dando seguimiento a la remediación de los hallazgos.
• Implantar controles adicionales de seguridad en los pipelines: análisis de dependencias (SCA), detección de secretos y escaneo de imágenes de contenedores e IaC.
• Supervisar y mejorar la infraestructura como código (Terraform) y las arquitecturas en AWS, e impulsar la observabilidad y la monitorización de seguridad (métricas, logs, trazas y alarmas).
• Evaluar tendencias y herramientas DevSecOps mediante pruebas de concepto y divulgar buenas prácticas de seguridad entre los equipos de desarrollo.

Requisitos imprescindibles

• Formación universitaria o experiencia equivalente en ingeniería informática o áreas relacionadas.
• Experiencia mínima de 3 años con AWS: EC2, RDS, S3, ELB/ALB, ECR, VPC u otros servicios equivalentes.
• Experiencia demostrable en DevSecOps: integración de controles de seguridad en los pipelines de CI/CD (AWS CodePipeline, Jenkins, Bitbucket, etc.).
• Experiencia con herramientas SAST/SCA (SonarQube u equivalentes) y definición de security gates.
• Conocimientos de seguridad en la nube y gestión de la postura (CSPM), preferiblemente con Prisma Cloud u herramientas equivalentes del sector.
• Experiencia mínima de 2 años en infraestructura como código (preferiblemente Terraform Cloud) y con contenedores y su orquestación (AWS ECS, Docker, Kubernetes o Nomad).
• Conocimientos avanzados de Git (preferiblemente Atlassian Bitbucket) y nivel B2 de inglés.

Conocimientos valorables

• Experiencia con herramientas de pentesting (Pentera u equivalentes), gestión de vulnerabilidades y respuesta a incidentes.
• Conocimiento de marcos y estándares de seguridad: OWASP (Top 10, ASVS), ISO 27001 o NIST.
• Certificaciones de seguridad (AWS Security Specialty, CompTIA Security+, CEH, OSCP, …)
• Observabilidad (Grafana, Datadog, Prometheus, OpenTelemetry), lenguajes de programación (Java, Node.js, Python) y Confluent/Kafka.