Un ingénieur DevSecOps est un praticien de la sécurité applicative qui intègre la sécurité dans la façon dont le logiciel est écrit, construit et déployé, plutôt que de l'inspecter uniquement après coup. Ce rôle est né du mouvement DevOps et de son accent mis sur l'automatisation, le retour d'information rapide et le partage des responsabilités entre le développement et les opérations. L'ingénieur DevSecOps étend ce modèle à la sécurité, en traitant les contrôles comme du code et les défauts comme quelque chose à détecter tôt dans le pipeline. L'objectif est de permettre aux équipes de livrer fréquemment sans que chaque mise en production devienne une négociation de sécurité distincte, en faisant du chemin sécurisé le chemin par défaut.
Au quotidien, le travail s'articule autour du pipeline d'intégration et de livraison continues et de l'infrastructure qui l'entoure. Un ingénieur DevSecOps intègre et affine les tests automatisés tels que l'analyse statique et dynamique, l'analyse de composition logicielle pour les dépendances open source, la détection de secrets et les vérifications des conteneurs et de l'infrastructure as code, puis décide quelles anomalies doivent émettre un avertissement et lesquelles doivent bloquer une compilation. Il écrit et maintient des modèles de pipeline réutilisables, des règles de policy as code et des images de base durcies, de sorte que de bons réglages par défaut soient hérités plutôt que réinventés. Un défi récurrent est la qualité du signal : trop de faux positifs apprennent aux développeurs à ignorer les résultats, et une grande partie du métier consiste donc à calibrer les points de contrôle, à trier les résultats et à maintenir un retour d'information rapide et fiable. Ce rôle concerne autant l'expérience des développeurs et la fiabilité que les anomalies de sécurité.
Ce rôle exige un mélange de connaissances en ingénierie logicielle et en sécurité, et la plupart des praticiens sont à l'aise pour écrire du code et des scripts dans des langages tels que Python, Go ou shell. La maîtrise de l'écosystème environnant est importante : outils de gestion de versions et de pipeline, conteneurs et orchestration, plateformes cloud et frameworks d'infrastructure as code. Du côté de la sécurité, une bonne compréhension des classes de vulnérabilités courantes, des risques liés aux dépendances et à la chaîne d'approvisionnement, de la gestion des secrets et des concepts d'identité et d'accès est importante. Tout aussi précieuses sont les compétences plus humaines de collaboration et de pédagogie, car un ingénieur DevSecOps réussit en permettant aux autres ingénieurs d'avancer plutôt qu'en faisant obstacle à leur travail.
Les professionnels arrivent généralement par l'une de deux voies. Beaucoup viennent de l'ingénierie logicielle, du DevOps ou du SRE et approfondissent leurs connaissances en sécurité, tandis que d'autres débutent dans la sécurité applicative ou cloud et renforcent leurs compétences en ingénierie et en automatisation. L'accès est facilité par une expérience pratique des pipelines et de l'infrastructure cloud, soutenue le cas échéant par des certifications en sécurité cloud ou en développement sécurisé. L'évolution tend à s'orienter vers la conception des outils et des standards de sécurité à l'échelle de la plateforme d'une organisation, le mentorat des équipes ou la spécialisation dans des domaines tels que la sécurité de la chaîne d'approvisionnement ou la défense cloud-native, et peut mener à des postes seniors de sécurité de plateforme ou d'architecture de sécurité.
Ce rôle s'inscrit parmi plusieurs postes voisins de sécurité applicative et se définit en partie par contraste avec eux. Là où un ingénieur en sécurité applicative tend à travailler sur l'ensemble plus large du programme de sécurité logicielle et où un relecteur de code sécurisé se concentre sur l'analyse humaine détaillée du code source, l'ingénieur DevSecOps se concentre sur l'automatisation et le pipeline lui-même, rendant ces autres activités plus rapides et plus reproductibles. Un ingénieur en sécurité produit est généralement intégré à un produit spécifique et à l'ensemble de son cycle de vie, tandis qu'un Security Champion est un développeur qui porte la sensibilisation à la sécurité au sein de sa propre équipe plutôt que d'en faire son rôle principal. En pratique, ces fonctions se recoupent et collaborent étroitement, et un ingénieur DevSecOps fournit souvent les outils et les garde-fous qui leur permettent à toutes de passer à l'échelle.