devsecops
roadmap_

systemd: unit files, journal, таймеры. SELinux/AppArmor — что это, базовая настройка. Сетевой стек: iptables/nftables базово. «How Linux Works» Уорда выборочно.

Dockerfile best practices (порядок слоёв, .dockerignore, non-root, distroless, multi-stage builds). docker-compose с API + БД + Redis + nginx. Сети, volumes, healthchecks, ресурсные лимиты.

Inventory, playbooks, roles, Ansible Vault. Цель: задеплоить pet-проект на VPS (Yandex Cloud / Selectel / Timeweb / любой) через Ansible. В РФ — стандарт инфраструктурной автоматизации.

GitHub Actions: workflows, jobs, secrets, matrix, reusable workflows, SHA-pinning (важно для supply chain). GitLab CI ключевой для РФ. Цель: оба пайплайна на pet-проекте — редкий и ценный навык.

HCL, providers, resources, modules, state, workspaces. Развернуть инфру в Yandex Cloud (free tier есть) или AWS Free Tier. LocalStack как опция для AWS-эмуляции без затрат.

Prometheus + Grafana: метрики, дашборды, alerting. Loki или ELK: централизованные логи. OpenTelemetry концептуально. Security невозможен без observability — нельзя защитить то, что не видишь.

Pod, Deployment, Service, ConfigMap, Secret, Ingress, PV/PVC, ServiceAccount. Helm чарт для pet-проекта. kubectl без алиасов поначалу — для запоминания. Minikube/Kind/k3s локально.

ArgoCD или Flux: один из них в pet-проекте. Концепция «Git как источник истины» для инфры. Сильный плюс на интервью.

HashiCorp Vault — установка, базовые secrets engines (KV, dynamic DB). Интеграция с pet-проектом: API получает секреты из Vault, не из env. Никакого hardcoded в коде.

Фундаментальные модели, через которые читаются ВСЕ security-задачи. CIA Triad (Confidentiality / Integrity / Availability) — любая угроза попадает в одну из трёх категорий. Defense in Depth — много слоёв вместо одного «волшебного» сканера. Least Privilege — минимально необходимые права по умолчанию. Zero Trust — «never trust, always verify», нет внутренней доверенной зоны. Спрашивают на каждом интервью.

Не просто «знаю названия», а: причина → пример уязвимого кода → пример эксплуатации → fix → как поймать сканером. По каждому из Top 10 — свой write-up. Best resource: PortSwigger Academy + OWASP cheat sheets.

Закрой все Apprentice-лабы + начни Practitioner. Это бесплатный и лучший в мире практикум по web-уязвимостям. SQLi, XSS, SSRF, IDOR, race conditions, deserialization — всё по лабам.

Adam Shostack «Threat Modeling: Designing for Security». Делай TM для своего pet-проекта: DFD-диаграмма, угрозы по STRIDE, mitigations. Опубликуй в репо — это сильный портфолио-актив.

Parameterized queries (нет SQLi), output encoding (нет XSS), proper auth/sessions, CSRF tokens, rate limiting, input validation на сервере. По языку pet-проекта — OWASP secure coding cheat sheet.

Symmetric vs asymmetric, hashing (bcrypt/argon2 для паролей, SHA для integrity), TLS handshake, JWT (и его проблемы), key management basics. PKI основы: CA hierarchy, certificate lifecycle (issue / renew / revoke), CRL vs OCSP, cert rotation. «Serious Cryptography» Aumasson — как референс. ГОСТ-криптография (РФ): ГОСТ Р 34.10-2012 (подпись) и 34.11-2012 «Стрибог» (хеш), КриптоПро CSP, ЭЦП и УКЭП, ГОСТ-TLS и чем он отличается от обычного. В банках и госсекторе это не экзотика, а рабочая повседневность — спрашивают.

OAuth 2.0, OIDC, SAML — что когда. Session-based vs token-based. RBAC vs ABAC. Keycloak локально для практики (используется и в РФ). MFA, passkeys.

Возвращаешься к v0 и устраняешь все уязвимости, которые специально оставил. По каждому fix — write-up: что было, как нашли, как починили, как теперь не повторить.

Классификация подходов: Black box (тестер ничего не знает о внутренностях — реалистично, но медленно), Grey box (частичный доступ к коду/архитектуре — баланс), White box (полный доступ к исходникам — глубокое покрытие). Связь с инструментами: SAST = White box, DAST = Black box, IAST = Grey box (агент в runtime + знание кода). Когда что применять: SAST на раннем этапе (shift-left), DAST на staging окружении, IAST в continuous testing. Спрашивают на интервью: «в чём разница между SAST и DAST, что ловит каждый, почему нужны оба».

Semgrep как индустриальный стандарт. Готовые rulesets + пишешь 5+ собственных правил под свой стек. CodeQL опционально. Bandit для Python специфики. Подключи в CI и pre-commit.

Trivy (универсальный), OWASP Dependency-Check, Grype, OSV-Scanner. CodeScoring как российский игрок. Понимание различия CVE vs GHSA vs БДУ ФСТЭК. Авто-обновления через Dependabot/Renovate. Лицензионный комплаенс — вторая работа SCA, про которую забывают: копилефт (GPL/AGPL) против пермиссивных (MIT/Apache), почему AGPL-зависимость в проприетарном продукте — это юридический риск, а не «просто предупреждение». FOSSA, ScanCode, license scan в Trivy. В РФ смыкается с Реестром ПО (см. RU.3).

OWASP ZAP в baseline-режиме в CI. Nuclei для template-based проверок. Nessus / OpenVAS — классические vulnerability scanners для инфры (отдельная категория от DAST, ловят CVE на сетевых сервисах). Концептуально: что DAST ловит, а SAST — нет, и наоборот.

Gitleaks и TruffleHog — оба в pre-commit + CI + history scan. Custom rules под свой стек. Что делать, если секрет закоммитили: rotation процесс, не просто «удалить из истории».

Checkov (универсальный, Python-based, легко расширяется), tfsec/Trivy для Terraform, kube-linter для K8s манифестов. Подключи к pipeline своего Terraform-проекта.

Trivy (де-факто стандарт), Grype, Docker Scout. Сканирование в CI до push, а не после. Понимание того, как чинить vulnerabilities в base images (distroless, minimal, regular updates).

Стратегия: pre-commit hooks → CI scans → registry gate → admission controller. Один уровень обходится — следующий ловит. Не один scanner-выключатель, а каскад. Документируй процесс в репо.

Экономика пайплайна. Это то, что отделяет читавшего доки от внедрявшего. Навешал сканеров — пайплайн вырос на 20 минут, разработчики начали искать способ его обойти, и ты получил security-театр. Что с этим делают: diff-only сканирование — semgrep --baseline-commit и инкрементальные режимы, проверяем изменённое, а не репозиторий целиком; кеширование БД уязвимостей Trivy между запусками; раскладка по триггерам — быстрые проверки (secrets, lint, diff-SAST) на каждый PR, тяжёлые (полный SCA, DAST, image scan) на merge в main, самые долгие ночью по расписанию; SLA на remediation вместо жёсткой блокировки — critical блокирует, high получает срок и тикет, остальное копится в отчёт; политика исключений с датой пересмотра, иначе nosec расползётся по коду навсегда. Время пайплайна — такая же метрика, как число findings: если ты его не меряешь, ты его не контролируешь.

Куда складывать findings, как дедуплицировать, как приоритезировать (CVSS — это не приоритет, это severity). DefectDojo как open source стандарт vulnerability management. EPSS и SSVC как дополнения к CVSS.

Как оценить зрелость security-программы в организации и обосновать roadmap её развития. OWASP SAMM (Software Assurance Maturity Model, бесплатный фреймворк с self-assessment toolkit). BSIMM (Building Security In Maturity Model, ежегодные открытые PDF от Synopsys — benchmark реальных компаний). OWASP DSOMM (DevSecOps Maturity Model, специфичен для CI/CD-практик). Это не инструменты сканирования, а процессные фреймворки — потому идут в этой подсекции. Цель — уметь провести аудит текущего состояния и предложить план роста, опираясь на индустриальный фреймворк, а не «по наитию». Спрашивают на собеседованиях middle+ для AppSec ролей.

OWASP API Security Top 10 — отдельный домен, не сводится к OWASP Top 10. BOLA / BFLA / IDOR, mass assignment, excessive data exposure, rate limiting, schema validation. REST / GraphQL / gRPC — разные attack surfaces. API gateway (Kong, Tyk) как security boundary. Это обязательная тема на интервью в любой компании с микросервисами.

В РФ Jenkins всё ещё широко используется в банках, корпорациях, on-prem инсталляциях — наравне с GitLab CI. Declarative vs Scripted pipelines — два синтаксиса, знать оба. Jenkins Shared Libraries — централизованная библиотека security-проверок, переиспользуемая всеми проектами компании. Security pipeline patterns в Jenkins: внедрение SAST/SCA/DAST стейджей, archiveArtifacts для findings, post-build actions, withCredentials для секретов. Concept «security as code» через Jenkinsfile в репозитории каждого сервиса. Знание Jenkins — серьёзный плюс на собеседованиях в Сбер, ВТБ, ИБ-вендорах.

Новая поверхность атаки, которой пять лет назад не было, а сегодня она есть почти в каждом продукте. OWASP Top 10 for LLM Applications: prompt injection (direct и indirect — второй опаснее, инъекция приезжает в контенте, который модель читает), insecure output handling (вывод модели уходит в eval/SQL/HTML без санитизации), training data poisoning, excessive agency — агенту дали права, которые он не должен иметь. Безопасность AI-генерируемого кода в SDLC: кто ревьюит вывод Copilot/Claude Code, как ловить внесённые уязвимости — обычный SAST в CI ловит их так же, как рукописные, но объём кода на ревью растёт кратно. Безопасность агентов и MCP-серверов: доверие к tool output, разграничение прав агента, sandbox для исполнения. Практика: добавь LLM-эндпоинт в pet-проект и сломай его prompt injection сам.

«SAST vs DAST vs WAF» — стандартный вопрос на собеседовании. Разница по сути: SAST и DAST ищут уязвимость до прода, WAF живёт в проде и фильтрует трафик. Виртуальный патч — правило WAF, закрывающее эксплуатацию, пока фикс в коде едет через релизный цикл: это выигранное время, а не решение проблемы. Знать ограничения: WAF обходится (обфускация, нестандартные кодировки), не спасает от логических багов и от IDOR, и не отменяет исправление кода. Positive vs negative security model — белые списки против сигнатур. OWASP Core Rule Set, настройка порогов, борьба с ложными срабатываниями в blocking-режиме (типовой путь: сначала detection-only, потом блокировка). В РФ на собеседованиях всплывают PT AF и Wallarm.

Что атакует K8s-кластер: компрометация контейнера → побег → privesc → cluster takeover. Микро-сервисная attack surface: east-west traffic, supply chain в container images. NSA/CISA Kubernetes Hardening Guide.

RBAC деталь: roles vs cluster-roles, least privilege в реальности. PSA замена deprecated PSP: baseline / restricted / privileged. NetworkPolicy для микросегментации. Всё применяешь к pet-проекту.

Kyverno (проще, YAML-based) или OPA/Gatekeeper (Rego, мощнее). Pre-deploy policies: запрет latest tag, требование non-root, requirement signed images. Минимум 5 политик в репо.

Falco для runtime detection: подозрительный exec в контейнере, shell в pod, чтение sensitive файлов. Подключи к pet-проекту, настрой кастомные правила, интегрируй с alerting.

Certified Kubernetes Security Specialist — престижный сертификат, серьёзно ценится. Если есть бюджет — отличная цель после P4. Требует CKA как prerequisite. Без CKS легко обойтись на junior, но с CKS — серьёзный буст к мидл-вилке.

Software Bill of Materials — реестр компонентов в твоей системе. Syft для генерации, форматы CycloneDX и SPDX. Подключи к CI, публикуй SBOM как артефакт каждого билда. Это будущее требование комплаенса везде. Модели — тоже зависимость: если в системе есть ML/LLM, в цепочку поставки входят веса и датасеты. Provenance весов, typosquatting на HuggingFace, произвольный код при десериализации pickle-чекпойнтов (поэтому safetensors вместо pickle), AI-BOM как расширение SBOM. Тот же принцип, что и с npm-пакетом: ты не знаешь, что внутри, пока не проверил.

Подписание container images через cosign (keyless с OIDC или со своим ключом). Rekor — публичный transparency log. Привязка admission controller, чтобы принимать только подписанные образы.

Supply-chain Levels for Software Artifacts. Уровни L1–L4. Цель: достичь SLSA Build L2+ в своём pet-проекте — provenance attestation, isolated builders, immutable references. README объясняет, какой уровень и почему.

Разбери в блоге: SolarWinds, log4j (CVE-2021-44228), xz utils backdoor (CVE-2024-3094). По каждой — что произошло, как защититься, как твой pet-проект справился бы. 3+ кейса = сильный портфолио-актив.

IAM advanced: assume-role chains, condition keys, permission boundaries. KMS: envelope encryption, key policies. GuardDuty + Security Hub + CloudTrail. Аудит через Prowler или ScoutSuite. Выбери ОДИН cloud и копай его вглубь, второй — на уровне словаря и различий. Два облака одновременно на junior-этапе не осилить: один этот модуль — 3–4 недели работы. Концепции переносятся между провайдерами почти без потерь, а строчка «знаю AWS и YC поверхностно» на интервью проигрывает строчке «прошёл аудит одного и починил findings».

IAM, Lockbox, Audit Trails, Security Groups. Cloud Logging + alerts как аналог GuardDuty. Selectel, MTS Cloud, VK Cloud, Cloud.ru — близкие по моделям, знай различия концептуально.

Cloud Security Posture Management: что это, какие проблемы решает. Open source инструменты (Prowler, ScoutSuite) vs коммерческие (Wiz, Orca) — концептуально. DDoS mitigation: Cloudflare, Yandex DDoS Protection, Servicepipe, Qrator (РФ) — анти-DDoS как часть perimeter security.

ISO 27001, SOC 2, PCI DSS, NIST SSDF — что и зачем, ключевые отличия. Знать словарь, не быть аудитором. Для глубокого РФ-комплаенса (152-ФЗ, ФСТЭК, ГОСТ) — см. P5.

«Разработка безопасного программного обеспечения. Общие требования» (ГОСТ Р 56939-2016 → переиздан как ГОСТ Р 56939-2024). База РФ secure SDLC, прочти полностью — он короткий.

№239 — требования к КИИ (критическая информационная инфраструктура). №31 — АСУ ТП. №17 — ГИС. БДУ ФСТЭК — российский аналог CVE/NVD-базы.

152-ФЗ «О персональных данных» — must-know. УЗ-1/2/3/4, ИСПДн. Реестр отечественного ПО Минцифры — как туда попадают, почему важно для гос-сектора и госкорпораций.

152-ФЗ говорит что защищать, этот модуль — чем. Классификация данных: пока не знаешь, где лежат персданные, защищать нечего — inventory и discovery PII идут первыми. Шифрование at rest: на уровне диска, БД (TDE) и на уровне поля — разные угрозы, разная цена. Управление ключами через Vault/KMS, ротация. Маскирование и токенизация — самый недооценённый пункт: копия прода в стейджинге с живыми персданными это утечка, которая ждёт своего часа. Синтетика или маскирование для непрод-окружений. Плюс контроль доступа к БД и аудит запросов.

PT Application Inspector (SAST/DAST/IAST), Solar appScreener (мультиязычный SAST), CodeScoring (SCA), MaxPatrol VM/SIEM, R-Vision SOAR, Kaspersky EDR. Знай отличия от западных аналогов — спрашивают в банках и у ИБ-вендоров.

Linux — не вся инфраструктура. В Сбере, ВТБ, Альфе и любом энтерпрайзе рядом стоит Windows-периметр, и на собеседовании это всплывает. AD: домен, лес, OU, Group Policy — на уровне «читаю структуру и понимаю, где права». PowerShell: написать и прочитать скрипт автоматизации, execution policy, PowerShell logging (script block logging — то, что потом читает SOC). Windows event logs + Sysmon, пересылка в SIEM. Kerberoasting / AS-REP roasting / Pass-the-Hash — на уровне механики: почему работает и что смотреть в логах. Не нужно становиться Windows-админом. Кому обязательно: банки, госсектор, корпорации. Кому можно пропустить: продуктовые tech-компании (Яндекс, Авито, Ozon) — там Linux достаточно.

6 фаз: Preparation → Identification → Containment → Eradication → Recovery → Lessons Learned. На каждом интервью спрашивают «что делать, когда нашли активный инцидент». Знай шаги и порядок. Различай IOC (indicators of compromise) и TTPs (MITRE ATT&CK). MITRE ATT&CK предметно: матрица — это тактики (зачем атакующий это делает: Initial Access, Persistence, Lateral Movement, Exfiltration) и техники внутри них (как именно, T-номера). Разница с IOC принципиальная: IOC — конкретный хеш или IP, живёт до первой пересборки малвари; TTP — поведение, которое атакующему менять дорого. Поэтому детекты мапят на техники ATT&CK, а не на список хешей. Посмотри ATT&CK Navigator и покрытие своих детектов по матрице.

Chain of custody (что это, зачем), volatile vs non-volatile data, memory dump инструменты (Volatility концептуально). Как писать postmortem: blameless culture, timeline of events, root cause, action items. Прочти 2-3 публичных postmortem (Cloudflare, GitLab, AWS).

CrowdStrike, SentinelOne, MS Defender for Endpoint (intl). Kaspersky EDR, PT XDR (РФ). Что такое EDR vs antivirus, что такое SOAR (Security Orchestration, Automation, Response). Знать словарь, не глубоко.

Уязвимые проекты для тренировки: OWASP/NodeGoat, OWASP/WebGoat, dvna, tiredful-api, juice-shop. Делай ручное ревью до Semgrep, потом сравнивай. Это отделяет middle от джуна.

Каждую неделю: одна свежая CVE по твоему стеку (Python/Flask/Django/FastAPI/Node/Go). Advisory + patch на GitHub + (если есть) PoC. 1–2 раза в месяц — свой PoC по описанию для учебного стенда.

Standoff Bug Bounty, BI.ZONE Bug Bounty (РФ). HackerOne, Bugcrowd, Intigriti (intl). Стартовая стратегия: публичные VDP без выплат для практики. Контролируемая цель: 20+ часов на публичных VDP и 3+ отправленных репорта — это то, что зависит от тебя. Принятый репорт — сильное преимущество над 90% джунов, но он зависит и от удачи, и от того, не выпасена ли программа до тебя. Поэтому меряй процесс, а не результат: отправленные репорты копятся в опыт даже когда их закрывают как дубликаты.

HackTheBox, TryHackMe — поддерживай уровень. RuCTF, Standoff Cyberbattle — российские, ценятся в РФ-резюме. Не для красивых бейджей, а для навыка «мыслить как атакующий».

Habr.com (РФ), Medium / dev.to (intl), либо свой простой сайт на GitHub Pages / Hugo. Минимум 1 write-up в 2 недели. К моменту собеседования — 20+ постов. Это твоё доказательство, что ты понимаешь, а не просто прошёл курс.

4–6 закреплённых репозиториев. README в каждом — описание, скриншоты, ссылки на CI runs, бейджи. Контрибуция в open source (даже мелкие фиксы = плюс). Профиль README с твоим стеком и проектами.

5–7 STAR-историй (Situation, Task, Action, Result) из своих проектов и опыта. 5–7 mock-собеседований (pramp.com, interviewing.io, знакомые из IT) до реальных интервью. Технические и поведенческие.

ИБ-вендоры: Positive Technologies, BI.ZONE, Касперский, Solar (Ростелеком), Innostage, R-Vision, Awillix. Банки: Сбер, Тинькофф (T-Bank), Альфа, ВТБ, Райффайзен, МКБ. Tech: Яндекс, VK, Авито, Ozon, Wildberries, X5, МТС, Билайн. Бутики: Cyberus, Bastion, Angara Security, Servicepipe. Стажировки = самый быстрый путь.

weworkremotely.com, remoteok.com, LinkedIn (DevSecOps + remote), Wellfound. Нужно: B2+ EN, портфолио на GitHub, активность в open source. Реалистично через 1–2 года после первой РФ-работы. До этого — фокус на РФ.

RU (hh.ru формат) + EN (LinkedIn + 1-страничный CV). Тех-навыки группами, проекты с метриками («сократил время сборки на 40%»). Без воды. Цифры и факты, не «увлечён security».

Конференции: PHDays, OFFZONE, ZeroNights, RuCTF Finals — в РФ. Митапы в твоём городе. Telegram-каналы: профильные DevSecOps/AppSec чаты. LinkedIn — для intl. Соцсеть «Сетка» от hh.ru — для пассивных офферов от РФ-рекрутёров. Не «использовать людей», а быть в контексте.

«Agile Application Security» (Bell et al.) — как security устроена в живых процессах. «Alice and Bob Learn Application Security» (Janca) — отличный обзорный AppSec. «Securing DevOps» (Vehent). Читай параллельно фазам.

Не «закрыл и забыл», а почему это произошло, как предотвратить класс таких проблем. После каждого нетривиального тикета — заметка в личной wiki.

Каждый incident — золото. Проситься в shadowing к senior-ам, потом ведущим координатором мелких инцидентов. Постмортемы — писать самому.

Один senior, у которого можно регулярно консультироваться. Еженедельные 30-минутные созвоны.

Компании часто оплачивают сертификации. CKS, AWS Security Specialty, OSCP, CISSP. Не для бейджа, а для структурированной проработки темы.

Junior пишет скрипты. Middle пишет инструменты. Выбери один из Go или Python и доведи до «могу написать CLI-инструмент с тестами».

PR в Trivy, Falco, Semgrep, Checkov, Kyverno или подобное. Даже мелкий фикс / документация. Сильный сигнал на middle-собеседовании.

Если в компании этого нет — предложи организовать. Если есть — войди как лидер.

Tech talk внутри компании на 30 минут. Тема — что освоил за квартал.

Внедрение security awareness в команды разработки: lunch & learn сессии (30-минутные обзоры тем — OWASP Top 10, threat modeling), brown bags по разбору реальных CVE, workshops по STRIDE-моделированию на их же сервисах. Создание secure coding guidelines для основных языков команды. Не «обучать ради обучения», а решать конкретные проблемы команды через образование. Связано с твоим опытом SSDLC pilot — это естественное продолжение работы.

AppSec deep / Cloud Security / K8s Security / Supply Chain / Detection Engineering / Security Research.

10+ микросервисов с разными trust zones, асинхронными очередями. Шостак целиком, «Threats» Brook Schoenfield.

Самому писать ADR для security-решений: что выбрали, какие альтернативы, какие trade-offs.

CAP, consistency models, очереди как security boundary. «Designing Data-Intensive Applications» Kleppmann — выборочно.

Security в backlog grooming, в дизайн-ревью, в pre-prod-чек-листы. Меньше tool-blocking, больше cultural integration.

Берёшь во владение метрику: time-to-remediate, % critical уязвимостей в prod, MTTD/MTTR. Цель — реальное улучшение.

Локальный митап → региональная конференция → PHDays / OFFZONE / ZeroNights.

AppSec → fuzzing + taint analysis; Cloud → multi-cloud arch; K8s → eBPF + service mesh; Detection → SIEM-rules в масштабе.

Проекты, затрагивающие 3+ команды: миграция на новую секрет-менеджмент систему, внедрение SBOM-процесса.

2–3 человека под твоим руководством. Code review их security-кода. Регулярные 1:1.

Пишешь технические интервью, проводишь их, обсуждаешь кандидатов. Сильная optic'а на рынок.

Регулярный технический блог (раз в 2 недели). Доклады на крупных конференциях. 1000+ подписчиков/читателей.

Не bug bounty, а полноценный research: нашёл уязвимость в open source / коммерческом продукте, оформил advisory, получил CVE.

Top-100 на Standoff / HackerOne — серьёзный сигнал.

ROI security-инвестиций. Risk quantification (FAIR framework). «How to Measure Anything in Cybersecurity Risk» Hubbard.

Пилоты enterprise-инструментов (Wiz, Snyk, PT AI), переговоры с vendor-ами, сравнение коммерческих предложений.

Построение программы Secure SDLC в компании с нуля или развитие существующей. Аудит текущего состояния через OWASP SAMM / BSIMM (см. P3.9). Построение roadmap: квартальные цели, метрики прогресса, паттерн «пилот → отчёт → масштабирование». Получение buy-in от менеджмента (ROI security-инвестиций, risk reduction в денежных терминах). Управление change resistance со стороны команд разработки. Это сильнейший STAR-кейс на собеседовании middle/senior — реальный опыт построения программы ценится выше любых сертификатов.

Security-стратегия на 1–3 года. Не «закрыть тикеты», а «как должна выглядеть security-функция через 2 года».

Принимаешь решения «этот риск принимаем, этот закрываем». Подписываешься под этими решениями.

Оценка TCO. Понимание build-up debt от in-house решений на 3-5 лет вперёд.

Формальное управление 5–10 людьми, 1:1, performance reviews, hiring decisions.

Если technical track (Staff/Principal): ты — top-N в стране в своей специализации.

Программу масштаба компании: secure-by-design culture, zero trust architecture, supply chain hardening.

Член технического комитета (OWASP chapter, OpenSSF). Регулярные keynote-доклады.

Влияние на индустриальные стандарты: участие в OWASP standards, contributions в NIST drafts, RFCs.

Бюджеты, board reporting, ответственность перед регулятором, M&A security due diligence.

Архитектурные решения на уровне всей платформы. Mentor mentor-ов. Автор внутренних или публичных фреймворков.

Founding engineer в security-стартапе или собственный стартап. Advisory роли у других компаний.