Sicurezza: mercato

Posizione

un'offerta aperta che ha superato il controllo di qualità e indica almeno due tecnologie

Candidato osservato

un candidato il cui stack contiene questa tecnologia; un dato aggregato: nessun singolo record esce dal perimetro

Candidato abbinabile

non ancora conteggiato

Finestra

offerte aperte nel momento in cui è stato creato lo snapshot

Le principali tecnologie nelle offerte Security nel 5: cloud, aws, python, azure, devsecops. Basi obbligatorie: OWASP Top 10 (da conoscere assolutamente), Linux (avanzato), Python e Bash per l'automazione, Git. Sicurezza web: Burp Suite (lo standard del pen-test), OWASP ZAP, OWASP Dependency-Check. SAST/DAST: SonarQube, Checkmarx, Snyk, Semgrep. SIEM: Splunk, ELK (Elasticsearch + Logstash + Kibana), QRadar. Pen-test: Kali Linux, Metasploit, Nmap, Wireshark. Sicurezza cloud: AWS Security Hub, GCP Security Command Center, Azure Sentinel. IAM: HashiCorp Vault, Keycloak. Certificazioni: OSCP (offensiva), CISSP (manageriale), OSCE, CEH, AWS Security Specialty.

AppSec (Application Security): sicurezza del codice e delle applicazioni, code review, SAST/DAST, threat modeling, OWASP. Lavora all'interno di un team di prodotto. DevSecOps: integra la sicurezza nelle pipeline CI/CD, gestione dei segreti, scansione dei container, GitOps. Vicino a DevOps + sicurezza. Pen-Tester / Red Team: hacking etico, simulazione di attacchi, ricerca di vulnerabilità 0-day, certificazioni OSCP/OSCE. Più spesso consulenza o aziende specializzate. SOC Analyst (Security Operations Center): monitoraggio degli incidenti 24/7, triage, risposta, lavoro con SIEM (Splunk/QRadar). Per stipendio: AppSec ≈ DevSecOps > Pen-Tester ≈ Cloud Security > SOC Analyst. Percorso di carriera: SOC Tier 1 → Tier 2 → AppSec/Cloud → Senior → Security Architect.

In parte: il 34% delle offerte Security è completamente da remoto. Meno di Backend/DevOps, perché banche e fintech richiedono ibrido o in sede per la compliance: lavoro con dati personali, dati di pagamento, accesso alla produzione. Vendor di sicurezza locali: più spesso ibrido. Team di prodotto internazionali: quasi sempre da remoto. Pen-Tester freelance (Bug Bounty su HackerOne/Bugcrowd): completamente da remoto, orari flessibili, il tetto dipende solo dalle competenze. SOC Analyst: molte offerte da remoto (spesso a turni). Cloud Security: di solito da remoto (tutto passa dalla console AWS/GCP).

DevOps owns the infrastructure and CI/CD — automation, observability, production reliability. Security Engineer owns defence: vulnerability hunting, threat modeling, incident management, compliance. The stack overlaps (Linux, Docker, Kubernetes, cloud) but the focus differs. DevSecOps — the hybrid: a DevOps engineer with security specialisation who embeds SAST/DAST/secrets-scanning into pipelines. Career flow: Senior Backend → DevOps → DevSecOps; or a separate Security track (SOC → AppSec → Senior Security). Seniors can converge into Security Architect — the top level.

Non esiste un percorso diretto verso la Security: di solito è un'evoluzione da un ruolo vicino. I due punti d'ingresso più comuni: 1) Backend / DevOps Middle (2-3 anni) → passaggio ad AppSec/DevSecOps acquisendo OWASP Top 10, SAST/DAST, threat modeling. 2) SOC Analyst Tier 1 (adatto ai junior, monitoraggio a turni) → Tier 2 → specializzazione. Progetti personali: HackTheBox, TryHackMe (piattaforme CTF per esercitare le competenze), OverTheWire, contributi a strumenti di sicurezza open source. Certificazioni: OSCP (Offensive Security Certified Professional: indispensabile per il Pen-Test), CISSP (percorso manageriale), AWS Security Specialty, CKS (Kubernetes Security). Libri: "The Web Application Hacker's Handbook" (Dafydd Stuttard), "Black Hat Python", "Threat Modeling" (Adam Shostack).

As of the latest data refresh, the Zorky sample contains 9739 active open Security positions across CIS and Eastern Europe. These are postings published in the last 90 days — companies actually hiring. Geography is distributed; the leaders are US, PL, GB. Data is collected from 105 job boards and 16 669 company career sites: Telegram channels (especially for niche Pen-Test and Bug Bounty jobs, security conferences, anti-leak communities), specialised job sites (HH, Habr Career, Djinni, DOU, NoFluffJobs, JustJoin.it, Pracuj.pl), career pages of security vendors. Security is a niche area, so the job volume is smaller than Backend/Frontend, but one of the highest-paid.

Il fattore principale è la valuta del contratto e la specializzazione. Pen-Test e Cloud Security di solito pagano un premio (+20-30% sulla mediana). Le banche russe locali con contratti in rubli hanno colmato in 2 anni il divario con il mercato polacco per i Senior.

Un Senior Security engineer padroneggia l'intero stack difensivo in una delle specializzazioni (AppSec / DevSecOps / Cloud Security / Pen-Test). Base: OWASP Top 10, Linux (avanzato), Python + Bash, Git. Comprensione dello stack di sviluppo (scegline uno: Backend o Frontend a livello Senior). Per l'AppSec: SAST/DAST (SonarQube, Checkmarx, Snyk, Semgrep), Burp Suite avanzato, OWASP ZAP, revisione sicura del codice, threat modeling (STRIDE, PASTA). Per il DevSecOps: gestione dei segreti (HashiCorp Vault), scansione dei container (Trivy, Snyk), GitOps. Per la Cloud Security: AWS Security Hub / GCP SCC / Azure Sentinel, IAM a livello di policy, conformità (SOC 2, ISO 27001, GDPR). Certificazioni (OSCP/CISSP/AWS Security/CKS), esperienza nella gestione degli incidenti, leadership.