Dacă te pregătești pentru un interviu DevSecOps, merită să pleci de la o idee simplă: recrutorul nu caută doar definiții, ci capacitatea ta de a explica riscuri reale și controale verificabile. În 2025-2026, trei teme apar constant în discuții tehnice mature: supply chain security, securitatea CI/CD și separarea privilegiilor. Nu pentru că sunt „la modă”, ci pentru că afectează direct încrederea în cod, build-uri și livrare.
Pentru supply chain security, studiază traseul complet al software-ului: cod sursă, dependențe, build, artefacte și proveniență. NIST Secure Software Development Framework (SSDF) tratează dezvoltarea securizată ca proces, nu ca un scan rulat la final. Iar SLSA explică niveluri progresive de garanții pentru integritatea lanțului software, inclusiv ideea că un artefact trebuie să poată fi urmărit până la sursă și că integritatea lui nu trebuie presupusă, ci demonstrată. La interviu, contează să poți răspunde clar la întrebări precum: de unde vin dependențele, cum verifici integritatea build-ului, ce înseamnă provenance sau attestation într-un pipeline modern și ce faci când un furnizor extern introduce risc în lanțul de livrare.
Pentru partea de CI/CD security, nu învăța doar lista de unelte. Învață zonele de risc. Proiectul OWASP Top 10 CI/CD Security Risks este util tocmai pentru că mută discuția de la produse la clase de probleme: control insuficient al fluxului, validare slabă a integrității artefactelor, execuție compromisă a pipeline-ului, gestionare greșită a secretelor. În paralel, documentația GitHub pentru GitHub Actions insistă pe practici concrete: folosirea secretelor doar când este necesar, mascarea datelor sensibile în loguri și acordarea celor mai mici permisiuni posibile pentru GITHUB_TOKEN, ideal cu acces read-only implicit și creștere punctuală pe joburile care chiar au nevoie.
Aici apare și separarea privilegiilor, una dintre cele mai frecvente teme din interviurile serioase. OWASP recomandă explicit principiul least privilege, deny by default și validarea permisiunilor la fiecare cerere relevantă. În limbaj de interviu DevSecOps, asta înseamnă să poți explica de ce runner-ele nu ar trebui să primească acces larg „ca să meargă tot”, de ce conturile de service trebuie segmentate pe roluri și de ce același token nu ar trebui refolosit pentru build, test, deploy și administrare. Separarea privilegiilor reduce impactul unui secret expus, al unui job compromis sau al unei configurări greșite.
Cum studiezi inteligent? În loc să memorezi definiții, construiește-ți o hartă cu trei întrebări pentru fiecare sistem analizat: cine are acces, ce poate modifica și cum demonstrezi integritatea. Aplică această grilă pe un exemplu simplu: un repository care rulează teste, construiește un container și publică un artefact. Notează unde intră dependențele externe, unde sunt secretele, ce permisiuni are tokenul pipeline-ului, dacă acțiunile sunt versiuni fixate și cum ai separa drepturile între build și deploy. Adaugă și un exercițiu util: explică, în două minute, ce s-ar întâmpla dacă un job de build ar primi drepturi de administrare asupra producției. Nu ai nevoie de răspunsuri perfecte; ai nevoie de raționament clar și defensiv.
Pentru piața joburilor cybersecurity, valoarea nu stă în a recita acronime, ci în a arăta că înțelegi legătura dintre dezvoltare, operațiuni și controlul riscului. Un candidat bun pe DevSecOps poate explica de ce semnarea sau atestarea artefactelor crește încrederea, de ce pipeline-urile trebuie tratate ca infrastructură critică și de ce privilegii minime, rotația secretelor și izolarea responsabilităților sunt măsuri de bază, nu „extra”. Exact aceste competențe sunt ușor de transpus din interviu în practică: review de workflow-uri, hardening de runners, politici pentru tokenuri și verificarea sursei componentelor software.
Dacă vrei o strategie scurtă de pregătire, folosește ordinea aceasta: SSDF pentru imaginea de ansamblu, SLSA pentru supply chain, OWASP pentru riscurile CI/CD, apoi documentația platformei folosite în companie, cum este GitHub Actions. La interviu, răspunsurile cele mai bune sunt cele care leagă conceptele de controale concrete, limite reale și priorități defensive. Când poți explica nu doar ce măsură ai aplica, ci și ce risc reduce, ai trecut de la teorie la gândire de sistem, exact nivelul pe care multe echipe îl caută într-un rol DevSecOps.
