Proyectos de portafolio
Los cuatro proyectos públicos que demuestran que sabes asegurar plataformas en la nube, y cómo presentarlos para que un reclutador los entienda en 30 segundos.
Cuatro proyectos públicos valen más que cualquier certificación extra: demuestran que sabes hacer el trabajo, no solo aprobar un examen. La buena noticia es que no son trabajo extra: salen de aplicar, de verdad, lo que estudias en cada tema de este sitio. Todo va a GitHub —código, notas y write-ups— porque es tu portafolio y tu prueba ante reclutadores.
Los cuatro proyectos#
1. Landing zone segura multi-cuenta#
Una organización de AWS en código: varias cuentas (gestión, security como administrador delegado, log-archive, workload), IAM Identity Center como único acceso humano, un CloudTrail de organización hacia un bucket con Object Lock, y un perímetro de datos con SCP y RCP. Demuestra arquitectura de seguridad y gobernanza. Conecta con Gobernanza y cumplimiento.
- Qué publicar: repo Terraform + README con cada decisión de seguridad + un informe ejecutivo de una página.
2. Detección y auto-remediación validada con ataques#
Un pipeline que detecta y responde solo: GuardDuty detecta una credencial usada desde fuera de AWS → EventBridge → Step Functions desactiva la llave, etiqueta el recurso y abre una alerta. Lo interesante es validarlo con ataques contra tu propio laboratorio y documentar qué detectó y qué no. Conecta con Red, registro y detección y con ofensiva en tu laboratorio.
- Qué publicar: repo + informe de una simulación (técnicas ejecutadas, detectadas vs no detectadas, qué añadiste para cubrir las que faltaban).
3. Pipeline DevSecOps de punta a punta#
Un pipeline en GitHub Actions que se autentica a AWS con OIDC (sin llaves), escanea el Terraform, genera un SBOM, firma la imagen y despliega en EKS, donde un control de admisión rechaza cualquier imagen sin firmar. Demuestra seguridad de la cadena de suministro y de Kubernetes, justo donde un cloud engineer tiene ventaja. Conecta con DevSecOps y contenedores.
- Qué publicar: repo + un video de 3 minutos mostrando cómo el pipeline bloquea un cambio inseguro.
4. Agente seguro en AgentCore + red team#
Un agente de IA con 3–4 herramientas (por ejemplo, un asistente que consulta tickets y S3), al que luego atacas (inyección indirecta vía un documento, abuso de herramientas, intento de exfiltración) y endureces con identidad propia, autorización de herramientas, guardrails y sandbox. Es tu diferencial de mercado. Conecta con Seguridad de IA y agentes.
- Qué publicar: repo + informe que mapee cada hallazgo a OWASP Agentic Top 10 (ASI01–ASI10).
Cómo presentarlos#
Un reclutador decide en segundos. Haz que el valor sea obvio:
-
README que empiece por el problema, luego la arquitectura (con un diagrama) y el resultado. Nada de “proyecto de práctica”.
-
Un post técnico por proyecto en LinkedIn o un blog: “cómo detecté X”, “cómo rompí y aseguré mi agente”. El relato vende más que el repo.
-
Costes documentados. Muestra cuánto cuesta operar lo que construiste: demuestra criterio de negocio, no solo técnico.
-
Write-ups de los CTF que resuelvas (flAWS, CloudGoat, The Big IAM Challenge) como complemento, enlazados desde el perfil.
En resumen#
- Cuatro repos públicos demuestran más que una certificación extra.
- Cada proyecto sale de aplicar un tema del sitio; no es trabajo aparte.
- El README y el post importan tanto como el código: cuenta el problema y el resultado.
- Documenta costes y enlaza tus write-ups de CTF.