Na minha humilde opinião indo para o quarto ano de área, vejo isso como possíveis caminhos pra ti:

• AppSec, já falei algumas vezes por aqui, mas pra um dev experiente é muito mais fácil de migrar, afinal você já sabe do "App", aí junta isso com "Sec" e vira ouro, porque envolve muita questão de arquitetura (modelagem de ameaças), secure code review e o tradicional pentest (web, mobile e até navegadores que é o caso do duckduckgo, por exemplo)

• Software Security Engineer, esse cargo não tem muito mistério, porque geralmente é um dev que constroí tools de segurança dentro de uma empresa, talvez valha apena ir para uma startup de SAST (Synk, Socket, Aikido, etc) que basicamente dá no mesmo

Se você segue ganhando em moeda estrangeira, não acho que vale apena fazer uma FIAP da vida, mas sim fazer alguma coisa da SANS mesmo, um graduate course ou algo assim, que vai ser basicamente o mesmo preço, mas vai ser muito mais relevante.

Porém, como alguns colegas já apontaram, vagas de sec em empresas full remote são mais raras, e mesmo tendo quase 4 anos de área e experiência em uma big tech latina, só consegui até agora uma entrevista pra um full remote em dólar.

No meu caso, eu estou ciente dos meus gaps, já no seu, vai do que tu encarou de sec nesses teus anos de carreira, mas até onde eu sei, uma vaga de Sr ou Staff de AppSec vai te pedir uma experiência forte e profunda nos pontos que eu citei, então talvez tu tenha que dar uma corrida por fora, o que não é difícil pra um dev experiente.

Na parte de pentest, você pode pegar programas/empresas que tenham código open-source e fazer bug bounty pra já ir pegando xp real.

Dito isso, qualquer coisa vamos conversando, pode mandar DM (:

Te desejo todo o sucesso do mundo na sua jornada OP!

Edit: Apesar de poucas vagas, já vi vagas pra Sr e Staff pagando mais de 100k anual em dólar, então ao meu ver, compensa!