backend разработчик в Application Security

Команда развивает практики безопасной разработки и DevSecOps, автоматизирует проверки безопасности приложений и помогает разработчикам снижать количество ложных срабатываний.

• Быть техническим лидером команды AppSec-инженеров;
• Помогать команде принимать архитектурные и технические решения в области Application Security;
• Наставлять инженеров и помогать им развивать экспертизу в AppSec, DevSecOps, security code review и автоматизации;
• Проводить ревью технических решений, подходов к анализу уязвимостей, SAST-правил и автоматизаций безопасности;
• Участвовать в планировании работы команды совместно с Product Owner;
• Помогать приоритизировать задачи с учётом технических рисков, бизнес-контекста и загрузки команды;
• Быть единой точкой входа для Product Owner по вопросам AppSec;
• Развивать интеграцию проверок безопасности в CI/CD;
• Разрабатывать и поддерживать правила для SAST-инструментов;
• Улучшать процессы работы с SAST, SCA, DAST и MAST;
• Писать автоматизацию для интеграции сканеров, обработки результатов, обогащения находок и формирования метрик;
• Исследовать и тестировать новые инструменты проверки безопасности приложений;
• Помогать делать проверки безопасности более полезными для разработчиков и менее шумными для команд.

• Опыт в Application Security от 4 лет или сопоставимый опыт в разработке с последующим переходом в безопасность;
• Практический опыт технического лидерства, наставничества или координации работы AppSec- и security-инженеров;
• Глубокое понимание secure SDLC, shift-left security и DevSecOps;
• Практический опыт работы с SAST, SCA, DAST и/или MAST-инструментами;
• Опыт интеграции проверок безопасности в CI/CD;
• Опыт security code review на одном или нескольких языках: Java/Kotlin, Go, Python;
• Уверенное владение одним из языков: Python, Java или Go;
• Опыт работы с Bash;
• Глубокое понимание OWASP Top 10, OWASP ASVS и OWASP Mobile Top 10;
• Понимание микросервисной архитектуры, REST/gRPC API, Kubernetes и контейнеризации;
• Опыт анализа результатов сканирования, валидации уязвимостей, поиска ложных срабатываний и приоритизации рисков;
• Практический опыт взаимодействия с разработчиками по исправлению уязвимостей;
• Понимание специфики безопасности мобильных приложений;
• Опыт работы с MAST-инструментами;
• Понимание типовых рисков мобильных приложений: небезопасное хранение данных, небезопасное взаимодействие, неправильная работа с секретами, обнаружение jailbreak/root, риски обратной разработки, certificate pinning и tampering;
• Инструментальное владение AI для анализа, генерации и автоматизации;
• Будет плюсом опыт анализа Android/iOS-приложений.

• Офисный формат работы;
• Ежегодный пересмотр зарплаты и годовая премия;
• Корпоративный спортзал и зоны отдыха;
• Более 400 образовательных программ СберУниверситета для профессионального и карьерного развития;
• Программа адаптации и помощь руководителя на старте;
• Расширенный ДМС, льготное страхование для семьи и корпоративная пенсионная программа;
• Льготный дисконт по ипотечному кредиту, равный 1/3 ключевой ставки ЦБ;
• Подписка Прайм с возможностью совместного использования с тремя близкими;
• Вознаграждение за рекомендацию друзей в команду Сбера.